upload靶场通关(12-21关)

news/2024/11/16 8:40:12/

Pass-12（白名单校验（GET 型 0x00 截断））

先看提示：

一头雾水，只知道了上传路径是可控的

查看源码：

能看懂就看看，反正我是看了同学的笔记得知这是白名单，按照文件名进行处理，并将上传的文件保存到save_path
注：本关需要将phpStudy版本调为5.2.17，关闭magic_quotes_gpc选项。

操作如下：

其他选项菜单->php扩展及设置->参数开关设置->把magic_quotes_gpc关闭。

接下来就可以做题了

将1.php(里面是phpinfo函数)上传并抓包

1.url显示参数    2.显示文件名 

修改save_path后的值，表明路径可控，下方将1.php改为1.png用于验证文件类型

本关首先提取了文件后缀名，只允许上传图片文件，但上传路径是可控的，所以我们可以使用%00截断漏洞将上传路径改为文件名。当使用了截断漏洞时，传入的文件名为2.php%001.png，检测时发现后缀为.png，所以没有过滤；保存时由于使用了%00截断，%00后面的字符串不生效，所以最后保存的文件名是2.php

然后send，发现上传成功！

 到源文件中查看，发现2.php已经上传成功！

访问该2.php

 访问成功！

Pass-13（POST 型 0x00 截断）

查看提示还是说路径可控

额。。。。还是查看源码吧：

分析：本关卡考察基于POST方法的截断上传攻击。POST方法较为特殊，直接在明文中添加%00不会被服务器解码，我们需要修改HTTP包中上传路径对应的十六进制值（改为00）进行截断攻击，其原理与Pass-12相同。

还是将1.php(里面是phpinfo函数)上传并抓包

再发现文件保存路径不再是出现在url中，而是把保存路径和文件名称都写在了Content-Disposition

我们现在需要一个十六进制的截断字符，要写一个+占一下位

将1.php改为1.png同样用于验证文件类型

然后点击Hex，+在里面的编码是2b，将其改为00

点击send，上传成功！

到源文件中查看，果然多了一个3.php文件

访问3.php

访问成功！

Pass-14（文件内容检测（文件头校验））

看提示

介又是神马玩意？

看源码看源码：

分析：通过读文件的前 2 个字节，检测上传文件二进制的头信息，判断文件类型

我们就可以利用图片马绕过检测。

本关phpStudy版本>5.3，在php.ini中开启allow_url_fopen选项（改版本前面有，以下是第二步配置的操作）

其他选项菜单->打开配置文件->phg.ini->用记事本打开->找到allow_url_fopen，将其=On

那么图片马怎么制作呢？

事先准备好一个php文件（里面还是写phpinfo，一句话木马也可以）和一张jpg图片

我这里是1.php和2.jpg，且都在桌面创建的 

win+r输入cmd打开命令提示符窗口，cd Desktop进入桌面

再输入copy /b 2.jpg + 1.php 666.jpg

桌面已经自动生成图片马666.jpg

 回到题目，上传该图片马，回显界面如下

查看源文件多了这么一张png图片

访问4720230605162733.png后发现就是我们上传的那张图片。。。

Pass-15（getimagesize()绕过）

查看源码发现本关使用getimagesize()检查是否为图片文件！

而getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。  

语法：array getimagesize( string filename )例子：<?php
$array = getimagesize("images/flower_1.jpg");
print_r($array);
?>浏览器显示如下：Array
([0] => 350[1] => 318[2] => 2[3] => width="350" height="318"[bits] => 8[channels] => 3[mime] => image/jpeg
)返回结果说明
索引 0 给出的是图像宽度的像素值
索引 1 给出的是图像高度的像素值
索引 2 给出的是图像的类型，返回的是数字，其中1 = GIF，2 = JPG，3 = PNG，4 = SWF，5 = 
PSD，6 = BMP，7 = TIFF(intel byte order)，8 = TIFF(motorola byte order)，9 = JPC，10 = JP2，11 = JPX，12 = JB2，13 = SWC，14 = IFF，15 = WBMP，16 = XBM索引 3 给出的是一个宽度和高度的字符串，可以直接用于 HTML 的 <image> 标签
十六关文件内容检测 （exif_imagetype()绕过） 关于这个exif_imagetype()函数索引 bits 给出的是图像的每种颜色的位数，二进制格式
索引 channels 给出的是图像的通道值，RGB 图像默认是 3索引 mime 给出的是图像的 MIME 信息，此信息可以用来在 HTTP Content-type 头信息中发送正确的信
息，如：header("Content-type: image/jpeg");

