文件上传绕过（基于upload-labs）

于 2024-07-23 23:17:15 发布
阅读量203 收藏 8
点赞数 13
分类专栏： 靶场 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_74761057/article/details/140648669
版权

前端检测（Pass-01）

设置禁用Javascript即可绕过
image.png

后端检测

MIME类型检测（Pass-02）

修改上传文件的MIME类型为合法类型即可绕过
image.png

后缀名检测

黑名单 （Pass-03~11）

Pass-03
image.png

使用其他可解析的后缀名进行绕过
PHP：php2、php3、php5、phtml、pht
ASP：asa、cer、cdx
ASPX：ascx、ashx、asac
JSP：jspx、jspf

image.png

Pass-04
image.png

重写绕过

服务端将黑名单的后缀名替换为空，但是仅替换一次，所以可以上传.phphp p后缀，替换后就成了.php

image.png
中间的php被过滤

Pass-04还可以使用.htaccess绕过
Pass-11也使用了重写绕过

.htaccess绕过

上传一个.htaccess文件
文件内容：

文件内容为调用php解释器去解释as.png文件（文件名可以修改）

<FilesMatch "as.png">
setHandler application/x-httpd-php
</FilesMatch>

上传相应的as.png文件，文件内容为一句话木马
image.png
上传成功，蚁剑连接
image.png

Pass-05
image.png

拒绝上传 .htaccess 文件
依旧可以用重写绕过

使用windows特性绕过

在文件名后面加上. .（点 空格 点）
在源码中可以看到，代码的逻辑为：先删除空格，再删除文件名末尾的.，在删除空格
image.png
我们将文件名写为shell.php. .
尾部去空（shell.php. .）->删除文件名末尾的.（shell.php. ）->再删除空格（shell.php.）->由于windows特性该文件最后的点会自动过滤掉（shell.php）
image.png

Pass-06
image.png

大小写绕过

image.png

windows对大小写不敏感，所以上传大小写混写的php进行绕过
（因为后端一般验证后缀字符串是否和‘php’相等，（前提是没有将你传入的字符串进行小写转换后再对比），大写字母和小写字母肯定不相等，所以可以利用这一点进行绕过，又因为windows对大小写不敏感，所以.Php文件被当成php文件解析）

Pass-07
image.png
image.png
源码中没有使用trim()去除文件名空格，我们使用空格绕过

空格绕过

前提：没有使用trim()去除文件名空格

在文件名后面加空格

而windows特性：在windows中文件后缀名末尾有空格会自动去掉，因此可以绕过检测并被解析

image.png

Pass-08
image.png
源码中没有使用deldot()过滤
image.png

点绕过

前提：没有使用deldot()过滤文件名末尾的点

在文件名后面加上点

还是利用了windows特性：会自动过滤文件名后的点

image.png

Pass-09
image.png
源码中没有，可以使用::$DATA绕过

$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

::$DATA绕过

前提：没有使用$file_ext = str_ireplace('::$DATA', '', $file_ext)去除字符串::$DATA

补充：php在windows中，如果文件名+“::$DATA”字符，会把:: D A T A 之后的数据当成文件流处理 , 不会检测后缀名，且保持 : : DATA之后的数据当成文件流处理,不会检测后缀名，且保持:: DATA之后的数据当成文件流处理,不会检测后缀名，且保持::DATA之前的文件名

在文件名后面加上::$DATA
image.png

在用蚁剑连接时文件名仍为shell.php

Pass-10
image.png

. .（点空格点）绕过

image.png

被骗到了，看这个提示我还以为是白名单，结果是黑名单…

Pass-11
image.png
直接传shell.php
image.png
能传上，但是发现文件名被改写为shell.（后缀名被改写为空）
经过检验发现，该目录下的确上传了一个shell文件
image.png
使用重写绕过（shell.pphphp）
image.png

