upload-labs代码审计 1-12

最新推荐文章于 2023-08-23 23:12:46 发布
最新推荐文章于 2023-08-23 23:12:46 发布
阅读量642 收藏
点赞数 1
分类专栏： 代码审计 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44747030/article/details/127641641
版权

uploadfile代码审计1-5

Pass-01

本关审计要点

主要了解前端JS函数功能是如何对上传文件进行检测的

源码

源码

function checkFile() {
    //var 为js定义变量的关键字 
    //document 用来调用功能点函数实现具体功能的
    //getElementsByName 方法返回带有指定名称的对象的集合,查询的是name属性的值
    //定义一个file变量去获取上传的文件名，比如：9z1nc.jpg 第1个元素：9z1nc
    var file = document.getElementsByName('upload_file')[0].value;
    //如果file 文件为null或者空，弹出提示，返回false。
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";
    //提取上传文件的类型
    //lastIndexOf 从.开始向后匹配
    //substring 提取.后的字符串
    //将提取到的后缀名赋值给ext_name
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    //ext_name + "|"与.jpg|进行对比  不相同则返回-1 弹出errMsg
    if (allow_ext.indexOf(ext_name + "|") == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}

allow_ext.indexOf(ext_name + "|") == -1

只要有.jpg|.png|.gif 就可以被匹配上

在这里插入图片描述

漏洞利用

利用思路

js前端校验，在代码中是获取上传数据包 Content-Disposition: form-data; name="upload_file"; filename="9z1nc.jpg" Content-Disposition字段中的filename元素内容取它的后缀.jpg与allow_ext中的内容对比，正确即可上传，抓包后只需要修改filename=“9z1nc.jpg” 为"9z1nc.php"就可以利用了。

使用蚁剑生产php webshell，先将文件改成.jpg格式上传并使用burp抓包

在这里插入图片描述

在burp中修改后缀为php

在这里插入图片描述

找到当前上传的路径

在这里插入图片描述

成功访问

在这里插入图片描述

Pass-02

本关审计要点

主要关注代码中对文件类型的判断

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

代码中判断了content-type类型是否为image/jpeg，image/png，image/gif 中的一个，如果是则上传成功，不是则弹出提示。我们只需要抓包后修改content-type类型为这3个白名单中的任意一个即可上传成功。

原来content-type类型为Content-Type: application/ocatet-stream

在这里插入图片描述

修改为image/png

在这里插入图片描述

成功上传

在这里插入图片描述

Pass-03

本关审计要点

此关为黑名单校验，主要了解黑名单是如何进行文件上传检测的。

代码审计

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

在代码中可以看到，采用了黑名单的方式定义了一些不可以上传的后缀名(‘.asp’,‘.aspx’,‘.php’,‘.jsp’)和处理掉了一些绕过方式(apache解析漏洞，windows文件流，大小写，双文件名)。但我们还可以利用其他的后缀名绕过代码的检测（php3、 php4、php5、pht、phtml、phps）

这里我们上传一个php5的文件，成功上传。

解析还需要改配置文件，这里就演示一下上传成功的效果

在这里插入图片描述

Pass-04

本关审计要点

本关主要关注move_uploaded_file()函数在上传文件时的移动操作

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

代码中deny_ext 黑名单后缀比较齐全，file_ext也过滤掉了一些绕过方式，但问题出现在$img_path = UPLOAD_PATH.'/'.$file_name; 文件上传后并没有进行重命名的操作，直接将文件保存到相应的路径。我们则可以先上传.htaccess文件(apache中才有)，将白名单中的文件当做Php来解析。

.htaccess(看网上说要上传到网站根目录下才能执行，这里直接上传到当前路径下也可以被解析)

将png文件当做php来解析

AddHandler application/x-httpd-php .png

在这里插入图片描述

Pass-05

本关审计要点

了解.user.ini在文件上传中的作用

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

.user.ini文件是由用户自定义的php.ini文件，而我们可以利用auto_prepend_file与auto_append_file 可以在不改动任何页面的情况下，当需要修改顶部或底部require文件时，只需要修改auto_prepend_file与auto_append_file的值即可。

auto_prepend_file 在页面顶部加载文件

auto_append_file 在页面底部加载文件

可以看到黑名单也禁止了上传htacess文件，我们可以尝试上传.user.ini文件指定去包含xxx.png文件，而.user.ini文件它可以在php文件被执行的时候，去包含一个指定的文件当做代码执行，相当于require。

