文件上传四次绕过漏洞

已于 2022-08-24 12:48:29 修改
阅读量1k 收藏 2
点赞数
文章标签： php 服务器 安全
于 2022-08-15 20:48:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_31088019/article/details/126352283
版权

一.上传漏洞

定义

文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和有效的，“文件上传” 本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。

危害

1.上传文件是web脚本语言，服务器的web容器解释并执行了用户上传的脚本，导致代码执行。
2.上传文件是病毒或者木马时，主要用于诱骗用户或者管理员下载执行或者直接 自劢运行；
3.上传文件是Flash的策略文件 crossdomain.xml，黑客用以控制Flash在该域 下的行为(其他通过类似方式控制策略文件的情况类似);
4.上传文件是病毒、木马文件，黑客用以诱骗用户或者管理员下载执行；
5.上传文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执行，被用于钓鱼和欺诈。 除此之外，还有一些不常见的利用方法，比如将上传文件作为一个入口，溢 出服务器的后台处理程序，如图片解析模块;或者上传一个合法的文本文件，其内容包含了PHP脚本，再通过"本地文件包含漏洞(Local File Include)"执行此脚本。

原理

大部分的网站和应用系统都有上传功能，一些文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，导致允许攻击者向某个可通过web访问的目录上传任意PHP文件，并能够将这些文件传递给PHP解释器，就可以在 进程服务器上执行任意PHP脚本。
当系统存在文件上传漏洞时攻击者可以将病毒，木马，WebShell，其他恶意脚本或者是包含了脚本的图片上传到服务器，这些文件将对攻击者后续攻击提供便利。根据具体漏洞的差异，此处上传的脚本可以是正常后缀的PHP，ASP以及JSP脚本，也可以是篡改后缀后的这几类脚本。

二.案例

搭建环境
在这里插入图片描述

第一次漏洞

<?php
header("Content-Type:text/html; charset=utf-8");
require_once('pclzip.lib.php');
$file = $_FILES['file'];
if (!$file) {
    exit("请勿上传空文件");
}
$name = $file['name'];
$dir = 'upload/';
$ext = strtolower(substr(strrchr($name, '.'), 1));

//递归删除  zip  1   web.php
function check_dir($dir)
{
    $handle = opendir($dir);
    while (($f = readdir($handle)) !== false) {
        if (!in_array($f, array('.', '..'))) {
            $ext = strtolower(substr(strrchr($f, '.'), 1));
            if (!in_array($ext, array('jpg', 'gif', 'png'))) {
                unlink($dir . $f);
            }
        }
    }
}
if (!is_dir($dir)) {
    mkdir($dir);
}

// $temp_dir = $dir.md5(time(). rand(1000,9999)).'/';
$temp_dir = $dir . 'member/1/';
if (!is_dir($temp_dir)) {
    mkdir($temp_dir);
}
if (in_array($ext, array('zip', 'jpg', 'gif', 'png'))) {
    if ($ext == 'zip') {    
        if ($archive->extract(PCLZIP_OPT_PATH, $temp_dir, PCLZIP_OPT_REPLACE_NEWER) == 0) {
            check_dir($dir);
            exit("解压失败");
        }
        check_dir($temp_dir);
        exit('上传成功!');
    } else {
        move_uploaded_file($file['tmp_name'], $temp_dir . '/' . $file['name']);
        check_dir($temp_dir);
        exit('上传成功!');
    }
} else {
    exit('仅允许上传zip、jpg、gif、png文件!');
}

可以看到这个是直接删除第一个文件夹里面的内容，但是删除不了第二个文件夹里面的东西。
我们将这两个文件打包压缩
在这里插入图片描述
上传成功后可以看到只有一个图片，php被删了在这里插入图片描述
但是你在桌面创建一个新的文件夹，把照片和php放入文件夹中，再把这个文件夹压缩，上传这个被压缩的文件夹之后，发现php并没有被删除
在这里插入图片描述

