基于upload-labs靶场的文件上传(上)

最新推荐文章于 2024-04-24 17:04:26 发布
最新推荐文章于 2024-04-24 17:04:26 发布
阅读量235 收藏
点赞数 1
文章标签： 安全 web安全 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46420165/article/details/128240677
版权

一， 文件上传原理

在文件上传的功能处，若服务端脚本语言未对上传的文件进行严格验证和过滤，导致恶意用户上传恶意的脚本文件时，就有可能获取执行服务端命令的能力，这就是文件上传漏洞。

文件上传漏洞对Web应用来说是一种非常严重的漏洞。一般情况下，Web应用都会允许用户上传一些文件，如头像、附件等信息，如果Web应用没有对用户上传的文件进行有效的检查过滤，那么恶意用户就会上传一句话木马等Webshell，从而达到控制Web网站的目的。

文件上传可能存在的位置

存在文件上传功能的地方都有可能存在文件上传漏洞，比如相册、头像上传，视频、照片分享。论坛发帖和邮箱等可以上传附件的地方也是上传漏阔的高危地带，另外像文件管理器这样的功能也有可能被攻击者所利用。

移动端和web端都是类似的操作，那么移动端也存在文件上传漏洞

二，漏洞复现
2.1 前端验证绕过

先看一下源码

可以通过burp抓包，将1.png 改为1.php 然后放包

2.2 Content-Type方式绕过

先看看源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;

            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = $UPLOAD_ADDR.'文件夹不存在,请手工创建！';
    }
}

第二关是用Content-Type绕过打开源码，发现这个是后端验证的，会验证上传的文件类型是什么，这里验证的是否为图片，所以直接上传php然后修改content-type为image/jpeg即可成功上传

2.3 黑名单绕过

看源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR. '/' . $_FILES['upload_file']['name'])) {
                 $img_path = $UPLOAD_ADDR .'/'. $_FILES['upload_file']['name'];
                 $is_upload = true;
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

过滤了几个，可以用其他试试phtml、php3、php.a、shtml，提示：如果是asp的就可以用cer、asa、cdx等

2.4 .htaccess文件绕过

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

查看源码得知，php3 php4 php5、大小写方法等全部被设置规则了。.htaccess文件，是一个分布式配置文件，针对于当前目录改变配置的方法，在特定的目录中放一个包含一个或多个指令的文件。.htaccess可以做文件夹密码保护、扩展名伪静态化、禁止特定ip的用户等，此文件规则高于Apache的规则例如：AddType application/x-httpd-php .jpg   这个指令表示 jpg文件当做php文件来执行首先上传一个jpg文件,再将写入AddType application/x-httpd-php .jpg的htaccess文件上传上去

2.5 后缀大小写绕过

源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

过滤了一堆，但是有的大小写没过滤完整，我们试试.pHP结果不出意外成功了

2.6 文件后缀（空）绕过

源码 就和字面意思一样后缀加空格 来进行绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

2.7 文件后缀(点)绕过

来看看源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

和2.6一样 都是字面上的意思同一个思路

2.8 ::$DATA（Windows文件流绕过）
$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

发现文件被成功的上传到服务器，且名称后缀为.php::$data，但是由于Windows的特性在磁盘中会忽略::$data并将文件新建

2.9 构造文件后缀绕过

先查看源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}


通过查看源码，发现文件末尾点和首尾空格、大小写、windows文件流都被写入规则，但这里只删除文件末尾的一个点，我们用 . .的方式还是可以绕过的

2.10 双写文件后缀绕过

我们先看源码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $file_name)) {
            $img_path = $UPLOAD_ADDR . '/' .$file_name;
            $is_upload = true;
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

