upload-lads通关手册

upload-lads通关手册

　　纯手打，有错误希望各位大牛指出

Pass-01

尝试

​ 先直接上传个PHP，看看情况。出现如下结果

​ 由于从没做过文件上传，看看提示

​ 使用JS也就是在前端页面对文件进行审查，在开发者工具里直接看看前端代码。发现如下JavaScript语句，也就是该文件上传是在前端进行验证的。

开发者工具中的控制台（console）

​ 对前端页面进行直接修改，这里我们就要了解到console的作用。

  • 查看JS对象及其属性

  • 执行JS语句

  • 查看控制台日志

    重点说一下执行JS语句功能，我猜测应该使将输入的JS语句渲染后加入前端页面(未实锤)，所以这里我们输入上诉JS同名函数语句，加上我们想要的部分，可以达到对原JS函数覆盖的目的。

上传成功

​ 在console中执行我们想要的JS函数语句，覆盖原函数，红框处为添加部分。

​ 执行完

​ 上传我们开始的一句话木马，成功上传，访问该url，成功。

Pass-02

源码


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
    }
}

Content-type

​ MediaType，即是Internet Media Type，互联网媒体类型；也叫做MIME类型，在Http协议消息头中，使用Content-Type来表示具体请求中的媒体类型信息。

​ 常见的媒体格式类型如下：

  • text/html：HTML格式

  • text/plain：纯文本格式

  • text/xml：XML格式

  • image/gif：gif图片格式

  • application/xhtml+xml：XHTML格式

  • application/xml：XML数据格式

  • application/json：JSON数据格式

分析结合源码

​ 发现会对接收到的文件的type进行判断，也就是http协议消息头中的content-type。

​ 所以我们采用抓包工具，对上传的POST请求中的content-type进行修改，就能绕过该机制。

​ 修改为图片类型的MIME，即可上传成功。

Pass-03

初步尝试

​ 直接上传后发现上传后发现提示为不允许相应后缀的文件

​ 那这个很简单，抓包后直接修改文件后缀即可。

​ 成功

​ 右键在新链接里打开该图像，访问，发现不但名称换了，还无法解析，因为文件后缀名被更改了。

代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空
​
        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 发现好多条防御机制，

  • 第一个红框处，设置了文件后缀拒绝数组，配合下面的语句检测文件后缀。

  • 第二个红框处，删除文件名末尾的点。

    • 第三个红框处，文件名转换小写

  • 第四个红框处，则是发现去除::$DATA,从而防止通过

    ​::$DATA绕过，是利用Windows流特性绕过。

  • 第五个红框处，文件名首尾去掉空格

  • 第七个红框处发现会对文件以日期和随机数进行重命名。

    ​那么现在摆在眼前的问题就是使文件后缀不是php但能够成功解析。

解决方法

方法一 修改后缀为在黑名单之外的能解析的版本

​ 上传一些后缀名为php、php2、php3、php5、phtml等文件去绕过黑名单的,但是apache的配置文件里一般并没有配置将这些后缀的文件当做php解析，所以先要配置apache配置文件，因为没有很大实战意义，所以不再详细解析。只是说可以当作一种思路去想。

方法二 特殊16进制后缀截断

​ 原理：在PHP代码中，某一些代码是存在的，所以结尾不是以php结尾则绕过黑名单检测，但存储到windows系统时，系统对这些特殊字符不能打印到文件名中，所以就除掉了这些字符，剩下php结尾。但是在win11中这些字符已经可以打印到文件名中了。因为的靶机平台平台是win10的所以暂时无法完成实验。

Pass-04

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空
​
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 发现这个相比pass3黑名单设置得更全，基本把所以可以利用得文件后缀都包括了。

​ 除了.htaccess。

.htaccess

简介

​ .htaccess文件是apache中一种特殊的文件，其提供了针对目录改变配置的方法，即在一个特定的文档目录放置一个包含一条或多条指令的文件，以作用于此目录及其所有子目录。

​ .htaccess 文件中的配置指令作用于 .htaccess 文件所在的目录及其所有子目录，但是很重要的、需要注意的是，其上级目录也可能会有 .htaccess 文件，而指令是按查找顺序依次生效的，所以一个特定目录下的 .htaccess 文件中的指令可能会覆盖其上级目录中的 .htaccess 文件中的指令，即子目录中的指令会覆盖父目录或者主配置文件中的指令。

常用指令

  • SetHandler 指令可以强制所有匹配的文件被一个指定的处理器处理。


    SetHandler handler-name|None

    如：SetHandler application/x-httpd-php

    此时当前目录及其子目录下所有文件都会被当做 php 解析。

  • AddHandler 指令可以实现在文件扩展名与特定的处理器之间建立映射。


    AddHandler handler-name extensive [extensive] ...

