首页课程文章
无痕注入APC注入线程注入读写驱动注入技术句柄表进程线程系统调用保护模式内存管理远程CALL软件调试驱动封装云下发驱动开发FPS数据方框透视FPS方框FPS自瞄CED3DHOOKD3D绘制Imgui绘制DWM
内核课程驱动出租学习路线聊天室免责声明提问技巧

WEB安全-文件上传学习【一】

推荐 原创

周杰伦

文章分类Web安全阅读数 : 17阅读时长 : 9分钟


【WEB安全-文件上传学习【一】】此文章归类为：WEB安全。

一、原理

利用服务端代码对文件上传路径变量过滤不严格将可执行的文件上传到一个到服务器中 ，再通过URL去访问以执行恶意代码。

二、利用

1、上传webshell：一句话木马或者以及经过免杀的webshell
2、钓鱼攻击：上传带有恶意代码的文件诱导用户或管理员下载
3、拒绝服务DoS：上传超大文件占用服务器带宽和资源

三、绕过

  1. 前端绕过
    原理：在文件上传点处只进行了前端检测，在后端没有检查就将文件放入服务器中
    绕过：将文件上传时修改文件后缀，绕过前端检查，之后进行抓包获取数据包在将上传的文件后缀修改成PHP或ASP
    实践：选择的题目是ctfhub的js前端验证
    分析源代码
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
    function checkfilesuffix()
{
    var file=document.getElementsByName('file')[0]['value'];
    if(file==""||file==null)
    {
        alert("请添加上传文件");
        return false;
    }
    else
    {
        var whitelist=new Array(".jpg",".png",".gif");
        var file_suffix=file.substring(file.lastIndexOf("."));
        if(whitelist.indexOf(file_suffix) == -1)
        {
            alert("该文件不允许上传");
            return false;
        }
    }
}

这里可以看到只能上传.jpg、png、gif的文件格式后缀
所以先将文件后缀改成这几个之后再进行文件上传抓包
上传php文件上传失败

上传jpg文件并抓包


上传成功


这里可以看到文件的路径使用蚁剑进行连接

  1. .htaccess上传
    原理：htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能
    绕过：在服务器上设置了黑名单过滤，将php等后缀进行后端检测无法上传恶意代码，但没有将这个.htaccess文件进行过滤，导致用户上传配置文件最终重定向文件使得其他文件后缀被当成php后缀执行
    实践：ctfhub的文件上传关卡
    创建一个.htaccess文件
1
2
3
4
<FilesMatch "evil.gif">
SetHandler application/x-httpd-php   #在当前目录下，如果匹配到evil.gif文件，则被解析成PHP代码执行
AddHandler php5-script .gif          #在当前目录下，如果匹配到evil.gif文件，则被解析成PHP代码执行
</FilesMatch>

上传.htaccess文件

上传成功在上传一个evil.gif文件，名字是这个，但内容是之前的一句话木马

上传这个文件

然后用蚁剑连接这个文件就可以了

分析文件源代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
    if (!empty($_POST['submit'])) {
    $name = basename($_FILES['file']['name']);
    $ext = pathinfo($name)['extension'];
    $blacklist = array("php", "php7", "php5", "php4", "php3", "phtml", "pht", "jsp", "jspa", "jspx", "jsw", "jsv", "jspf", "jtml", "asp", "aspx", "asa", "asax", "ascx", "ashx", "asmx", "cer", "swf");
    if (!in_array($ext, $blacklist)) {
        if (move_uploaded_file($_FILES['file']['tmp_name'], UPLOAD_PATH . $name)) {
            echo "<script>alert('上传成功')</script>";
            echo "上传文件相对路径<br>" . UPLOAD_URL_PATH . $name;
        } else {
            echo "<script>alert('上传失败')</script>";
        }
    } else {
        echo "<script>alert('文件类型不匹配')</script>";
    }
 
}

这里可以看到过滤了好多文件后缀，因此我们上传一个配置文件然后将别的文件后缀当成我们想要执行的文件。
3. MIME绕过
原理：服务器代码判断$FILES[”file“]["type"]是不是图片格式（image/jpeg、image/png、image/gif），如果不是，则不允许上传该文件。
绕过：将上传的文件进行抓包，在burp中修改MIME属性从而绕过服务端验证，但文件保存之后不会因为MIME属性的异常导致文件无法执行
实践：ctfhub
文件上传一个webshell.php之后进行抓包

这里可以看到这里的文件类型是application/octet-stream
因此修改这里就可以进行上传

上传成功

使用蚁剑连接

1
查看源代码进行分析
1
2
3
4
5
6
7
8
9
10
11
12
13
    if (!empty($_POST['submit'])) {
    if (!in_array($_FILES['file']['type'], ["image/jpeg", "image/png", "image/gif", "image/jpg"])) {
        echo "<script>alert('文件类型不正确')</script>";
    } else {
        $name = basename($_FILES['file']['name']);
        if (move_uploaded_file($_FILES['file']['tmp_name'], UPLOAD_PATH . $name)) {
            echo "<script>alert('上传成功')</script>";
            echo "上传文件相对路径<br>" . UPLOAD_URL_PATH . $name;
        } else {
            echo "<script>alert('上传失败')</script>";
        }
    }
}