这里第一次我使用shell.phphpp时，发现响应包中返回的目录中文件名后缀变成了hpp，于是更改了中间的php的位置

白名单（Pass-12~13）

Pass-12
image.png
发现请求URL里有保存路径
image.png

通过 $_GET 获取图片存储路径

%00截断

前提：通过$_GET 获取图片存储路径（路径在url中）

image.png
可以看到文件目录下存在了shell.php文件，上传成功
image.png
蚁剑连接
image.png

Pass-13
上传文件的路径在请求体中

通过 $_POST 获取图片存储路径

image.png

0x00截断

先更改文件名合法性，将上传文件请求包中图片存储路径写入php文件名，并在后面加上一个+
image.png
在hex中找到添加+的地方，将+对应的数值改为00
image.png
发送之后可以看到上传成功
image.png

文件内容检测（Pass-14~17）

image.png

十四到十六关都是图片马绕过，使用三种后缀名，操作类似，只需要修改后缀名即可

图片马绕过

1.准备两个文件，正常的图片和php文件（最好放在同一目录下，以便于命令的执行）
2.执行命令

copy 图片/b + php文件/a 生成的文件
例如：copy test.png/b + shell.php/a shell.png

生成的shell.png文件就是图片马
image.png
image.png

生成的图片马的图片和源图片文件看起来没有区别，但是将php文件中的php代码插入进去了
image.png

3.上传图片马
4.找到文件包含路径
image.png
5.使用文件包含漏洞执行
image.png

?file=文件路径

6.蚁剑连接
image.png

png能够被解析，就是因为存在文件包含漏洞
文件包含漏洞：只要被包含的文件内容符合php语法，不管文件后缀名如何，都会被当成php文件解析执行

二次渲染绕过

Pass-17

我们上传文件马，利用文件包含漏洞解析时发现解析不了，查看上传后的文件内容，发现文件末尾我们所加上的php代码不见了，这是因为二次渲染图片导致图片内容改变了

image.png

服务器对我们的文件进行了二次渲染，将文件内容进行打乱了，虽然我们看起来图片还是一样的

这种情况下，我们需要进行二次渲染绕过，找到那个没有改变的地方，插入木马
1.先上传一张正确的gif图片（gif图片更容易绕过），再将图片下载下来
image.png
2.比较两张图片的差异
image.png
3.在相同的地方（经过二次渲染没有改变的地方）插入木马
image.png
4.上传，找到路径，利用文件包含漏洞执行，蚁剑连接
image.png

如果我们上传后无法连接，可以再次检查一下我们插入的木马是否被二次渲染了（下载上传后的图片，再次检查）

条件竞争绕过（Pass-18）

Pass-18
image.png

先保存文件，才去判断，判断之后不合法才删除
我们可以不断上传文件，在文件还没被删除前去读取文件

在我们日常中只能进行尝试，因为我们在黑盒中也无法看到源码

1.准备一个php文件，文件内容如下

<?php 
  fputs(fopen('shell.php','w'),"<?php phpinfo();?>");
?>

在判断1.php的时候，服务器会解析写入一个内容为

<?php phpinfo();?>的shell.php文件。这时使用BurpSuite的Intruder不断上传1.php，浏览器不断访问1.php，即可造成条件解析漏洞

2.上传文件，访问1.php
此时访问返回404，因为被删除了
3.抓包爆破
image.png
image.png
访问1.php文件的包也进行不断爆破，payload和上面相同
image.png
4.访问shell.php，发现已经成功上传
image.png

条件竞争+中间件解析漏洞绕过（Pass-19）

Pass-19
image.png

在Apache版本符合的条件下，对mime.types中没有涉及的文件后缀不会解析，查看httpd.conf文件下的mime.types，没有发现7z后缀，说明不会解析7z文件

Apache解析漏洞：Apache解析是从后往前，当一个后缀不能被解析时，会从后往前一直解析到可以解析的后缀为止，所以如果我们传入test.php.7z文件时，会被当作test.php执行

1.创建1.php.7z文件，文件内容如下

<?php 
  fputs(fopen('shell.php','w'),"<?php phpinfo();?>");
?>

接下来的步骤和条件竞争绕过相同

2.上传1.php.7z文件并爆破
3.访问1.php.7z文件并爆破
4.访问shell.php

这里好像路径出了点问题，我最后也没有成功

Pass-20
image.png
我们上传php文件，保存为jpg文件

实际上是一个%00截断

1.上传php文件
2.将保存名称后缀改为php
image.png
3.使用00截断
image.png
image.png
4.蚁剑连接测试
image.png