小结

未进行递归删除，导致文件夹内的webshell得以保留
修复方法（递归删除，又造成了新的问题）

第二次漏洞

<?php
header("Content-Type:text/html; charset=utf-8");
require_once('pclzip.lib.php');
// echo "<pre>";
// var_dump($_POST['username']);exit;
// // var_dump(file_get_contents("php://input"));exit;
// // var_dump($GLOBALS['HTTP_RAW_POST_DATA']);exit;
// if (!isset($GLOBALS['HTTP_RAW_POST_DATA'])) {
//     exit('环境不支持');
// }
// // 创建图片存储文件夹
// $dir = 'upload/';
// if (!file_exists($dir)) {
//     mkdir($dir);
// }

function check_dir($dir){
    $handle = opendir($dir);
    while(($f = readdir($handle)) !== false){
        if(!in_array($f, array('.', '..'))){
            if(is_dir($dir.$f)){
                check_dir($dir.$f.'/');
             }else{
                $ext = strtolower(substr(strrchr($f, '.'), 1));
                if(!in_array($ext, array('jpg', 'gif', 'png'))){
                    unlink($dir.$f);
                }
            }
        }
    }
}

// // 创建图片存储的临时文件夹
// $temp = $dir.'member/1/';
// if (!file_exists($temp)) {
//     mkdir($temp);
// }

// $filename = $temp.'avatar.zip'; // 存储flashpost图片
// file_put_contents($filename, $GLOBALS['HTTP_RAW_POST_DATA']);

// //第三次绕过
// // $zip=new ZipArchive;//新建一个ZipArchive的对象 
// // if(!$zip->open($filename)){
// //     //check_dir($dir);
// //     exit("fail to open zip file");
// // }

// // if(!$zip->extractTo($temp)) {
// //     exit("fail to extract zip file");
// // }
// $archive = new PclZip($filename);
// if ($archive->extract(PCLZIP_OPT_PATH, $temp, PCLZIP_OPT_REPLACE_NEWER) == 0) {
//        check_dir($dir);
//        exit("解压失败");
// }
// check_dir($dir);
// exit('success');
$file = $_FILES['file'];
if (!$file) {
    exit("请勿上传空文件");
}
$name = $file['name'];
$dir = 'upload/';
$ext = strtolower(substr(strrchr($name, '.'), 1));

//递归删除  zip  1   web.php
// function check_dir($dir)
// {
//     $handle = opendir($dir);
//     while (($f = readdir($handle)) !== false) {
//         if (!in_array($f, array('.', '..'))) {
//             $ext = strtolower(substr(strrchr($f, '.'), 1));
//             if (!in_array($ext, array('jpg', 'gif', 'png'))) {
//                 unlink($dir . $f);
//             }
//         }
//     }
// }
// mkdir($dir);
if (!is_dir($dir)) {
    mkdir($dir);
}
/** 
 * 1.未进行递归删除，导致文件夹内的webshell得以保留
 * 修复方法（递归删除，又造成了新的问题）
 * 2.由于先解压，再删除，导致暴力getshell
 * (时间竞争拿下webshell)
 * 3.将上传目录改为随机数，不能访问，自然不能getshell
 * （可以创造一个加压出错的zip包，虽然解压出错，但其他webshell，以及被解压出来
 * 同时，出错直接exit结束程序，不会执行后续递归删除操作
 * ）
 * 4.解压即便失败，依然使用递归删除，然后退出，这样一来，可以将解压出的文件删除
 * （制造一个特殊名称的webshell，../../../../web.php,当解压时，直接解压到根目录
 * 随后，无论如何删除，也不能影响我们getshell
 * ）
 * 可以将压缩解压缩操作放在非web目录下执行，将需要的文件移动到web目录下，这样可以从
 * 根本解决以上问题
 * 
 * 找到问题的关键，才可以解决，不然无异于盲人摸象。
 */
// $temp_dir = $dir.md5(time(). rand(1000,9999)).'/';
$temp_dir = $dir . 'member/1/';
if (!is_dir($temp_dir)) {
    mkdir($temp_dir);
}

if (in_array($ext, array('zip', 'jpg', 'gif', 'png'))) {
    if ($ext == 'zip') {
        // $zip = new ZipArchive;
        // if(!$zip->open($file['tmp_name'])) {
        //     echo "fail";
        //     return false;
        // }
        // if(!$zip->extractTo($temp_dir)) {
        //     check_dir($temp_dir);
        //     exit("fail to extract");
        // }
        $archive = new PclZip($file['tmp_name']);
        // foreach($archive->listContent() as $value){
        //     $filename = $value["filename"];
        //     if(preg_match('/\.php$/', $filename)){
        //          exit("压缩包内不允许含有php文件!");
        //      }
        // }
        
        if ($archive->extract(PCLZIP_OPT_PATH, $temp_dir, PCLZIP_OPT_REPLACE_NEWER) == 0) {
            check_dir($dir);
            exit("解压失败");
        }
        check_dir($temp_dir);
        exit('上传成功!');
    } else {
        move_uploaded_file($file['tmp_name'], $temp_dir . '/' . $file['name']);
        check_dir($temp_dir);
        exit('上传成功!');
    }
} else {
    exit('仅允许上传zip、jpg、gif、png文件!');
}