    如：AddHandler cgi-script .xxx

    即将扩展名为 .xxx 的文件作为 CGI 脚本来处理。

  • AddType 指令可以将给定的文件扩展名映射到指定的内容类型。


    AddType media-type extensive [extensive] ...

    如：AddType application/x-httpd-php .gif

    此时将会把 gif 为后缀的文件当做 php 文件解析。

  • php_value 指令用来设定指定的 PHP 的配置值

  • php_flag 指令用来设定布尔值类型的 PHP 配置选项。

使用条件

​ 启动 .htaccess，需要在服务器的主配置文件中将 AllowOverride 设置为 All。

解决方法

​ 因为.htaccess文件是没有被禁止的，所以我们先传.htaccess文件，并在文件中写下如下指令，即当前目录及其子目录下所有文件都会被当做 php 解析。

​ 上传完成

 

Pass-05

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
​
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

解决方法 大小写绕过

​ 抓包后，将文件改为大小写上传即可。但是我这里上传成功后，访问url有点问题，如下图，暂时不知道怎么解决

Pass-06

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file,$img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 发现去除函数file_ext = trim($file_ext); 即首尾去空格，所以这里我们可以利用空格绕过。

解决方法 空格绕过

​ 抓包后，在文件后缀添加空格后绕过即可。

Pass-07

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 发现没有去点的操作的函数，也就是这一句函数file_name = deldot($file_name);

解决方法 加点绕过

​ 抓包后在文件名的后缀加点，再上传即可。加几个都可以。

Pass-08

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 发现没有去除字符串::$DATA的操作，也就是函数

​ file_ext = str_ireplace('::$DATA', '', file_ext);那么可以利用该机制绕过。

解决方法 特殊字符::$DATA绕过

原理

​ windows系统下，如果上传的文件名为test.php::$DOTA，会在服务器中再生成一个同名文件test.php且内容相同。

方法

​ 抓包后在后缀加入特殊字符::$DOTA即可，只是注意，访问的url会去掉特殊字符

::$DOTA,才能找到我的一句话php代码。

​

Pass-09

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 配置都齐全了，.htaccess也ban掉了，那么只有.user.ini可以利用了。

解决方法 .user.ini

原理

​ 利用.user.ini配置文件。它比.htaccess用得更广，不管服务器是nginx/apache//IIS，当使用CGI/FastCGI来解析php时，php会优先搜索目录下所有的ini文件，并应用其中的配置。类似于apache的.htaccess，但语法与其不同，语法跟php.ini一致

​ 所以我们上传文件.user.ini，内容为


auto_prepend_file=test.jpg    //包含在文件头
或
auto_append_file=test.jpg

​ 其作用为，所有的php文件都自动包含test.jpg文件。.usr.ini相当于一个用户自定义的php.ini。

方法流程

​ 先上传文件.user.ini，内容见上。

 

Pass-10

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");
​
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = UPLOAD_PATH.'/'.$file_name;        
        if (move_uploaded_file($temp_file, $img_path)) {
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 本例中的关键防御函数是将黑名单中的字符串全替换成空格。就是下面这句， file_name = str_ireplace(deny_ext,"", $file_name);

解决方法 双写字符串绕过

​ 即将文件后缀名改为xx.pphphp即可绕过，中间的php会被删掉，但是会留下来另一段php字符。

Pass-11

源代码审计


$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
​
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

​ 其中的关键函数为，img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".file_ext;也就是用GET方法接收保存路径，且是使用拼接的方式。

​ 黑盒的情况下抓完包后仔细分析就能分析出该函数。

解决方法 GET%00截断

​ 因为是拼接，所以我们可以考虑到%00截断

原理

​ 在url中%00表示ASCII码中的0，而ASCII码中0作为特殊字符保留，表示字符串的结束，所以当PHPD读到url中出现%00就会认为读取已经结束。

​ 比如http://192.168.235.130/upload/upload/test.txt如果使用%00截断

​ 则是http://192.168.235.130/upload/upload/test.php%00.txt成功绕过

使用前提

  • PHP版本小于5.3.4

  • PHP的magic\_quotes\__gpc为off状态。

方法流程

​ 因为上传了数次都失败，所以考虑配置问题，在PHP里找到配置文件，将该项改为off状态。

​ 抓包后修改相应字段，save_path和文件后缀名即可。

​ 访问我们自己命名的截断前的文件名，成功绕过。

Pass-12

源代码审计


$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
​
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }
    } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

