upload labs实战11-20

已于 2023-05-24 21:09:53 修改
阅读量49 收藏
点赞数
分类专栏： Web 文章标签： php 前端
于 2023-04-09 18:00:09 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42410771/article/details/130045218
版权
文件上传漏洞
摘要由CSDN通过智能技术生成

Pass-11 GET00截断绕过

image.png

<?php
include '../config.php';
include '../head.php';
include '../menu.php';

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
  //获取后缀名
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
		//上传的文件最终要保存的目录 读到%00就结束了
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}
?>

如果上传路径不可控

image.png image.png

Pass-12 POST00截断绕过

![image.png](https://img-blog.csdnimg.cn/img_convert/be843206c8e26f0b211a9c571b8497e2.png#averageHue=#f1f0f0&clientId=u87ac3729-03d2-4&from=paste&height=122&id=ubade5463&name=image.png&originHeight=122&originWidth=472&originalType=binary&ratio=1&rotation=0&showTitle=true&size=10960&status=done&style=none&taskId=u46dcb395-db00-4b12-8f6e-ddf0e756e3a&title=要在Hex 00截断&width=472 “要在Hex 00截断”)

Pass-13 图片马绕过

方法1

image.png
http://www.upload.com/include.php?file=./upload/9620220222032411.gif
文件头验证函数

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

方法2

上传合成图片马

Pass-14 图片马绕过

文件后缀验证

<?php
include '../config.php';
include '../head.php';
include '../menu.php';

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
		//获取图片信息
        $info = getimagesize($filename);
		//用来获取图片后缀
        $ext = image_type_to_extension($info[2]);//函数用来获取上一个函数结果的第三个位置数据
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
	//获取临时文件名称
    $temp_file = $_FILES['upload_file']['tmp_name'];
	//判断
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}
?>

Pass-15 exif_imagetype绕过

函数返回值类型验证

<?php
include '../config.php';
include '../head.php';
include '../menu.php';

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
  //临时路径
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
      //生成一个新的路径
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
      //将上传文件放入新的路径
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}
?>

Pass-16 图像二次渲染绕过

<?php
include '../config.php';
include '../head.php';
include '../menu.php';

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=UPLOAD_PATH.'/'.basename($filename);//basename()：显示带有文件扩展名的文件名

    // 获得上传文件的扩展名
	  搜索 "." 在字符串中的位置，并返回从该位置到字符串结尾的所有字符
    $fileext= substr(strrchr($filename,"."),1);
    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
      将文件移动到上传目录
        if(move_uploaded _file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
              创建一块画布，并从JPEG文件或者URL地址载入一副图像
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }

先上传一个gif文件，上传成功后另存到本地，利用WinHex查看二进制文件，在不变的部分插入一句话木马。
image.png

Pass-17 条件竞争绕过

<?php
include '../config.php';
include '../head.php';
include '../menu.php';

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}
?>

利用 u p l o a d f i l e 与 r e n a m e ( upload_file与rename( uploadf​ile与rename(upload_file, $img_path)的时间差

Pass-18 条件竞争加解析漏洞绕过

Pass-19 00截断漏洞绕过

<?php
include '../config.php';
include '../common.php';
include '../head.php';
include '../menu.php';

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");


        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}
?>
  1. 把lw19.php改为lw19.jpg,绕过 if(!in_array( f i l e e x t , file_ext, filee​xt,deny_ext))
  2. 利用Windows特性，通过截断，读到%00就结束了，

绕过 i m g p a t h = U P L O A D P A T H . ′ / ′ . img_path = UPLOAD_PATH . '/' . imgp​ath=UPLOADP​ATH.′/′.file_name;
if (move_uploaded_file($temp_file, $img_path))
image.png
image.png

Pass-20 数组配合windows特性绕过

<?php
include '../config.php';
include '../common.php';
include '../head.php';
include '../menu.php';

if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {

        $is_upload = false;
        $msg = null;
        if(!empty($_FILES['upload_file'])){
            //mime check
            $allow_type = array('image/jpeg','image/png','image/gif');
            if(!in_array($_FILES['upload_file']['type'],$allow_type)){
                $msg = "禁止上传该类型文件!";
            }else{
                //check filename
                $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
                if (!is_array($file)) {
                    $file = explode('.', strtolower($file));
                }//a.php 用点分割开

