upload-labs:pass-12

 

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

白名单检查，绕不了。

不过有个这个

$img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

我们可以对文件路径继续控制。

GET%00截断：%00是字符串的结束标识符，攻击者可以利用手动添加字符串标识符的方式来将后面的内容进行截断，而后面的内容又可以帮助我们绕过检测。

0x00截断具体分析

不过该漏洞的条件也比较苛刻：

PHP版本小于5.3.4

配置文件中magic_quotes_gpc设为OFF

 

 

 

 就有了。