​ 其中的关键函数为，img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".file_ext;也就是用POST方法接收保存路径，且是使用拼接的方式。

解决方法 POST%00截断

原理

​ 如果直接使用POST传地址的话，POST不会对里面的数据进行解码，所以需要在HEX中修改。

方法流程

​ 抓包，在savepath后添加相应文件名并在后缀多加一个字符方便我们在HEX中修改。并将filename中的文件后缀修改为符合白名单要求的后缀。

​ 在hex中把php后字符的修改为00，表示在此处截断。

​ 即可成功上传。

Pass-13

源代码审计


function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}
​
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);
​
    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

​ 可以发现本例，先对文件取头两个字节。

  • 函数strInfo = @unpack("C2chars", $bin);对从二进制字符串对数据进行解包。C2chars规定在解包数据时所使用的格式，即用chars分别接收头两个字符。

  • 函数typeCode = intval(strInfo['chars1'].$strInfo['chars2']);intval() 函数通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值。即对两个字符转为十进制后组合。

解决方法 修改文件特征绕过以及文件包含

文件包含

​ 这里即使在成功利用修改文件特征上传后发现，其源代码的命名规则中是指定了文件后缀的，也就是我们的后缀名只可能是jpg，gif，png三种中的一种。

​ 那么我们如何去解析我们上传的一句话木马呢那么这里就要利用到文件包含这一漏洞。在上传目录的上一级目录，我们发现了这个包含文件，这也是题目自己提示的：include.php

​ 但是在实战中这一漏洞是不一定有或是需要我们仔细查找的。

​ 在该文件中可以用GET方法得到文件的目录并执行该文件。

方法流程

​ 我们先看一下各种图片文件都有什么特征，如jpg文件我们在winhex打开

​ 前两个字节的十六进制为FF D8解包后11111111 11011000转化为分别转化为十进制即为255 216

​ gif文件：

​ 前两个字节十六进制为47 49解包后01000111 01001001再分别转化为十进制为71 73。

​ 那么利用这一特性我们用burp suite可以抓包后在Hex种修改，也可以直接用WINhex修改后上传。我们选择后一种。

​ jpg就这样改：

​ gif就这样改：

​ 然后上传后我们就可以利用文件包含漏洞来解析我们上传的文件了。访问include.php并用GET方法传参，也就是包含一句话木马且有图片文件特性的文件目录地址。

​ 如下：

Pass-14

源代码审计


function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}
​
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

​ 这段防御代码跟pass-13有一些不同，更换了判断文件特征的函数，即getimagesize()。getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。


- 索引 0 给出的是图像宽度的像素值
- 索引 1 给出的是图像高度的像素值
- 索引 2 给出的是图像的类型，返回的是数字，其中1 = GIF，2 = JPG，3 = PNG，4 = SWF，5 = PSD，6 = BMP，7 = TIFF(intel byte order)，8 = TIFF(motorola byte order)，9 = JPC，10 = JP2，11 = JPX，12 = JB2，13 = SWC，14 = IFF，15 = WBMP，16 = XBM
- 索引 3 给出的是一个宽度和高度的字符串，可以直接用于 HTML 的 <image> 标签
- 索引 bits 给出的是图像的每种颜色的位数，二进制格式
- 索引 channels 给出的是图像的通道值，RGB 图像默认是 3
- 索引 mime 给出的是图像的 MIME 信息，此信息可以用来在 HTTP Content-type 头信息中发送正确的信息，如： header("Content-type: image/jpeg");

解决方法 伪装成图片并用文件包含

​ 使用文件合并命令后直接上传。


copy OIP-C.jpg/b+phpinfo.php/a 2.jpg

​ 上传完成后用文件包含查看

​ 实验了几个图片，发现在图片文件大小超过几百k的情况下会出现解析错误。所以我们最好选择小一点的图片。

Pass-15

源代码审计


function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}
​
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

​ exif_imagetype()读取一个图像的第一个字节并检查其签名。返回值与getimage()函数返回的索引2相同，但是速度比getimage快得多。但需要开启php_exif模块。

解决方法 图片马+文件包含

​ 与pass-14一致。

Pass-16

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];
​
    $target_path=UPLOAD_PATH.'/'.basename($filename);
​
    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);
​
    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);
​
            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
​
    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);
​
            if($im == false){
                $msg = "该文件不是png格式的图片！";
                @unlink($target_path);
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);
​
                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上传出错！";
        }
​
    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);
​
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