                $ext = end($file);//取数组最后一个元素 也就是取后缀名
                $allow_suffix = array('jpg','png','gif');
                if (!in_array($ext, $allow_suffix)) {
                    $msg = "禁止上传该后缀文件!";
                }else{
                    $file_name = reset($file) . '.' . $file[count($file) - 1];
                  a.php
                    $temp_file = $_FILES['upload_file']['tmp_name'];
                    $img_path = UPLOAD_PATH . '/' .$file_name;
                    if (move_uploaded_file($temp_file, $img_path)) {
                        $msg = "文件上传成功！";
                        $is_upload = true;
                    } else {
                        $msg = "文件上传失败！";
                    }
                }
            }
        }else{
            $msg = "请选择要上传的文件！";
        }
        
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}
?>

array[2]
[0]=>“20.php”
[2]=>“jpg”
image.png

  • 首先修改Content-Type: application/octet-stream为

image/jpeg 绕过if(!in_array( F I L E S [ ′ u p l o a d f i l e ′ ] [ ′ t y p e ′ ] , _FILES['upload_file']['type'], F​ILES[′uploadf​ile′][′type′],allow_type))

  • 当 e x t = e n d ( ext = end( ext=end(file)时，取jpg,正好绕过了
$allow_suffix = array('jpg','png','gif');
    if (!in_array($ext, $allow_suffix)) {
        $msg = "禁止上传该后缀文件!";
  • 当 f i l e n a m e = r e s e t ( file_name = reset( filen​ame=reset(file) . ‘.’ . f i l e [ c o u n t ( file[count( file[count(file) - 1]时，刚好取lwbb20.php
只懂一点点run
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
upload labs实战1-10
weixin_42410771的博客
04-09 45
文件上传漏洞代码审计
文件上传漏洞-uploadlabs靶场11~20关解析
黄乔国PHP
03-19 1169
在现代互联网的web应用程序中，上传文件是一种常见的功能，因为它有助于提高业务效率，比如社交网站中，允许用户上传图片、视频、头像和许多其他类型的文件。然而向用户提供的功能越多，web应用受到攻击的风险就越大，如果web应用存在文件上传漏洞，那么恶意用户就可以利用文件上传漏洞将可执行脚本程序上传到服务器中，获取网站的权限，或者进一步危害服务器。
文件上传漏洞——upload-labs(11-20)
Lemon's blog
08-07 1568
前言：上次文件上传漏洞学习到第十关，这次继续学习 第十一关 分析源码 前面几行代码都是对后缀名进行限制，最重要的就是这一句代码 $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext; 发现save_path用户是可控的，那么就利用%00截断来绕过 在此之前，先来了解一下截断上传的原理 在url...
Upload LABS Pass-11
热门推荐
wangyuxiang946的博客
07-05 1万+
uploadlabs11，upload labs 第十一关在服务端使用了白名单 , 但文件保存路径外漏 , 可以使用00截断
上传漏洞 Upload-Labs实战
浪子燕青的博客
02-25 5515
上传漏洞 Upload-Labs-1 Upload-labs是国内一个老哥c0ny1开源的上传漏洞靶子，下载地址 https://github.com/c0ny1/upload-labs 与sqli-labs有些类似，主要专注于上传漏洞这一块。 为了方便下载，已经保存到当前服务器下 下载地址 环境搭建 默认下载PHP+Mysql即可，如果之前有搭建过sqli-labs的话，直接把项目放在www目录下即可。 然后打开，这个时候网页会提示undefined index。。。。，这其实不是异常，而是PHP的提示
upload-labs 1-21
Starr
02-22 644