数组绕过（Pass-21）

详解可以看这位师傅的https://www.cnblogs.com/LING5/articles/18064737

Pass-21
image.png
上传php文件，抓包，修改请求体信息
修改前：
image.png
修改后：
image.png
上传成功
测试，连接成功
image.png

总结

文件上传的过滤
前端检测：浏览器禁用js即可绕过
后端检测：

  • MIME类型检测
  1. 修改MIME类型为合法类型即可

常见的MIME类型
超文本标记语言.html文件：text/html
普通文本.txt文件：text/plain
PDF文档.pdf：application/pdf
PNG图像.png：image/png
GIF图像.gif：image/gif
JPG图像.jpg：image/jpg
MPEG文件.mpg、.mpeg：video/mpeg

  • 后缀名检测
    | 黑名单
    | 使用其他可解析的后缀名> PHP：php2、php3、php5、phtml、pht

ASP：asa、cer、cdx
ASPX：ascx、ashx、asac
JSP：jspx、jspf

|
| — | — |
| | 重写绕过> 后缀名进行双写，比如phphpp

|
| | .htaccess绕过> 上传.htaccess文件，再上传有木马语句的合法文件

|
| | 大小写绕过> 后缀名大小写混用，比如Php（windows对大小写不敏感）

|
| | 使用windows特性绕过> 1. .（点）绕过，在文件名后缀加上.（windows会自动过滤文件名后的点）

  1. （空格）绕过，在文件名后缀上加上空格（windows会自动过滤文件后缀名末尾的空格）
  2. . .（点空格点）绕过，混合使用，在文件名后缀加上点空格点
  3. :: D A T A 绕过，在文件名后加上 : : DATA绕过，在文件名后加上:: DATA绕过，在文件名后加上::DATA，比如shell.php::$DATA

