dvwa——任意文件上传漏洞

声明： 本文章仅限于安全技术交流，禁止用于非法途径，如读者作出危害网络安全的行为后果自负，与作者无关！

---

前言

ok，前面把sql注入两个关卡最基本的通关方法给学了，这个文章我们来学任意文件上传漏洞，废话不多说，现在就开始！

---

一、什么是任意文件上传漏洞？

文件上传漏洞是指用户上传了一个可执行的脚本文件,并通过此脚本文件获得了执行服务器端命令的能力。

二、low

这里我们还是先来看看页面是什么样子的。

这里看来平平无奇的
我们来看一下他的代码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // Can we move the file to the upload folder?
    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
        // No
        echo '<pre>Your image was not uploaded.</pre>';
    }
    else {
        // Yes!
        echo "<pre>{$target_path} succesfully uploaded!</pre>";
    }
}

?> 

代码审计过后发现这里没有任何的防护措施的，我们直接就可以上传我们的恶意代码文件或者shell文件。
以下的实验我们都用文件名为shell.php的文件来完成测试
文件内容：

<?php phpinfo();?>

我们把尝试上传一下这个文件。首先防止文件重复先删除掉这个文件

sudo rm -rf /var/www/html/01/hackable/uploads/shell.php

发现上传成功

复制路径去浏览器访问一下

发现成功执行php函数。

medium

我们还是先看页面效果

这里效果和我们的low一模一样，我们再来看看我们的代码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];

    // Is it an image?
    if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
        ( $uploaded_size < 100000 ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
            // No
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?> 

看代码可以看出这里多了判断文件类型和文件大小，文件大小这个可以不管100k怎么说都能到吧，这里可能只是防止上传空白文件。
先删除原有的代码文件。

sudo rm -rf /var/www/html/01/hackable/uploads/shell.php

拿出我们的burp抓包
上传恶意代码文件

点击上传然后到我们的burp看一下数据包内容

这里主要修改Content-Type（文件类型）这里可以写image/jpeg或者image/png两个都可以，二选一，满足一个就可以了，还有就是文件大小大于100k

点击发送，回到我们的页面看一下

发现文件上传成功

high

页面还是一样的

代码如下：

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // Is it an image?
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) &&
        getimagesize( $uploaded_tmp ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {
            // No
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

这里限制了文件的尾缀。所以我们可以上传图片码来进行绕过，但是图片马被执行的前提条件是有可以文件包含的漏洞可以利用。要不然没啥用。
下面是我们需要的文件

合成木马

看一下我们的木马，点开看和我们的照片没什么区别，但是在我们的照片后面是存在我们shell.php的内容的，但是我们这里没有HXD就不给大家看了

上传试一下

但是我们直接访问的话，发现是没有效果的，只有我们的照片。

现在把我们的dvwa的等级调整带low使用我们的文件包含漏洞，来利用恶意代码文件


包含后发现好多乱码的，划到下面就会发现php函数被调用

总结

其实今天应该先写的文件包含漏洞的，然后来讲文件上传的high会好点的，但是忘记了先写了，写到high才想起来，有点裂开，我们明天就来写文件包含漏洞吧。哈哈哈哈哈哈哈！好啦，以上内容为我个人理解，不喜勿喷，如有写错欢迎指出！