从开发角度理解漏洞成因（03）

渗透测试小白

已于 2024-05-08 16:07:33 修改

阅读量874

点赞数 12

分类专栏：渗透测试全栈之路 - 代码基础文章标签： php 渗透测试网络安全安全靶场 ajax js json

于 2024-05-08 15:31:24 首次发布

本文链接：https://blog.csdn.net/weixin_44971640/article/details/138574001

版权

渗透测试全栈之路 - 代码基础专栏收录该内容

5 篇文章 0 订阅

订阅专栏

文章目录

JS前端验证 - 文件上传
Ajax 登录验证，状态回显，状态码
- 设计
- 修改返回包绕过登录验证
通过Ajax 传递数据进行购物验证
- 设计1
- 此漏洞也可以修改状态码绕过

持续更新中…

文章中代码资源已上传资源，如需要打包好的请点击PHP开发漏洞环境（SQL注入+文件上传+文件下载+XSS+万能密码+session/cookie+购物逻辑漏洞的学习等等）

JS前端验证 - 文件上传

设计

文件上传 - 类型 - 过滤

通过JavaScript进行文件后缀筛选验证,php代码进行接受文件存储

<form class="upload" method="post" enctype="multipart/form-data" action="">  
    <input class="uploadfile" type="file" name="upload" onchange="checkFileExt(this.value)"/><br/>  
    <input class="sub" type="submit" name="submit" value="开始上传"/>  
</form>  
<script src="../JS/jquery-1.12.4.js"></script>  
<script>  
    //对文件上传的后缀名进行验证，符合要求的才能上传  
    //功能实现可以由PHP或者JS去实现  
    //两种去验证的区别：PHP 验证的代码看不到，只能黑盒测试(后端 服务端)；JS验证的代码可以看到，白盒测试（前端 浏览器）  
    function checkFileExt(filename) {//检测文件后缀，传入参数叫filename  
        var flag = false;//状态  
        var arr = ["jpg", "png", "gif"];//声明一个数组  
        //取出上传文件的扩展名  
        //111.1.jpg index=111.1 ext=jpg  
        var index = filename.lastIndexOf(".");  
        var ext = filename.substring(index + 1);  
        //比较  
        for (var i = 0; i < arr.length; i++) {  
            if (ext == arr[i]) {  
                flag = true;//一旦找到一样的,立即退出循环  
                alert("上传的文件符合要求！");  
                break;  
            }  
        }  
        if (!flag) {  
            alert("上传的文件不符合要求，请重新选择！");  
            event.target.value = ''; // 清空文件输入  
            event.preventDefault(); // 阻止表单提交  
            location.reload(); // 重新加载页面  
        }  
    }  
</script>  
<?php  
header("Content-Type: text/html; charset=UTF-8");  
  
if ($_SERVER['REQUEST_METHOD'] === 'POST') {  
    // 获取文件名  
    $name = $_FILES['upload']['name'];  
    // 获取上传文件的临时文件名  
    $tmp_name = $_FILES['upload']['tmp_name'];  
  
    // 移动文件到上传目录  
    if (move_uploaded_file($tmp_name, "../upload/upload/" . $name)) {  
        echo '文件存储在：' . "../upload/upload/" . $name;  
    } else {  
        echo '上传失败！';  
    }  
}  
?>

