【文件上传】---黑名单,白名单---day21
【文件上传】---黑名单,白名单---day21
一、文件上传常见验证
1、后缀名,类型,文件头等
2、后缀名:黑名单,白名单
在黑名单限制不完整的情况下,可以用php5,phtml等绕过,执行php代码。前提是网站能解析。
3、文件类型:MIME信息
4、文件头:内容头信息
二、相关知识
1、PHP $_FILES()
PHP $_FILES函数详解
在PHP中上传一个文件建一个表单要比ASP中灵活得多。具体的看代码。
如:
代码如下:
<form enctype="multipart/form-data" action="upload.php" method="post">
<input type="hidden" name="MAX_FILE_SIZE" value="1000">
<input name="myFile" type="file">
<input type="submit" value="上传文件">
</form>
然后upload.php中可以直接用
$_FILES
$_POST
$_GET
等函数获取表单内容。
今天我们着重讲$_FILES函数。
当客户端提交后,我们获得了一个$_FILES 数组
$_FILES数组内容如下:
$_FILES['myFile']['name'] 客户端文件的原名称。
$_FILES['myFile']['type'] 文件的 MIME 类型,需要浏览器提供该信息的支持,例如"image/gif"。
$_FILES['myFile']['size'] 已上传文件的大小,单位为字节。
$_FILES['myFile']['tmp_name'] 文件被上传后在服务端储存的临时文件名,一般是系统默认。可以在php.ini的upload_tmp_dir 指定,但 用 putenv() 函数设置是不起作用的。
$_FILES['myFile']['error'] 和该文件上传相关的错误代码。['error'] 是在 PHP 4.2.0 版本中增加的。下面是它的说明:(它们在PHP3.0以后成了常量)
UPLOAD_ERR_OK
值:0; 没有错误发生,文件上传成功。
UPLOAD_ERR_INI_SIZE
值:1; 上传的文件超过了 php.ini 中 upload_max_filesize 选项限制的值。
UPLOAD_ERR_FORM_SIZE
值:2; 上传文件的大小超过了 HTML 表单中 MAX_FILE_SIZE 选项指定的值。
UPLOAD_ERR_PARTIAL
值:3; 文件只有部分被上传。
UPLOAD_ERR_NO_FILE
值:4; 没有文件被上传。
值:5; 上传文件大小为0.
文件被上传结束后,默认地被存储在了临时目录中,这时您必须将它从临时目录中删除或移动到其它地方,如果没有,则会被删除。也就是不管是否上传成功,脚本执行完后临时目录里的文件肯定会被删除。所以在删除之前要用PHP的 copy() 函数将它复制到其它位置,此时,才算完成了上传文件过程。
<html>
<head><title>upload picture more once</title></head>
<body>
<form action="" method="post" enctype="multipart/form-data">
<p>Pictures:<br />
<input type="file" name="pictures[]" /><br />
<input type="file" name="pictures[]" /><br />
<input type="file" name="pictures[]" /><br />
<input type="submit" name="upload" value="Send" />
</p>
</form>
</body>
</html>
<?php
error_reporting(0);
if($_POST['upload']=='Send'){
$dest_folder = "picture/";
if(!file_exists($dest_folder)){
mkdir($dest_folder);
}
foreach ($_FILES["pictures"]["error"] as $key => $error) {
if ($error == UPLOAD_ERR_OK) {
$tmp_name = $_FILES["pictures"]["tmp_name"][$key];
$name = $_FILES["pictures"]["name"][$key];
$uploadfile = $dest_folder.$name;
move_uploaded_file($tmp_name, $uploadfile);
}
}
}
?>
三、Upload-labs案例演示
1、Pass-02
① 源代码
②试着上传一个php后缀的文件,使用bp抓包。
查看MIME的值
与代码里白名单的不一样。所以上传不成功。
