upload-labs 搭建并通关（文件上传漏洞）

最新推荐文章于 2024-04-25 21:58:07 发布
最新推荐文章于 2024-04-25 21:58:07 发布
阅读量760 收藏 5
点赞数 3
文章标签： web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45859850/article/details/109457054
版权

环境链接：https://github.com/c0ny1/upload-labs

搭建与部署

docker pull c0ny1/upload-labs
docker run -p 8083:80 -d c0ny1/upload-labs:latest

使用docker exec命令进入容器创建upload文件夹

在这里插入图片描述

第一关:绕过前端JS限制

function checkFile() {
    var file = document.getElementsByName('upload_file')[0].value;
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";
    //提取上传文件的类型
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    if (allow_ext.indexOf(ext_name + "|") == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}

思路:先上传一个后缀为Jpg的一句话木马，通过burp抓包修改后缀为php即可

第二关:修改MIME类型

漏洞概要:后端php只对上传来的文件Content-type做了判断
思路:bp抓包修改MIME类型为image/jpeg即可绕过上传

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;

            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = $UPLOAD_ADDR.'文件夹不存在,请手工创建！';
    }
}

第三关:黑名单绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR. '/' . $_FILES['upload_file']['name'])) {
                 $img_path = $UPLOAD_ADDR .'/'. $_FILES['upload_file']['name'];
                 $is_upload = true;
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

黑名单过滤
思路：可以尝试上传php2/php3/php4/php5/phtml绕过，我这里上传phtml
为什么可以解析phtml5呢？可以在httpd-conf的文件中搜索AddType application/x-httpd-php（它指定可以解析哪些后缀的文件名，我使用的是phpstudy2018，另外需要注意的是前面有#表示未开启该配置，删除后，还需要重启apache服务）
其他语言扩展名绕过：
在这里插入图片描述

同Pass4思路：上传.htaccess文件，文件内容：SetHandler application/x-httpd-php
这行配置表示将所有后缀名都解析为php；
如果想要指定后缀名（.jpg）解析为php，文件内容：AddType application/x-httpd-php .jpg
此时.jpg文件会被解析为php，上传shell即可
在这里插入图片描述

Pass-4-.htaccess绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

几乎过滤了所有的后缀名，除了了.htaccess
思路：上传.htaccess文件，文件内容：SetHandler application/x-httpd-php，这行配置表示将所有后缀名都解析为php；如果想要指定后缀名解析为php，文件内容：AddType application/x-httpd-php .jpg（上传该.htaccess文件后，上传的.jpg文件都会被当作.php文件解析）
在这里插入图片描述
上传.htaccess文件 Content-Type可以改成 image/jpeg
在这里插入图片描述
再上传.jpg文件的shell即可

第五关 xx.php. .绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

思路：
xx.php. .不在$deny_ext中
首尾去空后为xx.php. .
去掉文件末尾的点后为xx.php.
move_uploaded_file后为…/upload/xx.php.
根据windows特性 文件名就会变成xx.php

第六关-大小写绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

这里像前面两关一样，用了黑名单过滤，而且这一次过滤的更加全面，连.htaccess和::$DATA都过滤了，但没有将拓展名转化成小写，所以可以利用大小写拓展名绕过检测。
在这里插入图片描述

第七关 文件尾部加空格绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

思路:
黑名单,并且转换为小写
同时也去除了::$DATA
上传文件例如xx.php ,注意：php后面有一个空格，另外windows下文件后缀是不能有空格的，使用bp
原理就是，上传的xx.php 黑名单没有，不会被无法过滤，上传的目标服务器如果是windows，便会自动去空，又变成xx.php

