一、上传参数名解析：明确哪些东西能修改
打开upload-labs的靶场的第二关。
上传文件抓取数据包。
简介：
总结：
Content-Disposition：一般可更改
name：表单参数值，不能更改
filename：文件名，可以更改（比较重要，一位里面包含文件类型后缀）
Content-Type：文件MIME，视情况更改
二、文件上传实验
将抓取到的数据包里文件名的后缀改为php后点击上传，发现其被安全狗拦截了，并没有成功上传。
在安全狗里可以看到其存在如下保护，对文后缀名存在限制。
对此情况的绕过方法有两种。
让其检测不道php。
换一种脚本类型，让其能够执行出php。
这里尝试加了个空格。
发现可以成功上传上去，但是其无法执行，依然是一个图片。
后面尝试根据文件名的明明规则，在文件名末尾加点或者空格，结构均被拦截了。
三、数据溢出绕过-防匹配(xxx.. .)
如果数据量特别多，程序就可能匹配到哪里就截止了，或者程序崩了，就可能成功上传上去。
因为其检测的是filename，所以采用数据溢出绕过时就其值修改的特别长。
可以看到最开始时候安全狗依然还在拦截，但是当文件名达到一定长度后，发现放包之后久久没有抓到返回的数据包。
此时查看服务器，发现弹出了下面的页面，Apache的服务直接崩掉了，但是此时文件依然没有上穿上去。
重启服务。
想到因为其是从前到后慢慢检测，所以考虑将垃圾数据添加到前面，但是发现还是被拦截了。
那就尝试继续添加，并在下图所示位置添加一个分号，在不断的尝试下，某一时刻发现返回页面并没有被拦截。
查看文件夹，发现成功上传了。
尝试换一个地方插入垃圾数据。
发现依然成功上传了。
四、符号变异绕过-防匹配（'" ;)
抓取数据包后查看下图所示部分，
发现有的参数和参数值之间是等号连接，有的是冒号连接，但是每一组参数最后都是分号结尾；
有的参数值加了双引号，有的参数值没加双引号，由此可以想到加了双引号的就是可以随便修改的，而没加双引号的可能就是有着固定的一些参数值。
由编成的知识可以知道其中的双引号也可能可以由单引号来代替。
由编成的知识可以知道一个语句结束的末尾需要添加分号，而参数filename的后面没有分号，由此可知这一整条语句可能到filename就截止了，由此可以猜想如果filename后面加一个分号以后，其后面就可能还可以添加其它内容。
尝试在其后面添加分号以后添加其它内容，发现还是被拦截了。
将filename参数值两侧的双引号改为单引号，发现还是被拦截了。
尝试将filename参数值后面的引号去掉后上传，发现上传成功了。
因为安全狗的匹配机制是匹配双引号里的内容，但是这里的双引号有前没有后，它就一直在找后面的那个双引号，但是没有找到，所以可能没有匹配到。
将filename的值改为有前没有后的单引号进行上传，发现上传也成功了。
将filename的值两侧的引号全部去掉，发现上传也成功了。
至此更加证明了我们的猜想，安全狗只匹配单引号或者双引号里的内容。
但是！当我们将前面的双引号去掉，保存后面的双引号时，发现依然是被安全狗给拦截了。
此时对安全狗的猜想变成了，其会将最后一个单引号或者双引号的值取出来，然后对其前面的值进行检测。
因此我们进行以下实验，将后缀名.php放到引号的外面，发现真的成功上传了，并且上传的文件可以当作php执行。
如果在引号外面添加完整文件名，尝试上传，发现上传依然成功了。
五、数据截断绕过-防匹配(; / 换行)
尝试将filename的值改为下图内容，发现成功绕过了。
原因可能是因为安全狗检测到了分号，一位语句结束了，后面的就不在进行匹配了。
将filename的值进行换行操作，发现依然上传成功了。
原因是混行在编程语言里是\n，其可能对安全狗造成了干扰。
在引号后面添加一个“/”后上传，发现成功上传了。
六、重复数据绕过-防匹配(参数多次)
在后面添加一个分号之后添加一个“Y.jpg”，来验证其是以哪个名字为准。
放包后查看发现其文件名是“Y.jpg”，因此推测其是以后面的文件名为准。
那么我们想到能否像前面的垃圾数据一样在其前面多添加一些垃圾数据后上传。
发现此方法可行。
将前面的内容像如图所示一样插入到filename参数值里进行上传，发现上传成功了。
扫一扫
409
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