这里会判断有没有新的文件夹，如果有的话会进入再删一次
这里有一个逻辑问题，是先判断有没有文件夹，有的话他才会进入删除，所以我们可以直接在他删除直接，在上级或者上上级目录生成一句话木马，利用时间竞争漏洞来写入文件。

<?php 
fputs(fopen('../../../pauload.php','w'),
'phpinfo(); ?>')
?>

然后利用burp suite抓包时间竞争
在这里插入图片描述

全选右键放到intruder，先清除，再随意找到一个数字添加。
请添加图片描述
运行结束后在upload\member\1下去找是否成功

小结

由于先解压，再删除，导致暴力getshell

  • (时间竞争拿下webshell)

第三次漏洞

<?php
header("Content-Type:text/html; charset=utf-8");
require_once('pclzip.lib.php');
function check_dir($dir){
    $handle = opendir($dir);
    while(($f = readdir($handle)) !== false){
        if(!in_array($f, array('.', '..'))){
            if(is_dir($dir.$f)){
                check_dir($dir.$f.'/');
             }else{
                $ext = strtolower(substr(strrchr($f, '.'), 1));
                if(!in_array($ext, array('jpg', 'gif', 'png'))){
                    unlink($dir.$f);
                }
            }
        }
    }
}
$file = $_FILES['file'];
if (!$file) {
    exit("请勿上传空文件");
}
$name = $file['name'];
$dir = 'upload/';
$ext = strtolower(substr(strrchr($name, '.'), 1));
if (!is_dir($dir)) {
    mkdir($dir);
}
$temp_dir = $dir.md5(time(). rand(1000,9999)).'/';
// $temp_dir = $dir . 'member/1/';
if (!is_dir($temp_dir)) {
    mkdir($temp_dir);
}

if (in_array($ext, array('zip', 'jpg', 'gif', 'png'))) {
    if ($ext == 'zip') {
        $archive = new PclZip($file['tmp_name']);
        if ($archive->extract(PCLZIP_OPT_PATH, $temp_dir, PCLZIP_OPT_REPLACE_NEWER) == 0) {
            check_dir($dir);
            exit("解压失败");
        }
        check_dir($temp_dir);
        exit('上传成功!');
    } else {
        move_uploaded_file($file['tmp_name'], $temp_dir . '/' . $file['name']);
        check_dir($temp_dir);
        exit('上传成功!');
    }
} else {
    exit('仅允许上传zip、jpg、gif、png文件!');
}

这次是名称用一段随机数来替代，文件夹的名称是随机的。那样的话就没有办法进行时间竞争，但是，这里也是存在一个判断，让他解压出错，那么不就可以直接退出判断，可以进行解压，但是因为解压失败，所以就直接跳过了删除部分，php也就不会被删除
这里利用010 Editor来进行修改压缩包，让他解压报错

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
出错但是依旧解压完成
我们再用PHP自带的ZipArchive库（代码如图4）测试这个zip，发现解压并没有出错，这也说明ZipArchive的容忍度比较高。
那么我们又让ZipArchive出错最简单的方法，我们可以修改文件名
比如，Windows下不允许文件名中包含冒号（:），
我们就可以在010editor中将2.txt的deFileName属性的值改成“2.tx:”
在这里插入图片描述
此时解压就会出错，但1.php被保留了下来
在这里插入图片描述
在Linux下也有类似的方法，我们可以将文件名改成5个斜杠（/），此时Linux下解压也会出错，但1.php被保留了下来

小结

将上传目录改为随机数，不能访问，自然不能getshell可以创造一个加压出错的zip包，虽然解压出错，但其他webshell，以及被解压出来同时，出错直接exit结束程序，不会执行后续递归删除操作）