.user.ini

auto_prepend_file=9z1nc_5.png

这里需要注意 php要修改为非线程安全nts版本，还有测试的时候发现 是在执行上传路径中的php 会被包含成功

在这里插入图片描述

在这里插入图片描述

uploadfile代码审计6-11

Pass-06

本关审计要点

仔细查看过滤逻辑，以及过滤中用到的函数。

源码

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

代码中未使用strtolower()函数对上传的文件名后缀进行小写转换，所以我们可以通过大小写后缀绕过黑名单。

上传文件为9z1nc.pHP

在这里插入图片描述

Pass-07

本关审计要点

仔细查看过滤逻辑，以及过滤中用到的函数。

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file,$img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

代码中未使用trim()函数对上传文件的后缀名进行收尾去空，我们可以上传文件名为 9z1nc_7.php 的文件

在这里插入图片描述

访问成功

在这里插入图片描述

本地测试的时候发现 php版本7.1.9以上开始就会出现上传出错

在这里插入图片描述

Pass-08

本关审计要点

仔细查看过滤逻辑，以及过滤中用到的函数。

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

代码中未使用deldot()函数删除上传文件后缀末尾的.，我们可以上传9z1nc.php.文件，而windwos在读取文件的时候会去掉末尾的.号，上传文件时候php.绕过了代码的过滤，.号windows会自己去掉，所以可以成功访问到自己的webshell

在这里插入图片描述

上传成功(php 5.6.9) php7.4.30上传失败

在这里插入图片描述

Pass-09

本关审计要点

了解Windows中::$DATA特性

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

:: D A T A W i n d o w s 会将 : : DATA Windows会将:: DATAWindows会将::DATA当成文件流来处理

例如:"9z1nc_9.php::$DATA"Windows会自动去掉末尾的::$DATA变成"9z1nc_9.php"

代码中未对:: D A T A 进行过滤，我们可以通过 : : DATA进行过滤，我们可以通过:: DATA进行过滤，我们可以通过::DATA绕过代码的限制，上传我们的webshell

在这里插入图片描述

上传成功，上传到服务器的文件在Windows中会自动去掉::$DATA

在这里插入图片描述

Pass-10

本关审计要点

仔细查看过滤逻辑，以及str_ireplace()函数的作用。

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        //str_ireplace  将::$DATA替换为空=去除字符串::$DATA
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

漏洞利用

利用思路

​ 代码首先会获取上传的文件名并赋值给file_name变量并且使用trim()函数去掉上传文件名两边的空格再使用deldot()函数删除文件名末尾的点号；strrchr()函数处理filename变量获取到的文件名，取最后一次.号到后面的字符串赋值给file_ext 变量，接着对file_ext 变量进行转换为小写，去除字符串::$DATA，首尾去空的操作。这里还有一个问题就是未对上传的文件名进行重命名的操作，导致成功上传

​ 通过以上的代码逻辑，我们发现可以上传 名为**9z1nc.php.**空格. 的文件即可绕过代码逻辑，最后经过代码的处理 文件名为 9z1nc.php.

在这里插入图片描述

在这里插入图片描述

Pass-11

本关审计要点

仔细查看过滤逻辑，以及str_ireplace()函数的作用。

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = UPLOAD_PATH.'/'.$file_name;        
        if (move_uploaded_file($temp_file, $img_path)) {
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }

漏洞利用

利用思路

​ 代码中的逻辑问题，$file_name = str_ireplace($deny_ext,"", $file_name);将deny_ext定义的黑名单文件名进行替换为空“”，也就是我们上传9z1nc_11.php会变成9z1nc。但该代码逻辑并没有循环的去处黑名单后缀名，所以我们可以上传9z1nc_11.pphphp进行绕过。

在这里插入图片描述

在这里插入图片描述

uploadfile代码审计12-16

Pass-12

本关审计要点

白名单中文件上传的绕过方式

源码

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

漏洞利用

利用思路

​ strrpos() 函数查找字符串在另一字符串中最后一次出现的位置。echo strrpos("Hello world",w)+1; //6。substr() 函数返回字符串的一部分。echo substr("Hello world",6);//word。$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);如果我们的上传文件名为demo.php。strrpos($_FILES['upload_file']['name'],".")+1 获取.号的下标为5，取到后缀名php。in_array( f i l e e x t , file_ext, filee​xt,ext_arr)函数搜索数组ext_arr中是否存在指定的值$file_ext。

我们将filename 修改为9z1nc_12.jpg绕过白名单校验，在通过get请求上传文件名为9z1nc_12.php%00

​ 由于在get传参时%00会被url编码转义一次变成0x00，而路径中如果遇到0x00空白字符会丢弃后面的内容

/upload/Pass-12/index.php?save_path=…/upload/9z1nc_12.php%00

filename=“9z1nc_12.jpg”