浏览器禁用JS，前端绕过文件上传漏洞

如何判断网站是否使用JS前端验证
1、右键源代码，js代码是可以在前端源代码中显示的
2、返回时间，回显时间

验证漏洞

正常如果要上传一个php一句话木马，是上传不上去的，会提示不符合文件类型

我们可以通过，禁用浏览器的JavaScript选项来进行绕过

漏洞利用成功

Ajax 登录验证，状态回显，状态码

设计

通过Ajax传递数据进行用户登录验证

login.html

<!DOCTYPE html>  
<html lang="en">  
<head>  
    <meta charset="UTF-8">  
    <title>后台登录</title>  
    <style>        body {  
            background-color: #f1f1f1;  
        }  
        .login {  
            width: 400px;  
            margin: 100px auto;  
            background-color: #fff;  
            border-radius: 5px;  
            box-shadow: 0 0 10px rgba(0,0,0,0.3);  
            padding: 30px;  
        }  
        .login h2 {  
            text-align: center;  
            font-size: 2em;  
            margin-bottom: 30px;  
        }  
        .login label {  
            display: block;  
            margin-bottom: 20px;  
            font-size: 1.2em;  
        }  
        .login input[type="text"], .login input[type="password"] {  
            width: 100%;  
            padding: 10px;  
            border: 1px solid #ccc;  
            border-radius: 5px;  
            font-size: 1.2em;  
            margin-bottom: 20px;  
        }  
        .login input[type="submit"] {  
            background-color: #2ecc71;  
            color: #fff;  
            border: none;  
            padding: 10px 20px;  
            border-radius: 5px;  
            font-size: 1.2em;  
            cursor: pointer;  
        }  
        .login input[type="submit"]:hover {  
            background-color: #27ae60;  
        }  
    </style>  
</head>  
<body>  
<div class="login">  
    <h2>后台登录</h2>  
    <label for="username">用户名:</label>  
    <input type="text" name="username" id="username" class="user" >  
    <label for="password">密码:</label>  
    <input type="password" name="password" id="password" class="pass" >  
    <button>登录</button>  
</div>  
<script src="../JS/jquery-1.12.4.js"></script>  
<script>  
    $('button').click(function () { //如果这里有个点击事件，会触发一个函数  
        $.ajax({  
            type: 'POST',//以什么方式是发送这个数据  
            url: 'ajax.php',//发送到哪里  
            dataType: 'json',//发送的数据类型为json  
            data: {  
                myName: $('.user').val(),//发送的数据 键值是表单class="user">  
                myPass: $('.pass').val(),//发送的数据 键值是表单class="pass">  
            },  
            success: function (res) {  
                if(res.infocode == 1){  
                    alert('成功登录');  
                }else {  
                    alert('登录失败');  
                }  
            }  
        })  
  
    })  
  
</script>  
</body>  
</html>

ajax.php

<?php  
$success = array('msg' => 'ok');//键值msg=ok  
$username = $_POST['myName'];  
$password = $_POST['myPass'];//接受html的变量  
if ($username == 'user1' && $password == '123456') {  
    $success['infocode']=1;//1表示成功登录  
}else{  
    $success['infocode']=0;//0表示失败登录  
}  
  
echo json_encode($success);

修改返回包绕过登录验证

通过代码分析，发现登录成功验证的逻辑是 infocode = 1 ，那么我们就可以通过修改返回数据包进行绕过。

通过Ajax 传递数据进行购物验证

设计1

商品价格以前端设置价格为准，数据接受价格后运算

shop.html

<!DOCTYPE html>  
<html lang="en">  
<head>  
    <meta charset="UTF-8">  
    <title>商品购买</title>  
</head>  
<body>  
<img src="iphone.jpg" width="270" height="270" alt=""><br>  
金钱：10000<br>  
商品价格：8888<br>  
数量：<input type="text" name="number" class="number">  
<button>购买</button>  
</body>  
</html>  
  
<script src="../JS/jquery-1.12.4.js"></script>  
<script>  
    $("button").click(function () {  
        $.ajax({  
            type: 'POST',  
            url: 'shop.php',  
            data: {  
                num: $('.number').val(),  
            },  
            success: function (res) {  
                console.log(res);  
                if (res['infoCode'] == 1) {  
                    alert('购买成功');  
                    //购买成功的流程  
                } else {  
                    alert('购买失败');  
                }  
            },  
            dataType: 'json',  
        });  
  
    });  
</script>

shop.php

<?php  
  
$num = $_POST['num'];  
  
//真实情况需要在数据库获取  
$success = array('msg' => 'ok');  
if (10000>=($num*8888)) {  
    $success['infoCode'] = 1;  
} else {  
    $success['infoCode'] = 0;  
}  
echo json_encode($success);