只是单纯的对第一次发现php进行删除，但是构造一个双写php被删了之后还是可以绕过，例如pphphp=php，检测到php就删了但是又构成了一个php

文件上传就先在这了其实文件上传要的就是思路和绕waf类似 原文地址

栖迟！
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Web安全系列-文件上传靶场upload-labs
Galaxy_0的博客
01-18 422
Web安全系列-文件上传靶场upload-labs
全面了解文件上传漏洞, 通关upload-labs靶场
xf555er的博客
01-14 1568
upload-labs是一个专门用于学习文件上传漏洞攻击和防御的靶场。它提供了一系列模拟文件上传漏洞的实验环境，用于帮助用户了解文件上传漏洞的原理和防御技术。这个靶场包括了常见的文件上传漏洞类型，如文件名欺骗、文件类型欺骗、文件上传功能绕过等。通过练习不同的攻击方式，用户可以加深对文件上传漏洞的理解和提高对这类漏洞的攻击和防御技能。
文件上传复习（upload-labs 6-13关）
最新发布
2302_80935968的博客
04-24 703
magic_quotes_gpc 着重偏向数据库方面，是为了防止sql注入，但magic_quotes_gpc开启还会对$_REQUEST, $_GET,$_POST,$_COOKIE 输入的内容进行过滤。补充知识：php在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名，且保持"::$DATA"之前的文件名。所以我们上传.php文件进行抓包，然后在.php后面加上一个空格，这样我们上传的就是.php文件。如：aaa.php%00bbb.jpg。
文件上传漏洞及upload靶场详细思路wp
2301_77004573的博客
07-26 903
1.先判断存不存在客户端防护(js检查)，有的话之后所有步骤都需注意不能直接传php文件2.如果把做题流程比作一棵树，那么其中的主体方法就是树干，细节上的附加绕过就是树叶主体的做题方法(树干)有：解析漏洞，包含漏洞，00截断，条件竞争，二次渲染细节的树叶有：特殊后缀上传，大小写绕过，" . / 空格"绕过，::$DATA绕过，双写绕过，MIME绕过，GIF89a文件头绕过而在做题时就是要以树干为主体，为树干补充好树叶，最后达成完美绕过。
文件上传-uploadlab通关手册
李安北的博客
05-03 3412
11
upload-labs通关-文件上传靶场-详细
qq_63283137的博客
09-12 758
upload-labs靶场详细教程
WEB渗透学习-upload-labs靶场
04-20
upload-labs靶场分为21个不同难度的关卡，每个关卡对应一种或多种特定的文件上传漏洞类型。通过解决每个关卡，学习者将熟悉以下常见漏洞： 1. **基础验证**：初步理解上传限制，如文件类型检查。 2. **绕过MIME类型...
PHP、Apache环境中部署upload-labs(文件上传漏洞靶场)
01-08
这就是 upload-labs（文件上传漏洞靶场）的价值所在。 upload-labs 是一款开源的练习 web 漏洞的靶场工具，用 PHP 代码编写而成。需要 PHP 和 Apache 环境运行。下面我们将详细介绍如何在 PHP、Apache 环境中部署 ...
upload-labs-master【文件上传靶场】
04-05
"upload-labs-master【文件上传靶场】" 是一个针对文件上传功能安全性的测试平台，主要目的是帮助开发者、安全人员以及爱好者检验和学习文件上传漏洞的防范措施。在这个靶场中，你可以模拟不同的攻击手段，了解如何...
upload-labs靶场通关指南
07-02
Upload-labs靶场是一款文件上传漏洞靶场，旨在帮助安全研究员和渗透测试人员练习文件上传漏洞的检测和利用。本指南提供了 Upload-labs靶场的通关指南，涵盖了从基础的文件上传漏洞到高级的文件包含漏洞的利用方法。...
安装upload-labs
10-22
在这篇文章中，我们将一步步指导您如何安装upload-labs靶场，以便更好地学习文件上传漏洞。 安装upload-labs的步骤 1. 下载靶场文件：首先，您需要下载upload-labs靶场文件，可以从官方网站或其他可靠的渠道下载。...
Upload-labs 1-20关靶场通关攻略(全网最全最完整)
dragon的博客
03-15 3689