第四次漏洞

<?php
header("Content-Type:text/html; charset=utf-8");
require_once('pclzip.lib.php');
$dir = 'upload/';
if (!file_exists($dir)) {
    mkdir($dir);
}

function check_dir($dir){
    $handle = opendir($dir);
    while(($f = readdir($handle)) !== false){
        if(!in_array($f, array('.', '..'))){
            if(is_dir($dir.$f)){
                check_dir($dir.$f.'/');
             }else{
                $ext = strtolower(substr(strrchr($f, '.'), 1));
                if(!in_array($ext, array('jpg', 'gif', 'png'))){
                    unlink($dir.$f);
                }
            }
        }
    }
}
$file = $_FILES['file'];
if (!$file) {
    exit("请勿上传空文件");
}
$name = $file['name'];
$dir = 'upload/';
$ext = strtolower(substr(strrchr($name, '.'), 1));
if (!is_dir($dir)) {
    mkdir($dir);
}

$temp_dir = $dir.md5(time(). rand(1000,9999)).'/';
// $temp_dir = $dir . 'member/1/';
if (!is_dir($temp_dir)) {
    mkdir($temp_dir);
}

if (in_array($ext, array('zip', 'jpg', 'gif', 'png'))) {
    if ($ext == 'zip') {
        $zip = new ZipArchive;
        if(!$zip->open($file['tmp_name'])) {
            echo "fail";
            return false;
        }
        if(!$zip->extractTo($temp_dir)) {
            check_dir($temp_dir);
            exit("fail to extract");
        }
        $archive = new PclZip($file['tmp_name']);        
        if ($archive->extract(PCLZIP_OPT_PATH, $temp_dir, PCLZIP_OPT_REPLACE_NEWER) == 0) {
            check_dir($dir);
            exit("解压失败");
        }
        check_dir($temp_dir);
        exit('上传成功!');
    } else {
        move_uploaded_file($file['tmp_name'], $temp_dir . '/' . $file['name']);
        check_dir($temp_dir);
        exit('上传成功!');
    }
} else {
    exit('仅允许上传zip、jpg、gif、png文件!');
}

这里我们利用一个技巧：修改特殊名称，…/…/…/…/web.php,当解压时，直接解压到根目录 随后，无论如何删除，也不能影响我们getshell。继续利用上一个漏洞的特性，让他解压失败，然后进行删除，而留下来的就是php文件，将php留到上一个目录
在这里插入图片描述
依旧利用010打开，修改名字在这里插入图片描述
成功 解压到了上上级目录
在这里插入图片描述

小结

解压即便失败，依然使用递归删除，然后退出，这样一来，可以将解压出的文件删除制造一个特殊名称的webshell，…/…/…/…/web.php,当解压时，直接解压到根目录随后，无论如何删除，也不能影响我们getshell）可以将压缩解压缩操作放在非web目录下执行，将需要的文件移动到web目录下，这样可以从根本解决以上问题找到问题的关键，才可以解决，不然无异于盲人摸象。