在这里插入图片描述

在这里插入图片描述

evilxpl
关注
专栏目录
Upload-Labs高级+代码审计
afei001
02-24 301
目录 15.Pass-15：图片马绕过getimagesize() 16.Pass-16：图片马绕过exif_imagetype() 17.Pass-17：图片马绕过图像二次渲染 18.Pass-18：条件竞争绕过 19.Pass-19：条件竞争加解析漏洞绕过 20.Pass-20：%00截断或者加.绕过 21.Pass-21：数组结合Windows特性绕过 前言：本文涉及的python脚本不要做伸手党Ctrl+c Ctrl+v，尝试自己去写，你也可以。 ...
Upload-Labs初级+代码审计
afei001
02-09 344
目录 一、Upload-Labs环境搭建 1.Pass-01：前端绕过 2.Pass-02：Content-Type绕过 3.Pass-03：PHP后缀绕过 4.Pass-04：覆盖.htaccess绕过 5.Pass-05：上传.user.ini绕过 6.Pass-06：后缀大小写绕过 7.Pass-07：空格绕过 一、Upload-Labs环境搭建 upload-labs是github上的一个开源项目，可以帮助安全人员学习PHP环境下各种文件上传的绕过方式和原理，...
Upload-Labs中级+代码审计
afei001
02-21 254
8.Pass-08：文件末尾加点(.)绕过 利用Windows的特性：windows会对文件中的点进行自动去除，所以可以在文件末尾加点绕过。注意：对Linux系统不适用。 上传成功，上传的PHP文件解析成功，菜刀连接即可。 PHP代码分析： $is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(UPLOAD_PATH)) { $deny_...
upload-labs通关手册（1-9关）加代码审计
xiao_he0123的博客
03-23 4844
upload-labs通关手册前言一、文件上传二、通关手册1.pass-012.pass-02（白名单之MIME绕过 ）代码分析通关方法3.pass-03（黑名单之特殊解析后缀）代码分析通关方法4.pass-04（黑名单之.htaccess解析）代码分析通关方法5.pass-056.pass-06（黑名单之大小写绕过）代码分析通关方法总结 前言 upload是基于文件上传漏洞的一个靶场，在里面可以学习到文件上传的一些常见方法 一、文件上传 文件上传常见验证：后缀名，类型，文件头等 后缀名： 有白名单和
upload-labs通关手册（10-20）加代码审计
xiao_he0123的博客
03-25 4561
upload-labs通关手册（10-20）前言二、通关手册pass-10（黑名单之双后缀名绕过）源码分析通关方法pass-11（白名单之%00截断绕过）源码分析通关手册pass-12（）总结 前言 上篇博文记录了1-9关的通关手册，这篇文章我们记录一下10-20关的通关手册 二、通关手册 pass-10（黑名单之双后缀名绕过） 源码如下 $is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(
WEB渗透学习-upload-labs靶场
04-20
3. **代码审计**：尝试阅读靶场源码，理解服务器端的验证逻辑，以便找出可利用之处。 4. **漏洞修复**：在攻破关卡后，思考如何修复这些漏洞，以增强防御意识。 ### 四、靶场挑战与收获 upload-labs靶场为学习者...
upload-labs19-20以及总结1
08-08
7. **代码审计**：解决这些关卡的关键在于对源码进行深入分析，寻找可能的漏洞。通过代码审计，我们可以找到那些不恰当的安全控制并利用它们。 8. **多途径解决问题**：在网络安全领域，通常有多种方法可以达到同一...
手把手教你玩转upload-labs靶场(1--20关超详细保姆级)
最新发布
weixin_52796034的博客
08-23 900
Upload-labs靶场是一个内容全面且开源的PHP文件上传漏洞训练场所。它以真实的文件上传漏洞场景为基础，为安全研究人员和开发人员提供了一个实践和学习的平台。靶场提供了多种不同类型的漏洞场景，涵盖了文件类型绕过、文件名绕过、MIME类型绕过、大小限制绕过等多个方面。每个场景都有详细的解题思路和说明，帮助用户深入理解漏洞的原理和利用方式。通过上传恶意文件，用户可以亲身体验漏洞的利用技巧，并学习如何防范这些漏洞。Upload-labs靶场不仅提供了实践性，还提供了防御机制的实践，帮助用户全面了解如何保护系统
upload-labs-master【文件上传靶场】
04-05
"upload-labs-master【文件上传靶场】" 是一个针对文件上传功能安全性的测试平台，主要目的是帮助开发者、安全人员以及爱好者检验和学习文件上传漏洞的防范措施。在这个靶场中，你可以模拟不同的攻击手段，了解如何...
upload-labs通关秘籍和安装环境
weixin_47543868的博客
12-18 8136
upload-labs通关一.什么是upload-labs?二.漏洞三.安装环境四.小试牛刀第一关 pass-01 客户端检测绕过(js检测)第二关 pass-02 content-type（服务器端检测–MIME 类型）第三关 上传可解析的文件后缀名第四关 黑名绕过 .htaccess第五关 黑名单 大小写绕过第六关 黑名单 空格绕过第七关 黑名单 点绕过第八关 黑名单 ::$DATA第九关 点 空格绕过黑名单第十关 双写绕过黑名单第十一关第十二关第十三关第十四关第十五关第十六关第十七关 一.什么