​ 这个的源代码就有点长了，阅读一下，发现是对我们上传的图片文件进行重新渲染。

  • strrchr(string,char)函数查找字符串在另一个字符串中最后一次出现的位置，并返回从该位置到字符串结尾的所有字符。

  • imagecreatefromgif()：创建一块画布，并从 GIF 文件或 URL 地址载入一副图像imagejpeg(im,$img_path)，输出图象到浏览器或文件，内容在im中，文件名为img_path。后面的imagepng()和imagegif()也一样。

  • imagecreatefromjpeg()：创建一块画布，并从 JPEG 文件或 URL 地址载入一副图像

  • imagecreatefrompng()：创建一块画布，并从 PNG 文件或 URL 地址载入一副图像

解决办法 文件渲染后不变内容部分HEX替换

​ 在上传一个正常的gif文件后下载，到winhex比对渲染后的gif和之前正常的gif文件改变了哪一部分，没有改变哪一部分，对于没有改变的部分我们就可以利用起来。

​ 在此处取21个字节，将内容替换为我们的一句话木马内容然后上传。

​ 再用我们的文件包含漏洞访问即可。

​ 但是好像jpg和png用这方法并不行，或者是我没找到合适的插入位置，或者有其他方法。希望有大牛有方法的话给我讲一下qaq。

Pass-17

源代码审计


$is_upload = false;
$msg = null;
​
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;
​
    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

​ 这段代码的关键在这一句，如果不是指定后缀的文件，会将文件删除。即执行unlink($upload_file);

​ 但是其中可以利用条件竞争的函数其实是这一句 move_uploaded_file(temp_file, $upload_file)也就是会将临时文件移到真正的目录下后再对文件的后缀进行判断。

解决方法 条件竞争

思路

​ 也就是说如果我们上传后缀名为php的文件的话，它是会在真是目录中存在一段时间的，但是当代码再进一步检测时，会由于不符合白名单内容而将该文件删除。那也就是说，我们可以爆破的形式，不断上传php文件，利用服务器短时间处理不过来这么多文件的漏洞，并不断访问上传后的url，在服务器还没删除之前访问并执行php代码，生成真正的一句话木马。

方法流程

​ 这里可以考虑写python脚本，也可以用burp suite的intruder模块。这里我们用burp suite的intruder模块。

​ 先写一个需要上传的文件，用来生成目的一句话木马。命名为intruder.php：


<?php fputs(fopen('1.php','w'),'<?php phpinfo();?>');?>//生成文件1.php并将内容'<?php phpinfo();?>'写入该文件。

​ 打开代理，用burp suite将上传该文件的post请求拦截后发到intruder模块进行爆破。配置成如下模式后点击start attack。

​ 那么接下来我们对该文件进行哪怕只有一次的有效访问即可以生成我们的目标文件。访问的路径如下http://192.168.235.130/upload/upload/intruder.php有人可能有疑问，上面的源代码不是有个重命名操作吗，那么直接访问该这个名称可行吗。显然可行，再看源代码，它是会在文件先存储在该位置后符合规则的条件下才进行重命名操作，也就是该文件会先以源文件形式存储在该位置。

​ 在不断重传的过程中我们在服务器端观察一下文件上传下的情况。可以看到原文件确实是以它原来的形式存在过一段时间的。

​ 那么此时我们直接手动访问该站点不断刷新也可以，也可以用python脚本代替手动操作，python代码如下：


import requests
url = "http://192.168.235.130/upload/upload/1.php"
while True:
    html = requests.get(url)
    if html.status_code == 200:
        print("OK")
        break
    else:
        print("NO")

​ 还有直接手动访问，地址栏输入url，不断刷新即可

Pass-18

源代码审计


//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload(UPLOAD_PATH);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;//命名路径，发现没有在/upload目录下了
            break;
        case 2:
            $msg = '文件已经被上传，但没有重命名。';
            break; 
        case -1:
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
            break; 
        case -2:
            $msg = '上传失败，上传目录不可写。';
            break; 
        case -3:
            $msg = '上传失败，无法上传该类型文件。';
            break; 
        case -4:
            $msg = '上传失败，上传的文件过大。';
            break; 
        case -5:
            $msg = '上传失败，服务器已经存在相同名称文件。';
            break; 
        case -6:
            $msg = '文件无法上传，文件不能复制到目标目录。';
            break;      
        default:
            $msg = '未知错误！';
            break;
    }
}
​
//myupload.php
class MyUpload{
......
......
...... 
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );
​
......
......
......  
  /** upload()
   **
   ** Method to upload the file.
   ** This is the only method to call outside the class.
   ** @para String name of directory we upload to
   ** @returns void
  **/
  function upload( $dir ){
    //下面的任何一项不满足就会直接跳出判断，返回到上面那部分对status_code的判断当中。
    $ret = $this->isUploadedFile();//检查是否有文件上传
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
​
    $ret = $this->setDir( $dir );//检查上传目录是否可写
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
​
    $ret = $this->checkExtension();//检查文件后缀
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
​
    $ret = $this->checkSize();//检查文件大小
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    
    // if flag to check if the file exists is set to 1
    
