漏洞重温之文件上传（中）
漏洞重温之文件上传
Pass-11
进入第十一关，首先我们先查看源码。
从代码中，我们可以看到。
if (isset($_POST['submit']))
这行代码是在验证我们上传是否为空
$ext_arr = array('jpg','png','gif')
这行代码告诉我们，网页建立了一个数组，从里面的内容可以猜测，这可能是网站设置的白名单数组。
$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1)
这行代码提取了我们上传的文件名中的后缀，并且将其存储到了$file_ext这个变量中。
if (in_array($file_ext,$ext_arr)){
$temp_file = $_FILES['upload_file']['temp_name'];
$img_path = $_GET['save_path']."/".rand(10,99).data("YmdHis").".".$file_ext;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
} else{
$msg = '上传出错！';
}else {
$msg = "只允许上传.jpg|.png.gif类型文件！";
}
}
这行代码则是做了一个判断，如果我们上传文件的后缀在白名单数组里面，那么我们的文件可以被上传，并且会被重命名，如果不是，则返回只允许上传只允许上传.jpg|.png.gif类型文件！这条提示。
但是$img_path 是直接拼接，因此可以利用%00截断绕过。
PS:截断条件：php版本小于5.3.4，php的magic_quotes_gpc为off状态。
因为%00截断绕过，我们所利用的并非正常的上传方式，所以在这里我们并不需要通过返回包知道路径，所以在上传之后，可以直接访问。
第十一关，通关。
Pass-12
进入十二关，直接查看源码，可以发现，源码内容基本和第十一关一致。
但是注意下面这行代码。
$img_path = $_POST['save_path']."/".rand(10,99).data("YmdHis").".".$file_ext;
这条代码是十二关和十一关不同的地方，一个是get请求，一个是post请求。
因为代码一致，所以绕过方式我们依然选择%00截断，只是post请求不像get请求会将%00进行自动解码，所以我们需要在二进制中进行修改。
在修改成功之后，就可以上传，并且直接访问了。
第十二关，通关。
Pass-13
第十三关源码很长，就不截图了，源码如下。
function getReailFileType($filename){
$file = fopen($filename, "rb");
$bin = fread($file, 2); //只读2字节
fclose($file);
$strInfo = @unpack("C2chars", $bin);
$typeCode = intval($strInfo['chars1'].$strInfo['chars2']);
$fileType = '';
switch($typeCode){
case 255216:
$fileType = 'jpg';
break;
case 13780:
$fileType = 'png';
break;
case 7173:
$fileType = 'gif';
break;
default:
$fileType = 'unknown';
}
return $fileType;
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
$temp_file = $_FILES['upload_file']['tmp_name'];
$file_type = getReailFileType($temp_file);
if($file_type == 'unknown'){
$msg = "文件未知，上传失败！";
}else{
$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
} else {
$msg = "上传出错！";
}
}
}
这一关需要上传图片马，从开头的注释可以发现，代码只提取了文件名的前两个字节，所以我们根本不需要做任何操作，只需要将我们制作好的图片马上传到服务器即可。
这里，为了验证我们图片马是否成功，还需要写一个文件包含漏洞文件。
漏洞文件代码如下。
<?php
include "上传文件名"
?>
因为网站在我们图片上传完成之后会对我们的文件进行重命名，所以我们需要抓取返回包，记录文件名称，以此来验证我们上传的图片马是否可以使用。
第十三关，通关。
Pass-14
第十四关，源码如下。
function isImage($filename){
$types = '.jpeg|.png|.gif';
if(file_exists($filename)){
$info = getimagesize($filename);
$ext = image_type_to_extension($info[2]);
if(stripos($types,$ext)>=0){
return $ext;
}else{
return false;
}
}else{
return false;
}
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
$temp_file = $_FILES['upload_file']['tmp_name'];
$res = isImage($temp_file);
if(!$res){
$msg = "文件未知，上传失败！";
}else{
$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
} else {
$msg = "上传出错！";
}
}
}
这个源码我们可以看出，他的判断是利用getimagesize函数来进行的，该函数判断了文件类型，但是因为我们上传的图片马从本质上是图片和代码的结合，并且格式依然是图片格式，所以此处过滤对我们的图片马并无影响，可直接上传，方法跟第十三关一致。
第十四关，通关。
Pass-15
第十五关代码如下。
function isImage($filename){
//需要开启php_exif模块
$image_type = exif_imagetype($filename);
switch ($image_type) {
case IMAGETYPE_GIF:
return "gif";
break;
case IMAGETYPE_JPEG:
return "jpg";
break;
case IMAGETYPE_PNG:
return "png";
break;
default:
return false;
break;
}
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
$temp_file = $_FILES['upload_file']['tmp_name'];
$res = isImage($temp_file);
if(!$res){
$msg = "文件未知，上传失败！";
}else{
$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
} else {
$msg = "上传出错！";
}
}
}
该代码和十四关几乎一致，只是使用了php_exif模块来判断文件类型，所以这关的限制条件依然是文件类型，图片马本质为图片，所以依然可以使用直接使用图片马来绕过。
第十五关，通关。
