手拿乾坤圈，脚踩缝纫机——文件上传漏洞篇（十五）-CSDN博客

本文链接：https://blog.csdn.net/KiWi_VC/article/details/146158569

用户在使用本文信息时，应自行承担风险。本文不对用户因使用本文信息而导致的任何直接或间接损失承担责任。——鲁迅

知识补给库

学习内容：文件上传漏洞与文件包含漏洞的综合利用
常见的图片标识

JPEG/JFIF（常见的照片格式）：前两个字节为0xFF、0xD8
PNG（无损压缩格式）：前两个字节为0x89、0x50
GIF（支持动画的图像格式）：前两个字节为0x47、0x49
BMP（Windows位图格式）：前两个字节为0x42、0x4D
TIFF（标签图像文件格式）：前两个字节可以是不同的值

在这里插入图片描述

PHP函数

unpack()函数

unpack 函数用于将二进制字符串解包为 PHP 数组。@ 符号在这里的作用是抑制可能产生的警告或错误

如果 $bin 的长度小于 2 个字节，unpack 会返回一个包含部分数据的数组，或者可能产生警告（被 @ 抑制）

$bin = "\xFF\xD8";  // 两个十六进制的数
$result = @unpack("C2chars", $bin);  
print_r($result);

第一个参数：C2chars

C 表示无符号字符（unsigned char），每个字符占用 1 个字节
2 表示读取 2 个这样的字符
chars 是数组键的名称，用于标识解包后的数据
第二个参数：$bin是需要解包的二进制字符串

在这里插入图片描述

intval()函数

intval() 函数用于将一个变量转换为整数（integer）。它是一个类型强制函数，可以将非整数类型的值转换为整数类型。

$bin = "\xFF\xD8";  // 两个十六进制的数
$result = @unpack("C2chars", $bin);  
print_r($result);  
$typeCode = intval($result['chars1'].$result['chars2']);  
echo $typeCode;

这段代码就是将数组中的内容转为整数，拼接到一起。

在这里插入图片描述

代码审计

打开第14关的源代码，先来看一下主题代码，如下图所示
在这里插入图片描述

$temp_file记录上传文件的临时保存位置
$file_type记录了上传文件的类型，也是getReailFileType($temp_file)的返回值。getReailFileType()函数是靶场作者写的函数，在下面进行分析
if($file_type == 'unknown')如果上传文件的类型为unknow，则文件上传失败；否则就上传成功

接下来分析一下getReailFileType()函数的作用，代码如下
在这里插入图片描述

参数$filename就是代表上传的文件
$file = fopen($filename, "rb");表示打开上传的文件，r为read，表示读取；b为binary，表示二进制。rb表示以二进制的形式进行读取操作。
$bin = fread($file, 2);表示将上传文件的前两个字节保存到$bin中
fclose($file);表示读取完成后关闭文件
$strInfo = @unpack("C2chars", $bin);中@unpack("C2chars", $bin)将二进制字符串 $bin 按照指定的格式（C2chars）解析为一个数组
$typeCode = intval($strInfo['chars1'].$strInfo['chars2']);中的intval()是将数组$strInfo中的内容转化为整数并拼接到一起
最后使用switch()进行判断，是否为jpg、png、gif中的一种
- 如果上传的文件的前两个字节不属于这三种，则返回unknown