③通过修改type的值来提交
上传成功
2、Pass-03
①源代码
②使用php5 php3 phtml等绕过
但是需要在apache的配置文件当中去修改一下注释
3、Pass-04 .htaccess解析
①.htaccess学习
.htaccess是什么
.htaccess文件(或者"分布式配置文件")提供了针对目录改变配置的方法, 即,在一个特定的文档目录中放置一个包含一个或多个指令的文件, 以作用于此目录及其所有子目录。作为用户,所能使用的命令受到限制。管理员可以通过Apache的AllowOverride指令来设置。
概述来说,htaccess文件是Apache服务器中的一个配置文件,它负责相关目录下的网页配置。通过htaccess文件,可以帮我们实现:网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。
启用.htaccess,需要修改httpd.conf,启用AllowOverride,并可以用AllowOverride限制特定命令的使用。如果需要使用.htaccess以外的其他文件名,可以用AccessFileName指令来改变。例如,需要使用.config ,则可以在服务器配置文件中按以下方法配置:AccessFileName .config 。
笼统地说,.htaccess可以帮我们实现包括:文件夹密码保护、用户自动重定向、自定义错误页面、改变你的文件扩展名、封禁特定IP地址的用户、只允许特定IP地址的用户、禁止目录列表,以及使用其他文件作为index文件等一些功能。
工作原理
.htaccess文件(或者"分布式配置文件")提供了针对每个目录改变配置的方法,即在一个特定的目录中放置一个包含指令的文件,其中的指令作用于此目录及其所有子目录。
说明:
如果需要使用.htaccess以外的其他文件名,可以用AccessFileName指令来改变。例如,需要使用.config ,则可以在服务器配置文件中按以下方法配置:
AccessFileName .config
通常,.htaccess文件使用的配置语法和主配置文件一样。AllowOverride指令按类别决定了.htaccess文件中哪些指令才是有效的。如果一个指令允许在.htaccess中使用,那么在本手册的说明中,此指令会有一个覆盖项段,其中说明了为使此指令生效而必须在AllowOverride指令中设置的值。
.htaccess解析漏洞
代码:
<FilesMatch "shana">
Sethandler application/x-httpd-php
</Filesmatch >
意思就是说,如果碰到了cimer的文件名,就以下面的格式去解析执行。
②上传.htaccess文件到upload中
因为黑名单中没有.htaccess的限制。
然后这个文件夹下的所有文件都将以这个配置文件的规则来执行。
③上传个名字为shana.jpg的图片,里面有php代码。
然后就可以成功执行了,访问路径。
4、Pass-06
在06中过滤了.htaccess
①源代码
通过大小写来绕过。
5、缺少首尾去空
如果缺少首尾去空的话,加上空格就能过滤。
并且在windows中,会自动把空格去除,所以在上传到对方服务器后,操作系统自动把我们上传的文件转化成PHP了。
6、Pass-08
①源代码
少了删除文件末位的点的代码。
绕过 的话直接在数据包里后缀加个点,并且在上传到服务器后,操作系统会自动去除点。
7、Pass-09
①源代码
少了
②::$DATA学习
在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名,且保持::$DATA之前的文件名,他的目的就是不检查后缀名
例如:"phpinfo.php::$DATA"Windows会自动去掉末尾的::$DATA变成"phpinfo.php"
8、单次过滤和循环过滤
例如代码将字符串里的php替换为空
①单次过滤
将a.php------------>a.
绕过:a.pphphp----------->匹配第一个php---------------->过滤后卫a.php
test11.php. . ---------->去除空格test111.php..------------->去除末位的点---------------->test11.php.---------->操作系统默认test11.php
②循环过滤
比一次过滤安全,最终过滤完成之后还是a. 。
9、Pass-12 白名单 GET
①源代码
②绕过方式%00(地址)截断,0x00(文件命名)截断
#00 后面的文件名是随机的
../upload/1.php%0011121221312.jpg
#%00的作用就相当于是截断,所以最终保存的就是1.php
10、Pass-13 白名单 POST
①源代码
②绕过方式
但是这样还是不行,我们要把%00进行url编码。
或者直接改hex十六进制的值为00
GET请求中,编码会自动转,会自动解码,能识别%20为空格。而POST当中不会自动解码。