这里可以看到验证的是$FILES['file']['type']这个的属性所以只需要修改那个点就可以了
4. 文件头检查
原理：在上传文件之后，服务端会提取文件的文件头，在jpg文件中有文件头0xFFD8FF，在png中有文件头0x89504E470D0A1A0A，在GIF中有文件头GIF89a
绕过：只要在上传的文件中添加这个文件头就可以了
实践：ctfhub
创建一个新的webshell，然后在webshell中添加GIF的文件头

然后上传这个文件并拦截包，顺便修改一下文件类型

上传成功，蚁剑连接

查看并分析源代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
if (!empty($_POST['submit'])) {
    if (!$_FILES['file']['size']) {
        echo "<script>alert('请添加上传文件')</script>";
    } else {
        $file = fopen($_FILES['file']['tmp_name'], "rb");
        $bin = fread($file, 4);
        fclose($file);
        if (!in_array($_FILES['file']['type'], ["image/jpeg", "image/jpg", "image/png", "image/gif"])) {
            echo "<script>alert('文件类型不正确, 只允许上传 jpeg jpg png gif 类型的文件')</script>";
        } else if (!in_array(bin2hex($bin), ["89504E47", "FFD8FFE0", "47494638"])) {
            echo "<script>alert('文件错误')</script>";
        } else {
            $name = basename($_FILES['file']['name']);
            if (move_uploaded_file($_FILES['file']['tmp_name'], UPLOAD_PATH . $name)) {
                echo "<script>alert('上传成功')</script>";
                echo "上传文件相对路径<br>" . UPLOAD_URL_PATH . $name;
            } else {
                echo "<script>alert('上传失败')</script>";
            }
        }
    }
}

可以看到这里是有两个点进行验证的，一个是文件类型进行验证，一个是读取文件前四个字节，确认文件的文件头是特定字节的。这里我是直接在文本中添加了一个GIF89a，这个字符串对应的二进制内容就是47494638，如果要伪造别的就可以使用winhex或者其他二进制编辑器在webshell中添加四个字节
5. 00截断
原理：当PHP版本小于5.3.4，PHP的magic_quotes_gpc为OFF状态，由于00代表结束符，所以会把00后面的所有字符删除
绕过：在上传文件的时候，因为把常见的php后缀过滤了，因此在php后面添加%00.jpg之类的后缀，在解析的时候只会把上传的文件当成jpg文件，但在保存文件的时候由于解析错误，就会把%00后面的字符串删除
实践：ctfhub
创建%00的文件

然后上传这个文件
这里要修改一下road这里为webshell.php%00

上传成功之后就是访问upload/webshell.php就可以，在这里只会显示上传成功但没返回上传路，可以先上传正常的然后进行拼接后面上传的webshell就可以了

1
查看并分析源代码
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
    if (!empty($_POST['submit'])) {
    $name = basename($_FILES['file']['name']);
    $info = pathinfo($name);
    $ext = $info['extension'];
    $whitelist = array("jpg", "png", "gif");
    if (in_array($ext, $whitelist)) {
        $des = $_GET['road'] . "/" . rand(10, 99) . date("YmdHis") . "." . $ext;
        if (move_uploaded_file($_FILES['file']['tmp_name'], $des)) {
            echo "<script>alert('上传成功')</script>";
        } else {
            echo "<script>alert('上传失败')</script>";
        }
    } else {
        echo "文件类型不匹配";
    }
}

这里是php版本低的原因所以没什么看的源代码
6. 双写绕过
原理：在后端检查的时候，如果检测到了php或者其他危险字符，在保存文件的时候会将这些字符进行替换成空字符，因此导致保存文件失效
绕过：将文件后缀进行双写绕过
实践：ctfhub
上传文件修改下面两个地方

修改之后

上传成功

使用蚁剑连接查看源代码

1
2
3
4
5
6
7
8
9
10
11
12
    if (!empty($_POST['submit'])) {
    $name = basename($_FILES['file']['name']);
    $blacklist = array("php", "php5", "php4", "php3", "phtml", "pht", "jsp", "jspa", "jspx", "jsw", "jsv", "jspf", "jtml", "asp", "aspx", "asa", "asax", "ascx", "ashx", "asmx", "cer", "swf", "htaccess", "ini");
    $name = str_ireplace($blacklist, "", $name);
 
    if (move_uploaded_file($_FILES['file']['tmp_name'], UPLOAD_PATH . $name)) {
        echo "<script>alert('上传成功')</script>";
        echo "上传文件相对路径<br>" . UPLOAD_URL_PATH . $name;
    } else {
        echo "<script>alert('上传失败')</script>";
    }
}

这里可以看到名字这里是包黑名单中的字符替换成空导致我们可以双写绕过



更多【WEB安全-文件上传学习【一】】相关视频教程：www.yxfzedu.com




相关文章推荐

记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多

Markdown Editor

友情链接
内核结构FAQ
免责声明
课程目录
Windows内核
游戏逆向(FPS)
技术交流QQ群
342478842215039827137189196
314055665159620936
www.yxfzedu.com是一个分享游戏安全,游戏外挂与反外挂,游戏驱动保护的视频网站！
接各种驱动定制如：游戏读写驱动，软件内存保护，防止调试等功能定制。
出租读写驱动，调试驱动，无痕注入支持各种游戏。
邮箱：service@yxfzedu.com
QQ：851920120
特别说明：不接游戏数据分析，外挂编写，登陆协议等类似业务。