关于文件上传漏洞,想必玩web安全的同学们都有接触,之前本站也发布过一篇文章介绍文件上传漏洞的各种绕过方法,但是只是有文档却没有演示代码,最近给公司一客户培训,就照文档中的绕过写出了相应的代码,方便我等小菜研究,此次的文章我会连续发几天都是关于如何绕过的,全都是科普文,很简单的,希望小伙伴们喜欢。
关于文件上传漏洞的文章
绕过文件上传验证
为什么文件上传表单是主要的安全威胁
js验证绕过演示代码
10 |
$uploaddir = 'uploads/' ; |
11 |
if (isset( $_POST [ 'submit' ])) { |
12 |
if ( file_exists ( $uploaddir )) { |
13 |
if (move_uploaded_file( $_FILES [ 'upfile' ][ 'tmp_name' ], $uploaddir . '/' . $_FILES [ 'upfile' ][ 'name' ])) { |
14 |
echo '文件上传成功,保存于:' . $uploaddir . $_FILES [ 'upfile' ][ 'name' ] . "\n" ; |
17 |
exit ( $uploaddir . '文件夹不存在,请手工创建!' ); |
22 |
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" |
26 |
<meta http-equiv= "Content-Type" content= "text/html;charset=gbk" /> |
27 |
<meta http-equiv= "content-language" content= "zh-CN" /> |
28 |
<title>文件上传漏洞演示脚本--JS验证实例</title> |
29 |
<script type= "text/javascript" > |
30 |
function checkFile() { |
31 |
var file = document.getElementsByName( 'upfile' )[0].value; |
32 |
if (file == null || file == "" ) { |
33 |
alert( "你还没有选择任何文件,不能上传!" ); |
37 |
var allow_ext = ".jpg|.jpeg|.png|.gif|.bmp|" ; |
39 |
var ext_name = file.substring(file.lastIndexOf( "." )); |
43 |
if (allow_ext.indexOf(ext_name + "|" ) == -1) { |
44 |
var errMsg = "该文件不允许上传,请上传" + allow_ext + "类型的文件,当前文件类型为:" + ext_name; |
51 |
<h3>文件上传漏洞演示脚本--JS验证实例</h3> |
53 |
<form action= "" method= "post" enctype= "multipart/form-data" name= "upload" onsubmit= "return checkFile()" > |
54 |
<input type= "hidden" name= "MAX_FILE_SIZE" value= "204800" /> |
55 |
请选择要上传的文件:<input type= "file" name= "upfile" /> |
56 |
<input type= "submit" name= "submit" value= "上传" /> |
js验证绕过方法
JS验证是最好绕过,好像有句话是基于客户端的验证都是不安全的,这里我们有多种绕过方法。
如何判断文件上传是基于客户端JS验证?
方法也比较多,比如直接查看网站源文件、使用抓包工具查看客户端是否向服务器提交了数据包,如果没有则是js验证、随便上传一个文件,看返回结果。
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/20140126080116983.png)
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/20140126080118599.png)
如上图所示,JS验证的会在你提交了上传文件以后,直接弹出一个提示,并终止文件向服务器提交。绕过方法如下:
A、我们直接删除代码中onsubmit事件中关于文件上传时验证上传文件的相关代码即可。
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/20140126081120375.png)
B、直接更改文件上传JS代码中允许上传的文件扩展名你想要上传的文件扩展名。
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/20140126081429417.png)
C、使用本地提交表单即可,如下图,作相应的更改。
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/2014012608175840.png)
D、使用burpsuite或者是fiddle等代理工具提交,本地文件先更改为jpg,上传时拦截,再把文件扩展名更改为asp即可。
![文件上传漏洞演示脚本](http://www.waitalone.cn/wp-content/uploads/2014/01/20140126082301363.png)
以上4种方法,大家可以自由使用,都可以绕过本地JS验证。