PortSwigger 文件上传靶场解题思路

一、通过web shell 上传远程代码

        1、通过wiener用户登录。

        2、 创建1.php文件，内容为：<?php echo file_get_contents('/home/carlos/secret'); ?>

        3、上传1.php文件，返回我的账户。

        4、选中上传的文件，右键查看属性。找到文件上传的位置。

        5、访问2.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端无防护、后端无防护、服务器具备执行条件。

二、通过内容类型限制绕过上传web shell

        1、通过wiener用户登录。

        2、创建1.jgp文件，内容为：<?php echo file_get_contents('/home/carlos/secret'); 

        3、 上传文件，通过Burp Suitte 修改文件名，filename=“1.php”，发送。

        4、返回我的账户，选中上传的文件。右键查看属性。找到文件上传的位置。

        5、访问2.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端防护，限制上传的文件类型，通过Burp Suitte 修改文件名绕过检测。后端无防护，服务器具备执行条件。

三、通过路径遍历上传web shell

        1、通过wiener用户登录。

        2、创建1.php文件，内容为：<?php echo file_get_contents('/home/carlos/secret'); 

        3、 上传文件，通过Burp Suitte 抓取发送的1.php包，修改filename=“..%2f1.php”，发送。

        4、返回我的账户，选中上传的文件。右键查看属性。找到文件上传的位置。

        5、访问..%2f1.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端无防护，后端无防护，服务器具有一定防护，默认上传目录不具备执行权限，更改路径，使其具备执行权限。

四、通过扩展黑名单绕过上传web shell

        1、通过wiener用户登录。

        2、创建1.php5文件，内容为：<?php echo file_get_contents('/home/carlos/secret'); 

        3、创建.htaccess文件，内容为：AddType application/x-httpd-php .php5。

        4、 上传文件，通过Burp Suitte 抓取发送的.htaccess文件包，修改Content-Type:text/plain，发送。

        5、上传1.php5文件，返回我的账户。

        6、选中上传的1.php5文件，右键查看属性。找到文件上传的位置。

        7、访问1.php5文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端无防护，后端配置不解析php文件，通过覆盖配置使.php5 解析成php运行，成功绕过，服务器具备执行条件。

五、通过混淆文件扩展名上传网页外壳

        1、通过wiener用户登录。

        2、创建1.php文件，内容为：<?php echo file_get_contents('/home/carlos/secret'); 

        3、 上传文件，通过Burp Suitte 抓取发送的1.php包，修改filename=“1.php%00.jpg”，发送。

        4、返回我的账户，选中上传的文件。右键查看属性。找到文件上传的位置。

        5、访问1.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端无防护，后端设置白名单，只能上传图片格式，通过低版本%00截断进行绕过，最终将截断的1.php上传成功。服务器具备执行条件。

六、通过多语言web shell 上传远程执行代码

        1、通过wiener用户登录。

        2、创建2.php文件内容为：<?php echo file_get_contents('/home/carlos/secret'); 

找一个正常的图片重命名为1.jpg，通过cmb将两个文件合为一个文件。如图：

copy /b 1.jpg+1.php 2.jpg

        3、 上传文件，通过Burp Suitte 抓取发送的2.jpg包，修改filename=“2.php”，发送。

        4、返回我的账户，选中上传的文件。右键查看属性。找到文件上传的位置。

        5、访问2.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端无防护，后端验证文件指纹、签名、文件头部，通过真实图片与php代码结合进行绕过。服务器具备执行条件。

七、通过竞争条件上传web shell

        1、通过wiener用户登录。

        2、创建2.php文件内容为：<?php echo file_get_contents('/home/carlos/secret'); 

找一个正常的图片重命名为1.jpg，通过cmb将两个文件合为一个文件。如图：

copy /b 1.jpg+1.php 2.jpg

        3、 上传2.jpg，通过Burp Suitte 发送到intruder模块，修改filename=“2.php”，payload type设置 null payloads,payload option选择contiune indefinitely，点击start attack。

        4、返回我的账户，选中上传的文件。右键查看属性。找到文件上传的位置。

        5、访问2.php文件，服务器将执行脚本并返回服务器执行结果。

        总结：前端设置检查，通过Burp Suitte进行绕过。后端进行检查，可通过时间竞争机制，在检查不成功删除前及进行利用，服务器具备执行条件。