朵拉不会敲代码
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
文件上传漏洞常见绕过方法
05-26
1、前端js检测文件格式 2、上传的文件时加入了“Content-Type”验证 3、文件后缀验证 4、文件后缀黑名单 5、文件头验证 6、文件内容初级验证 7、文件上传+文件包含
Web安全之文件上传漏洞详解
hack0919的博客
04-18 3529
“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果
文件上传校验方式及绕过思路
刘启明
06-17 7452
文件上传校验方式 客户端javascript校验（一般只校验后缀名） 服务端校验 文件头content-type字段校验（image/gif） 文件内容头校验（GIF89a） 后缀名黑名单校验 后缀名白名单校验 自定义正则校验 WAF设备校验（根据不同的WAF产品而定） 1. 客户端校验 一般都是在网页上写一段javascript脚本，校验上传文件的后缀名，有白名单形式也有黑名单形式。 判断...
文件上传漏洞之upload-labs打靶笔记
m0_60716947的博客
05-07 1352
（一）文件上传漏洞 （1）文件上传漏洞的定义 文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和有效的，“文件上传” 本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。 （2）webshell 的定义 WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称之为一种网页后门。攻击者在入侵了一个网站后，通常会将这些asp或
国信安web安全——文件上传漏洞
学习记录
03-01 493
文件上传漏洞 一、漏洞概念 文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。常见场景是web服务器允许用户上传图片或者普通文本文件保存，而用户绕过上传机制上传恶意代码并执行从而控制服务器。 二、漏洞原理 网站Web应用都有一些文件上传功能，比如文档、图片、头像、视频上传，当上传功能的实现代码没有严格校验上传文件的后缀和文件类型，此时攻击者就可以上传一个webshell到一个Web可访问的目录上，并将恶意文件传递给如PHP解释器去执行，之后就可以在服务器上执行恶意
WEB安全基础-文件上传
HAKUNAMATATATTA的博客
11-21 2498
什么是文件上传---将客户端数据以文件形式封装，通过网络协议发送到服务器端。在服务器端解析数据，最终在服务端硬盘上作为真实的文件保存。通常一个文件以HTTP协议进行上传时，将以POST请求发送至Web服务器，Web服务器收到请求并同意后，用户与Web服务器将建立连接，并传输数据。文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和有效的，"文件上传"本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。
2022年文件上传漏洞绕过姿势整理，过waf版
11-20
2022年文件上传漏洞绕过姿势整理，过waf版，绕过思路：对文件的内容，数据。数据包进行处理。2.通过替换大小写来进行绕过
AWD攻防漏洞分析——文件上传
01-20
3、绕过服务器文件扩展名检测上传webshell 4、绕过服务端MIME类型检测上传webshell 5、绕过文件内容检测上传webshell 6、绕过服务端目录路径检测上传webshell 7、绕过服务端漏洞上传webshell 8、利用.htacc
通达OA header身份认证绕过漏洞利用工具
最新发布
12-25
通达OA header身份认证绕过漏洞利用脚本，可以检测漏洞是否存在并生成可用的cookie
文件上传漏洞的思维导图
04-19
文件上传漏洞是网络安全领域中的一个重要话题，主要涉及服务器上的文件管理与权限控制。攻击者通过这类漏洞能够上传恶意文件，从而可能对系统造成严重破坏，包括执行任意代码、获取敏感信息甚至完全控制服务器。以下...
web-渗透-文件上传漏洞专题靶场.rar
03-14
本靶场为二十一个关于文件上传漏洞的环境，从前端绕过、服务器绕过、木马图上传绕过、截断绕过、竞争条件等等几乎包含目前所有的文件上传漏洞类型，刷完即掌握文件上传漏洞的所有要点。 文件中打包了所需的所有环境，解压，运行exe既可以完成所有需要的环境部署，省去大量繁琐的操作。
nginx 上传文件漏洞_文件上传漏洞，解析漏洞总结
weixin_39580124的博客
12-19 663
文件上传漏洞、解析漏洞总结1.文件上传漏洞是什么文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。常见场景是web服务器允许用户上传图片或者普通文本文件保存，而用户绕过上传机制上传恶意代码并执行从而控制服务器。显然这种漏洞是getshell最快最直接的方法之一，需要说明的是上传文件操作本身是没有问题的，问题在于文件上传到服务器后，服务器怎么处理和解释文件...
文件上传原理
syy
04-24 2662
目录 一、什么是文件上传漏洞 二、漏洞产生的原因 三、常见校验上传文件的方法 四、绕过方法 一、pass-01(js前端验证） 二、pass-02（ContentTpye头检测文件类型绕过） 三 、pass-03(文件后缀的判断（黑名单绕过） 四、pass-04(重写解析规则绕过） 五、pass-05（大小写绕过） 六、pass-06(后缀名加空格绕过） 七、pass-07(后缀名加点绕过） 八、pass-08(后缀名加::$DATA绕过） 九、pass-09(利用函数...
PHP 代码审计 --------- 文件上传漏洞
qq_62344745的博客
04-19 535
文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和“文件上传”本身是没有问题，有问题的是文件上传后，服有效的，务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。
【漏洞复现-TypesetterCms-文件上传ZIP】vulfocus/typesetter-cve_2020_25790
10-10 998
【压缩后门文件上传】
生命在于学习——文件包含漏洞学习笔记
易水哲的博客
08-25 576
文件包含漏洞学习笔记
文件上传漏洞详解
yang1234567898的博客
04-16 2138
Micro05932021-06-30 22:20:22 194785 上传漏洞定义 文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和有效的，“文件上传” 本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。 上传漏洞危害 1.上传文件是web脚本语言，服务器的web容器解释并执行了用户上传的脚本，导致代码执行。 2.上传文件是病毒或者木马时，主要用于诱骗用户.
文件上传漏洞
周星星的博客
08-14 607
文件上传漏洞webshell

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

朵拉不会敲代码

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值