    if( $this->cls_file_exists == 1 ){//检查文件是否存在
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
​
    // if we are here, we are ready to move the file to destination
​
    $ret = $this->move();//移动文件到目标目录下（关键一步）
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
​
    // check if we need to rename the file
​
    if( $this->cls_rename_file == 1 ){//检测是否需要重命名
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    
    // if we are here, everything worked as planned :)
​
    return $this->resultUpload( "SUCCESS" );
  
  } 
......
......
...... 
};

​ 因为不太懂PHP，所以阅读起来有点困难，而且好像还省略了一部分代码，具体内容看注释部分。大致就是对文件依次进行检查，每一项不符合就会报错，只有最后才会将文件上传，然后再重命名，但是显然，文件也在临时文件目录下存在了一段时间。

​ 值得注意的是，不只是作者故意为之还是不小心写错了，文件保存目录为了上一级，而upload字样出现在了文件当中。

解决方法 条件竞争+图片马+文件包含

​ 跟Pass-17几乎一样，利用文件上传漏洞，只是文件目录有变。

​ 先试验一下，同时上传文件后是个什么情况。由下图可以看出我虽然发送了1000个包，但留下来的只有这一些，显然这是源代码中对同名称文件的不上传操作。值得一提的是，居然还有重命名失败的，就是下图中红框框起来的部分，对应源代码中status_code的case 2。我也不知道是个什么原理，希望有大佬告知。

​ 而上传我们的php后缀的文件时，连临时文件目录都不保存，所以这里就要利用到图片马了，并使用到文件包含。

​ 没有对图片二次渲染，那么我们文件末尾直接添加我们的php代码来爆破。

​ 本例相当于条件竞争+图片马的结合。

​ 生成图片马，使用burp suite的intruder模块爆破。

​ 使用文件包含漏洞访问未改名的，这里直接手动访问，就没有用脚本了。如下就是访问到该文件，并生成目标一句话木马。

​ 访问一句话木马，或在服务器端发现已生成目标一句话文件。

Pass-19

源代码审计


$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");
​
        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);
​
        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }
​
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​ 由特征可知是黑名单绕过，关键在这句函数file_name = $_POST['save_name'];会对用户自己上传的文件名来命名文件后缀，而且是用POST请求接受

解决方法 黑名单绕过

​ 以上的黑名单绕过方法基本上都可以绕过。

Pass-20

源代码审计


$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }
        
        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

​ 首先是对数据包的mime检测也就是content-type字段的检查。然后检测是以用户自定义也就是POST请求得到的数据命名还是在该处为空时采用文件原本的名字命名。

  • explode函数将字符串打散为数组，也就是本代码将·作为分隔符，将其前后的字符串分别作为数组的两个值。而且strtolower()会将字符串转换为小写。然后对其后缀进行检测，如果通过后缀则用下面这个函数最后确定其文件名

  • file_name = reset(file) . '.' . file[count($file) - 1];reset()将内部指针指向第一个元素并输出，count()则是返回数组元素中的数目。有点过于花里胡哨。我想实战中肯定没这么写的，这应该就是为了绕过而绕过。

解决方法 黑名单MEME绕过和数组绕过

思路

​ 这里可以用图片马+文件包含绕过，但这并不是本题的本意。

​ 这里的本意是用前面的file[count(file) - 1]和ext = end($file)这个两个函数，也就是这里是先取数组的最后一个元素来进行白名单验证，再取数组的头指针处和计数减一处来组合命名。

​ 那么我们可以在该源代码把字符串打散之前就用POST先行传入数组进行，因为是count-1所以我们把传入这样的数组1.php NULL jpg这样end就取最后一个元素来进行白名单绕过，count-1就取1处也就是空，但是头指针处为1.php，那么我们构造出的文件就是1.php了，所以完成命令并绕过。

流程步骤

​ 上传时直接抓包，修改三个地方

​ 即可完成绕过。

完结！

posted @ 2022-01-19 00:40  三木森林  阅读(95)  评论(0)  编辑  收藏  举报