|
| 白名单

| 00截断 |
| | 当通过$_GET方式获取图片路径（路径在url中）
%00截断> 1. 将上传文件后缀改为合法

  1. 在url中的文件路径后写一个php文件，后面加上%00

|
| | 当通过$_POST方式获取图片路径（路径在请求体中）
0x00截断> 1. 更改上传文件后缀为合法

  1. 在请求体中的文件路径后写一个php文件，后面加上一个+（加号）
  2. 进入hex编辑将+改为00

|

  • 文件内容检测
  1. 图片马绕过

将正常图片和php文件组合起来形成图片马再上传

copy 图片/b + php文件/a 生成的文件
例如：copy test.png/b + shell.php/a shell.png

要使用文件包含漏洞去解析这个图片马

  1. 二次渲染绕过

将上传后和上传前的文件进行对比，找到没有被二次渲染改变的部分，插入php代码，再上传

Hhhan^Xu_
关注
  • 13
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
基于upload-labs的文件上传漏洞总结
m0_64898960的博客
05-20 394
1
安装upload-labs
10-22
1. 学习文件上传漏洞课程：upload-labs提供了详细的课程讲解文件上传漏洞的基础知识和实践经验，您可以通过学习这些课程来了解文件上传漏洞的原理和防御方法。 2. 根据关卡提示信息练习：upload-labs提供了多个关卡...
文件上传漏洞（基于upload-labs靶场）针对Windows系统特性的绕过
Welcome To Myon'Blog !
12-19 1362
我再强调一遍，关于文件上传漏洞的题，绝大多数情况下我们是无法知道后端源码的，只有每个方向慢慢尝试，并不是说看到就知道要用什么方法，都是不断换方向试出来的。 这里要使用的是空格绕过，那么它基于的原理就是： Windows系统对于文件的重命名会自动把空格给去掉 （这里如果直接在上传时添加空格是不行的） 所以我们需要进行抓包，然后在抓到的数据包中将文件名后缀加上空格，即可实现绕过。
Upload-Labs上传绕过
weixin_50464560的博客
05-21 924
环境 upload-labs为上传漏洞测试，除了上传漏洞外，测试过程也依托中间件的解析漏洞，所以选用的不通中间件可能测试部分会有略微不同，我用的phpstudy，所以中间件是apache。 靶机环境：https://github.com/c0ny1/upload-labs 操作系统：windows php版本：推荐5.2.17（其他版本可能会导致部分Pass无法突破） php组件：php_gd2、php_exif（部分Pass需要开启这两个组件） apache：以moudel方式...
文件上传复习（upload-labs14-17关）
2302_80935968的博客
04-25 898
basename— 返回路径中的文件名部分给出一个包含有指向一个文件的全路径的字符串，本函数返回基本的文件名。Notebasename()纯粹基于输入字符串操作， 它不会受实际文件系统和类似 ".." 的路径格式影响。例子如下：php?1) sudoers3) passwd4) etc5) .6)imagecreatefromgif()：创建一块画布，并从 GIF 文件或 URL 地址载入一副图像。
WEB渗透学习-upload-labs靶场
04-20
**WEB渗透学习-upload-labs靶场详解** 在网络安全领域，特别是Web渗透测试中，了解和掌握文件上传漏洞是至关重要的技能。"upload-labs"靶场是一个专为学习和实践文件上传漏洞设计的平台，它提供了21个关卡，从基础...
上传文件漏洞靶场upload-labs
09-27
【上传文件漏洞靶场upload-labs】是一个专为网络安全爱好者和初学者设计的实践平台，主要目的是帮助用户深入了解和练习上传文件漏洞。在Web应用程序中，上传功能常常因为设计不当而成为攻击者利用的安全隐患。这个...
国光的文件上传靶场，基于 upload-labs 定制.zip
01-14
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。...
CyberVadis评估！
zhong_bang的博客
07-17 579
这包括让供应商直接参与评估，与内部安全分析师团队一起验证结果，并向公司发布标准化的网络安全评级，他们可以与他人分享，以及详细的改进计划以提高他们的分数，以及与客户和供应商合作实施更好实践的能力。1、针对被评估公司的网络环境、信息安全管理体系，以及风险控制和识别措施即使是以极为严苛的欧洲和北美标准来衡量，也是相当安全可靠的。我们的内部安全分析师审查您的调查问卷和所有共享文档，与外部来源交叉检查他们的结果，为您的公司打分。经过高级分析师的验证后，可以访问您的绩效以查看您独特的记分卡、优势和可行的改进计划。
网络协议-SOTP 协议格式
ziyunLLL的博客
07-19 403
SOTP（Secure Overlay Transport Protocol）是一种安全的覆盖层传输协议，旨在提供增强的安全性和功能。2.密钥管理：密钥的管理和交换是协议安全的重要部分，通常使用公钥基础设施（PKI）或密钥交换协议（如 Diffie-Hellman）。1.安全性：确保加密算法和认证算法的安全性。常用的加密算法包括 AES，常用的认证算法包括 HMAC-SHA256。3.性能：加密和认证会增加计算开销，需要在安全性和性能之间找到平衡。SOTP 协议格式的一般结构。