文章目录BlackListPass 1Pass 2Pass 3Pass 4Pass 5Pass 6 大小写绕过Pass 7 未删除空格Pass 9 ::$DATAPass 10Pass 11Pass 20WhiteListPass 12 GET 00截断Pass 13 POST 00截断Pass 14Pass 15 getimagesizePass 16 exif_imagetypePass 17Pass 18Pass 19Pass 21 每一关的木马文件以关卡号命名。 实战中如果是黑盒测试，应该只能一个个
手把手教你玩转upload-labs靶场(1--20关超详细保姆级)
weixin_52796034的博客
08-23 751
Upload-labs靶场是一个内容全面且开源的PHP文件上传漏洞训练场所。它以真实的文件上传漏洞场景为基础，为安全研究人员和开发人员提供了一个实践和学习的平台。靶场提供了多种不同类型的漏洞场景，涵盖了文件类型绕过、文件名绕过、MIME类型绕过、大小限制绕过等多个方面。每个场景都有详细的解题思路和说明，帮助用户深入理解漏洞的原理和利用方式。通过上传恶意文件，用户可以亲身体验漏洞的利用技巧，并学习如何防范这些漏洞。Upload-labs靶场不仅提供了实践性，还提供了防御机制的实践，帮助用户全面了解如何保护系统
Upload-labs 1-20关靶场通关攻略(全网最全最完整)
dragon的博客
03-15 4160
在github上找upload-labs-0.1环境，部署在小皮面板上也可以直接下载他的集成的环境。 Sethandler将该目录及子目录的所有文件均映射为php文件类型。 Addhandler使用 php5-script 处理器来解析所匹配到的文件。 AddType将特定扩展名文件映射为php文件类型。 简单来说就是，可以将我们所的文件都解析成php或者是特定的文件解析为php 当 PHP 在处理文件名或路径时，如果遇到 URL 编码的 %00，它会被解释为一个空字节（ASCII 值为 0）
upload-labs靶场通关指南（20-21关）
永远是少年
10-02 798
今天继续给大家介绍渗透测试相关知识，本文主要内容是upload-labs靶场通关指南（20-21关）。 一、第20关 二、第21关
upload-labs-master【文件上传靶场】
04-05
"upload-labs-master【文件上传靶场】" 是一个针对文件上传功能安全性的测试平台，主要目的是帮助开发者、安全人员以及爱好者检验和学习文件上传漏洞的防范措施。在这个靶场中，你可以模拟不同的攻击手段，了解如何...
upload-labs.rar
03-19
Upload-labs是一个专注于Web安全领域的靶场平台，它集成了各种类型的文件上传漏洞，为安全研究者和测试人员提供了一个实战演练的环境。这个平台旨在帮助用户深入理解文件上传漏洞的工作原理，学习如何识别、利用以及...
upload-labs文件上传靶场
11-24
总结来说，upload-labs靶场是一个极好的学习资源，它涵盖了文件上传漏洞的多个层面，提供了一手的实战经验。通过反复的尝试和学习，不仅可以掌握文件上传漏洞的攻防技巧，还能提高对Web安全整体架构的理解。无论你是...
【PHP小课堂】PHP中的数组函数学习（一）
硬核项目经理
07-22 458
PHP中的数组函数学习（一）数组操作可是 PHP 中的重头戏，重头到什么地步呢？别的语言可以说是面向对象、面向过程，PHP 则可以完全说是面向数组的一种语言。它的各种数据结构到最后都可以用数组来表示，这就是很恐怖的一件事。因为不管什么操作，我们都可以以数组的形式操作，这样的话，这些数组操作相关的函数就会显得异常的强大。当然，这也和语言的发展特性分不开。从最开始，PHP 就只是一个准备服务于个人的小...
BUUCTF [WUSTCTF2020]朴实无华
weixin_73399382的博客
07-22 282
第一块就是intval函数的绕过，逻辑上是不存在小于2020又大于2021的数，但是php低版本好像是7点多和以下该函数对不同类型的数据处理有偏差，第二处则是md5函数绕过，
PHP项目开发流程概述
api77的博客
07-19 542
需求分析是项目开发的起始点，主要目的是明确项目的目标、功能需求、用户群体等。这一阶段通常通过用户访谈、市场调研、竞品分析等方式进行。
MICA：面向复杂嵌入式系统的混合关键性部署框架
最新发布
openEuler_的博客
07-23 657
这种方式存在的问题是：硬件上需要两套系统、集成度不高，通信受限于片外物理机制的限制（如速度、时延等），软件上 Linux 和实时操作系统两者之间是割裂的，在灵活性上、可维护性上存在改进空间。在上述架构中，virtio-rpmsg 相当于网络协议中的 MAC 层，提供高效的底层通信机制，rpmsg 相当于网络协议中的传输层，提供了基于端点（endpoint）与通道（channel）抽象的通信机制，remoteproc 提供不同南向底座的生命周期管理功能，包括初始化、启动、暂停、结束等。MICA 的守护进程。
rce漏洞-ctfshow（50-70）
m0_74402888的博客
07-23 661
文件名：
【CTFWP】ctfshow-web42
LongL_GuYu的博客
07-23 556
CTFWP，ctfshow-web42
upload-labs-docker-main如何配置
04-18
upload-labs-docker-main 是一个 Docker 环境，用于运行 Upload-labs 的题目，所以需要先安装 Docker 。然后可以通过以下步骤配置： 1. 克隆 upload-labs-docker-main 项目到本地； 2. 进入 upload-labs-docker-...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值