在这里插入图片描述

#_##
关注
  • 3
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
【网络安全】upload-labs+PHPStudy本地靶场搭建详细教程
等风来
08-14 8867
PhpStudy是一个PHP调试环境的程序集成包，集成最新的Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer，安装后无须配置即可使用。在URL栏输入localhost/upload-labs-master或者输入127.0.0.1/upload-labs-master。自此，upload-labs靶场已搭建成功。安装完成后打开PhpStudy。
upload-labs 本地靶场搭建详细教程
m0_73909170的博客
01-29 2474
原文链接：https://blog.csdn.net/2301_77485708/article/details/132111064。phpStudy 官网：https://www.xp.cn/ 安装版的 因为后期配置的靶场包都是复制到安装版的路径下。upload-labs 靶机下载地址： https://github.com/c0ny1/upload-labs。文件上传漏洞 upload-labs 网络安全 Upload-Labs靶场攻防实战。自此，upload-labs靶场已搭建成功。
文件上传漏洞（upload-labs）
最新发布
2401_82985722的博客
04-25 1093
文件上传漏洞是web系统中常见的一种功能，通过文件上传能实现上传图片、视频，以及其他类型的文件。如果恶意用户上传了可执行的文件或者脚本，就可以利用上传的恶意文件控制整个网站，这个恶意文件被称为WebShell，也可称为一种网页后门。
使用windows10搭建upload-labs靶场
m0_67463450的博客
02-27 309
使用phpstudy搭建upload-labs环境(c0ny1/upload-labs)
全面了解文件上传漏洞, 通关upload-labs靶场
xf555er的博客
01-14 1582
upload-labs是一个专门用于学习文件上传漏洞攻击和防御的靶场。它提供了一系列模拟文件上传漏洞的实验环境，用于帮助用户了解文件上传漏洞的原理和防御技术。这个靶场包括了常见的文件上传漏洞类型，如文件名欺骗、文件类型欺骗、文件上传功能绕过等。通过练习不同的攻击方式，用户可以加深对文件上传漏洞的理解和提高对这类漏洞的攻击和防御技能。
Upload-labs
qq_52671379的博客
04-01 4637
Upload-labs
PHP、Apache环境中部署upload-labs(文件上传漏洞靶场)
01-08
这就是 upload-labs（文件上传漏洞靶场）的价值所在。 upload-labs 是一款开源的练习 web 漏洞的靶场工具，用 PHP 代码编写而成。需要 PHP 和 Apache 环境运行。下面我们将详细介绍如何在 PHP、Apache 环境中部署 ...
WEB渗透学习-upload-labs靶场
04-20
**WEB渗透学习-upload-labs靶场详解** 在网络安全领域，特别是Web渗透测试中，了解和掌握文件上传漏洞是至关重要的技能。"upload-labs"靶场是一个专为学习和实践文件上传漏洞设计的平台，它提供了21个关卡，从基础...
upload-labs-master【文件上传靶场】
04-05
"upload-labs-master【文件上传靶场】" 是一个针对文件上传功能安全性的测试平台，主要目的是帮助开发者、安全人员以及爱好者检验和学习文件上传漏洞的防范措施。在这个靶场中，你可以模拟不同的攻击手段，了解如何...
安装upload-labs
10-22
同时，upload-labs还提供了详细的课程讲解和write up（通关指南），可以帮助您更好地理解和掌握文件上传漏洞的防御方法。 结语 安装upload-labs是一个非常重要的步骤，它可以帮助您快速掌握文件上传漏洞的基础知识...
上传文件漏洞靶场upload-labs
09-27
【上传文件漏洞靶场upload-labs】是一个专为网络安全爱好者和初学者设计的实践平台，主要目的是帮助用户深入了解和练习上传文件漏洞。在Web应用程序中，上传功能常常因为设计不当而成为攻击者利用的安全隐患。这个...
Upload-labs（1-20关保姆级教程）
败在我手中之敌，从来不会被我视为对手，我给你时间追赶，直至你遥望不见。
10-18 754
文件上传靶场upload-labs,图片马
upload-labs
weixin_44576725的博客
04-14 1538
upload-labs通关记录 upload-labs是收集ctf和渗透测试中文件上传遇到的各种漏洞的靶场，旨在通过关卡的形式来帮助大家对文件上传有个全面的了解。 项目地址：https://github.com/c0ny1/upload-labs Pass-01 选择本地1.php文件上传，打开burp抓包，还没抓到包页面就显示只能上传.jpg.png等类型文件，说明是前端JS判断。 这里有两种绕过方法： 打开浏览器的审查元素，找到文件上传的js代码，发现checkFile()函数，推测是这个函数进行
上传漏洞 Upload-Labs实战
浪子燕青的博客
02-25 5514
上传漏洞 Upload-Labs-1 Upload-labs是国内一个老哥c0ny1开源的上传漏洞靶子，下载地址 https://github.com/c0ny1/upload-labs 与sqli-labs有些类似，主要专注于上传漏洞这一块。 为了方便下载，已经保存到当前服务器下 下载地址 环境搭建 默认下载PHP+Mysql即可，如果之前有搭建过sqli-labs的话，直接把项目放在www目录下即可。 然后打开，这个时候网页会提示undefined index。。。。，这其实不是异常，而是PHP的提示
使用dokcer搭建upload-labs环境(docker pull c0ny1/upload-labs)
qq_62638044的博客
02-23 1011
使用dokcer搭建upload-labs环境(docker pull c0ny1/upload-labs)
upload-labs文件上传漏洞通关
小白
09-10 397
在 win 环境下 直接解压到phpstudy下即可。
upload-labs靶场搭建与20关详解
GN_QT的博客
08-01 382
二次渲染绕过 利用后端二次渲染需要找到渲染后的图片里面没有发生变化的Hex地方，添加一句话，通过文件包含漏洞执行一句话，用蚁剑进行连接。php.ini 是 php的配置文件，.user.ini 中的字段也会被 php 视为配置文件来处理，从而导致 php 的文件解析漏洞。上传的文件进行渲染过后，进行下载，通过对前后两次文件的相同之处，确定此处没有被渲染，将一句话写在这里，用蚁剑进行连接（思路）审计代码发现，只验证了后缀名，上传以后缀为jpg文件，抓包进行修改，放包。//删除文件名末尾的点。
Upload-Labs学习记录（Less1-Less10）
Hello world and you！
05-18 302
Upload-Labs 学习记录前言搭建过程中出现的问题Pass1-Pass10 学习记录：---Pass1---Pass2---Pass3---Pass4---Pass5---Pass6---Pass7---Pass8---Pass9---Pass10 前言 Upload-Labs项目链接： https://github.com/c0ny1/upload-labs 本文靶场环境于2021.5月份在Kali Linux下Docker中搭建 本文内容为Pass1-Pass10，后续Pass会另开一篇文章
upload-labs文件上传靶场实验通关教程攻略
Thunderclap的博客
10-07 6487
实验环境 系统环境：windows2003 软件：phpstudy2016 apache+php版本：php 5.2.17 apache 2.4.3 magic_quotes_gpc = Off php.ini中开启extension=php_exif.dll 其他配置均为默认 靶场链接：https://github.com/c0ny1/upload-labs 第一关 前端JS...
upload-labs靶场通关攻略：PHP文件上传漏洞利用
"upload-labs靶场通关指南" 在网络安全领域，特别是针对Web应用程序的安全测试，文件上传漏洞是一个常见的攻击点。Upload-labs靶场提供了一系列关卡，模拟了不同的文件上传防护机制，让测试者练习如何绕过这些防护...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值