浅析文件上传漏洞
0x01简介
文件上传漏洞可以说是日常渗透测试用得最多的一个漏洞，因为用它获得服务器权限最快最直接。但是想真正把这个漏洞利用好却不那么容易，其中有很多技巧，也有很多需要掌握的知识。俗话说，知己知彼方能百战不殆，因此想要研究怎么防护漏洞，就要了解怎么去利用。此篇文章主要分三部分：总结一些常见的上传文件校验方式，以及绕过校验的各种姿势，最后对此漏洞提几点防护建议。
0x02文件上传检测
（一）客户端检测
1. JavaScript本地验证
在网页上写一段javascript脚本，校验上传文件的后缀名，有白名单形式也有黑名单形式
判断方法：1.响应迅速
2.查看网页源代码
（二）服务器端检测
1.MIME类型校验（Content-Type字段）
代码：
1 <?php 2 3 if($_FILES['userfile']['type'] != "image/gif") {//获取Http请求头信息中ContentType 4 5 echo "Sorry, we only allow uploading GIF images"; 6 7 exit; 8 9 } 10 11 $uploaddir = 'uploads/'; 12 13 $uploadfile = $uploaddir.basename($_FILES['userfile']['name']); 14 15 if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){ 16 17 echo "File is valid, and was successfully uploaded.\n"; 18 19 } else { 20 21 echo "File uploading failed.\n"; 22 23 } 24 25 ?>
2.文件扩展名校验（白名单、黑名单）
代码：
1 <?php 2 3 $blacklist = array(".php", ".phtml", ".php3", ".php4"); 4 5 foreach ($blacklist as $item) { 6 7 if(preg_match("/$item\$/i", $_FILES['userfile']['name'])) { 8 9 echo "We do not allow uploading PHP files\n"; 10 11 exit; 12 13 } 14 15 } 16 17 $uploaddir = 'uploads/'; 18 19 $uploadfile = $uploaddir . basename($_FILES['userfile']['name']); 20 21 if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){ 22 23 echo "File is valid, and was successfully uploaded.\n"; 24 25 } else { 26 27 echo "File uploading failed.\n"; 28 29 } 30 31 ?> 32 33
3.文件头内容检验（eg:jpg文件头为FFD8）
4.自定义正则表达式
0x03绕过上传检测
（一）绕过客户端检测
1.使用firebug插件删除验证函数或者浏览器禁用JS，直接上传脚本文件
2.抓包改包。上传图片马，抓包改后缀为脚本文件后缀
（二）绕过服务器端检测
1.绕过 MIME类型校验（Content-Type字段）
使用BurpSuite抓包，修改Content-Type字段为允许上传的类型
2. 绕过文件扩展名校验
（1）绕过黑名单校验：①找黑名单中的漏网之鱼
②大小写绕过
（2）白名单：①%00截断
②配合Web容器的解析漏洞
3.绕过文件头内容校验
使用图片马
生成图片马： copy /b 1.jpg+1.php 2.jpg
0x04文件上传漏洞防御
1.文件上传目录设置不可执行
2.检查文件类型（后缀、MIME）
3.使用随机数改写文件名
4.单独设置文件服务器的域名