【Socket 编程】基于UDP协议建立多人聊天室
稻草人敲代码的博客
07-19 389
对于服务端来说，除了要接收消息之外，还要实现一个路由转发模块，该路由转发模块可以将相应发送给所有连接的客户端。而对于客户端来说，除了要发送消息给聊天室，还要能实时看到其它所有客户端的消息。下面来看看具体实现的代码，代码只给出核心模块，其余代码模块代码可以借鉴我之前的博客。具体来说，服务器类实现的功能只有收消息。
docker build时的网络问题
最新发布
flynetcn的专栏
07-19 341
docker build网络问题
安徽京准：NTP网络时间服务器的几种应用场景
NTP授时服务器
07-19 218
安徽京准：NTP网络时间服务器的几种应用场景
Java 网络编程（TCP编程 和 UDP编程）
weixin_61635597的博客
07-18 1239
我们开发的网络应用程序位于应用层，TCP和UDP属于传输层协议，在应用层如何使用传输层的服务呢？在应用层和传输层之间，则是使用套接Socket来进行分离。套接字就像是传输层为应用层开的一个小口，应用程序通过这个小口向远程发送数据，或者接收远程发来的数据。而这个小口以内，也就是数据进入这个口之后，或者数据从这个口出来之前，是不知道也不需要知道的，也不会关心它如何传输，这属于网络其它层次工作。Socket实际是传输层供给应用层的编程接口。Socket就是应用层与传输层之间的桥梁。
如何保护你的网络安全？
m0_70655343的博客
07-15 884
这项服务可以抵御复杂的网络威胁，即使在最强烈的攻击下也能保证您的网站服务如常，用户几乎无感知。此外，DDoS高防服务还具备网络应用程序防火墙（WAF），采用实时监控和机器学习来保护用户的资料，防止用户资料被盗，保护服务免遭未经授权的访问，降低个人数据泄露的风险，进而防止数字资产流失。为什么它这么重要呢？打个比方，这就像是你家车库的门开关出了问题，每次你按下按钮，车库门就不停地开关，直到电池耗尽。想象一下，你家的路由器被人利用来发起攻击，就像是你家的水龙头被打开，水不停地流向别人的房子，淹没了他们的院子。
深入理解Linux网络（一）：内核如何接收网络包
又见南风的博客
07-18 905
在上⾯的代码中跟踪函数调⽤， __igb_open => igb_request_irq => igb_request_msix , 在 igb_request_msix 中我们看到了，对于多队列的⽹卡，为每⼀个队列都注册了中断，其对应的中断处理函数是 igb_msix_ring（该函数也在 drivers/net/ethernet/intel/igb/igb_main.c 下）。如协议注册⼩节看到 inet_protos 中保存着 tcp_v4_rcv() 和 udp_rcv() 的函数地址。
wls2下的centos使用桥接模式连接宿主机网络独立静态ip
唯有热爱 可抵万难
07-19 606
7.使用 ip addr查看局域网ip(ifconfig可能看不到局域网ip)，查到ip后，修改对应的网卡文件，这里是 eth0，则去/etc/sysconfig/network-scripts/文件夹下找对应的后缀的网卡，然后vim编辑。1.在控制面板中，打开开启或关闭windows功能，将里面的 Hyper-V功能打开，此处涉及重启。4.正常情况下里面有个 WSL，选中他，然后右边选择 外部网络，下面选择需要进行桥接的网卡，然后退出虚拟机，用上述的 wsl --shutdown和wsl重启即可。
堆叠和集群
2301_79810514的博客
07-18 337
堆叠 ID：设备的槽位号，在堆叠系统中管理和唯一标识一台成员交换机，不能冲突交换机的。1. 主交换机退出：备交换机升为主交换机，原备交换机重新计算拓扑并同步给成员交换机，2. 备交换机：作为主的备份，主交换机故障后备交换机接替业务，每个堆叠系统只有一台。3. 从交换机：堆叠系统中剩下的就是从交换机，可以多太，负责流量转发，备交换机故障。堆叠系统：多台设备堆叠后组成一台逻辑交换机称作堆叠系统，堆叠系统中的单台交换机教。成员退出：某台交换机离开堆叠系统，根据离开交换机的角色不同，对堆叠系统影响不同。
upload-labs 验证文件
09-17
对于upload-labs验证文件，可以使用以下步骤进行验证： 1. 首先，确保你已经下载和安装了upload-labs。你可以从GitHub上找到它的源代码并进行安装。 2. 打开终端，并切换到upload-labs的目录下。 3. 通过运行以下命令来启动upload-labs服务器： ``` php -S 127.0.0.1:80 ``` 4. 在浏览器中输入 `http://127.0.0.1`，以访问upload-labs的主页。 5. 浏览upload-labs的主页，以查看提供的不同类型的验证文件。选择一个你感兴趣的验证文件进行尝试。 6. 下载选定的验证文件，并在你的本地机器上保存它。 7. 将该文件上传到upload-labs网站中。这可能涉及到在网站上查找一个相应的上传功能或表单，通过该表单上传文件。 8. 完成上传后，upload-labs网站将会对你上传的文件进行验证。你会得到一个验证结果。 请注意，确保在进行任何演示或测试时遵循适当的安全措施，以防止任何潜在的安全问题。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值