upload-labs通关小记 Pass11-16 含代码审计
Neonline254的博客
10-26 730
记录了学习"文件上传漏洞"时打的upload-labs靶场Pass11-16，包含具体的实验过程和一些题目的代码审计。
upload-labs 21超详细通关笔记+部分代码审计（条件竞争等）
m0_51330619的博客
12-02 448
1-1 前端JS校验绕过 右键查看源码，发现是在前端进行JS校验，尝试抓包后修改文件类型绕过 function checkFile() { var file = document.getElementsByName('upload_file')[0].value; if (file == null || file == "") { alert("请选择要上传的文件!"); return false; } //定义允许上传的文件类型 v
文件上传之upload-labs闯关—白盒审计
内心不种满鲜花就会长满杂草
02-15 1392
先补充前置知识 $_FILES PHP 的全局数组 $_FILES，通过其我们可以向服务器上传文件。全局意味着我们可以在任何位置访问到这个变量 1. 建立一个 form.html 演示上传文件，其中的代码如下： <html> <head></head> <body></body> <form enctype="multipart/form-data" action="upload_file.php" method="POST"...
upload-labs教程
被迫敲代码的张先森的博客
02-27 1433
Upload-labs Pass-01： 首先写一个一句话木马的PHP文件，打开pass-01，查看提示，判断这题应该是如何绕过js验证，用查看器将οnsubmit=“return checkFile()”这段代码删除，然后shell.php就成功上传了。 接着用中国菜刀验证一下，看到了我们上传的文件。（网上还看见另一种用抓包的方法，就不写了…) Pass-02： 首先看一下提示（不知道mime...
Upload-Labs渗透笔记
mingyqf的博客
02-02 159
靶机项目地址：https://github.com/c0ny1/upload-labs 参考其它大佬的文章，有时间再补充吧 Pass-01 1.直接上传php一句话，报错 2.信息回显速度很快，猜想是前端验证，可以在修改前端代码，删掉checkFile()函数，或者上传jpg后缀通过burp抓包修改php后缀绕过前端验证 3.上传成功 4.菜刀连接成功 5.分析源码 Javascript前端语言定义函数，仅在前端判断文件的后缀。 Pass-02 1.直接上传，发现提示文件类型不正确 2.抓包
Web安全系列-文件上传靶场upload-labs
Galaxy_0的博客
01-18 480
Web安全系列-文件上传靶场upload-labs
upload-labs 通关攻略
万丈⾼楼平地起，勿在浮沙筑⾼台学艺不精的安全菜鸡，改行回家养猪了，对博客有疑问欢迎留言，看到一定回
02-15 4158
项目地址：https://github.com/c0ny1/upload-labs 1、上传漏洞总结 2、upload_labs 1、客户端使用JS校验 直接禁用JS即可，或者直接F12重新定义一下校验函数，使校验函数无效。 2、修改content-type 使用burp抓包，修改Content-Type的值为image/jpeg，成功绕过。 3、使用特殊后缀绕过 使用特殊后缀php3、phtml等。 4、.htaccess AddType application/x-httpd-php .png
怎样进行代码审计
蚁景网安学院
03-19 1701
怎样来php代码审计 概况： 工具和常见的几种思想 常见的点 一套简单的CMS源码审计 总结 这篇是关于php； 常见的也是php的代码审计，类似java框架，asp.net，python的Django还是有漏洞之类的，只是比较固定和稀少； 像php这种语言本身就是弱语言类型（很多点都利用了弱类型比较和转换），功能函数也是奇多（导致了其与sql，xml等语言的花式组合），加之处...
upload-labs打关详解
bamanju0574的博客
09-12 1174
1-19关 00x01 JS检查 方法一.修改javascript代码，将.php添加到允许上传的类型中 3.上传成功 方法二：绕过前端，通过burpsuit抓包，上传一张info.jpg图片，然后抓包之后，将后缀改为.php，发包上传成功 00x02 服务端对数据包的MIME进行检查 1. burpsuite类型type绕过，上传.ph...
Upload-labs靶场攻略：文件上传漏洞分析
这个平台由tinyfisher创建，并在GitHub上开源，项目地址是<https://github.com/c0ny1/upload-labs>。Upload-labs支持多种操作系统，如Windows和Linux，并且推荐使用PHP 5.2.17版本，因为某些挑战可能在其他版本的PHP...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值