在github上找upload-labs-0.1环境，部署在小皮面板上也可以直接下载他的集成的环境。 Sethandler将该目录及子目录的所有文件均映射为php文件类型。 Addhandler使用 php5-script 处理器来解析所匹配到的文件。 AddType将特定扩展名文件映射为php文件类型。 简单来说就是，可以将我们所的文件都解析成php或者是特定的文件解析为php 当 PHP 在处理文件名或路径时，如果遇到 URL 编码的 %00，它会被解释为一个空字节（ASCII 值为 0）
uploads文件上传靶场练习
weixin_43353955的博客
05-28 221
源代码可判断为前端js校验只需要前端发jpg包后抓包修改访问图片地址即可源代码支队文件type类型做了限制 抓包修改即可源代码strrchr()函数（在php中）查找字符在指定字符串中从右面开始的第一次出现的位置，如果成功，返回该字符以及其后面的字符，如果失败，则返回 NULL。str_ireplace()函数作用将::$DATA替换为空这一关利用黑名单容易被绕过的特性 常见后缀名如下：aspasacdxcerphpaspxashxjspphp3。
upload-labs靶场
weixin_50473876的博客
10-21 241
删除：Content-Type: image/jpeg，点击Forward发送。由此可见，服务器根据Content-Type: image/jpeg，判断文件格式。构造一个1.htaccess文件，让服务器把.jpb文件作为.php文件。将1.jpg修改为1.php，点击Forward，把数据包发送给服务器。上传含有一语句木马的1.php文件，提示：此文件不许上传。再次上传一个.jpg文件，用Burp拦截发出的数据包。我们发现，文件的后缀被删了，无法解析。上传含有一语句木马的1.php文件。
渗透之路 靶场【第一篇】文件上传之upload-labs
dfu65065的博客
09-14 221
靶场搭建 文件上传靶机下载地址：https://github.com/c0ny1/upload-labs 靶机包含漏洞类型分类 如何判断上传漏洞类型 实验 Pass-01 function checkFile() { var file = document.getElementsByName('upload_file')[0].value;...
文件上传漏洞（upload-labs）复现（1~9）
net的博客
02-23 767
在上述配置中，FilesMatch表示匹配4.png的文件，当该文件名匹配成功后，SetHandler表示将该文件作为PHP类型的文件来进行处置。复制文件上传的路径，请求 GET /upload/upload/20200304.php5?④复制文件上传的路径，请求GET /upload/upload/webshell.php?①分析源码，黑名单包括了几乎所有php后缀文件，但是并没有屏蔽后缀为.htaccess的文件上传。②上传png后缀的webshell，代理抓包，修改上传的文件后缀 （推荐）;
文件上传简单靶场
Reset
08-08 752
1.绕过前台脚本检测扩展名上传webshell F12 可以看到允许上传的类型，判断文件类型的函数是checkfile，返回的是true和false，可以在后面找到调用这个函数的地方 将return checkfile()改成true。 2. 绕过Content-Type检测文件类型上传WebShell 先F12看前端有没有限制，没有 抓包 将Content-T...
复现文件上传漏洞（靶场练习）
Au
11-10 7745
最近越来越感觉菜了，又把各种漏洞基础原理深入理解玩了玩，巩固一下。然后找到一个不错的上传漏洞汇总的靶场，记录一下。 靶场源码地址：github.com/c0ny1/upload-labs 我这里为了方便，就下载了靶主已经集成配置好的环境进行本地搭建。地址：github.com/c0ny1/upload-labs/releases 本地搭建好是下面这个页面： 考察点： 直接开...
Upload-labs文件上传（6-10）
a1b2c3是弱口令
07-29 1998
第六关（禁止上传很多中后缀，识别大小写） 我们查看第五关代码： $file_name = deldot($file_name);//删除文件名末尾的点 $file_ext = strrchr($file_name, '.'); $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值