本关也是需要在解题前将phpStudy版本>5.3，在php.ini中开启allow_url_fopen选项

剩下的解题就和14关一样了，参考Pass-14利用图片马进行绕过

Pass-16（exif_imagetype()绕过）

查看源码： 

先解释下exif_imagetype()函数：

本关也是phpStudy版本>5.3。
在php.ini中开启allow_url_fopen选项。
开启php_exif模块。

其他选项菜单->打开配置文件->php-ini->找到php_exif并开启

接下来的解题就同14、15关一样了，即利用图片马进行绕过

Pass-17（文件内容检测（二次渲染））

首先：

phpStudy版本>5.3。
在php.ini中开启allow_url_fopen选项。
开启php_exif模块。

查看源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){// 获得上传文件的基本信息，文件名，类型，大小，临时文件路径$filename = $_FILES['upload_file']['name'];$filetype = $_FILES['upload_file']['type'];$tmpname = $_FILES['upload_file']['tmp_name'];$target_path=UPLOAD_PATH.'/'.basename($filename);// 获得上传文件的扩展名$fileext= substr(strrchr($filename,"."),1);//判断文件后缀与类型，合法才进行上传操作if(($fileext == "jpg") && ($filetype=="image/jpeg")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefromjpeg($target_path);if($im == false){$msg = "该文件不是jpg格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".jpg";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagejpeg($im,$img_path);@unlink($target_path);$is_upload = true;}} else {$msg = "上传出错！";}}else if(($fileext == "png") && ($filetype=="image/png")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefrompng($target_path);if($im == false){$msg = "该文件不是png格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".png";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagepng($im,$img_path);@unlink($target_path);$is_upload = true;               }} else {$msg = "上传出错！";}}else if(($fileext == "gif") && ($filetype=="image/gif")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefromgif($target_path);if($im == false){$msg = "该文件不是gif格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".gif";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagegif($im,$img_path);@unlink($target_path);$is_upload = true;}} else {$msg = "上传出错！";}}else{$msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";}
}

分析：综合判断了后缀名、content-type，以及利用 imagecreatefromgif

判断是否为 jpg/png/gif 图片，并在最后对文件内容进行了二次渲染，修改文件内容

绕过方法：GIF图片绕过

（1）正常上传图片木马。（使用copy命令,之间的题目有） 

（2）下载被渲染后的图片。

（3）使用010editor进行比对。左边为16进制，找到二次渲染后不变的地方，在这个地方插入一句话木马，然后再上传！

Pass-18（逻辑漏洞（条件竞争））

查看源码：

$is_upload = false;
$msg = null;if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_name = $_FILES['upload_file']['name'];$temp_file = $_FILES['upload_file']['tmp_name'];$file_ext = substr($file_name,strrpos($file_name,".")+1);$upload_file = UPLOAD_PATH . '/' . $file_name;if(move_uploaded_file($temp_file, $upload_file)){if(in_array($file_ext,$ext_arr)){$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;rename($upload_file, $img_path);$is_upload = true;}else{$msg = "只允许上传.jpg|.png|.gif类型文件！";unlink($upload_file);}}else{$msg = '上传出错！';}
}

分析：本关先创建了一个只包含图片文件的白名单，随后提取出文件的后缀名，将文件移动至上传目录后再判断是否合法，不合法就删除。我们可以使用条件竞争方法（即在文件被删除之前访问该文件）绕过。此方法需要不停且迅速地上传、访问文件。

上传的1.php文件 

 上传并用bp抓包，发现可以修改文件内容

 send to Intruder，并清除$

设置Payload type为Null payloads，Payload Options设置为Continue indefinitely

线程可以调大一点，比如我们设置为20

随后点击Start attack，不断上传该文件

然后我们转到后台，不断访问该文件1.php

 报错了就点击刷新（需要手速），知道成功为止！

Pass-19（逻辑漏洞（条件竞争-图片马））

本关必须在php.ini中开启allow_url_include选项！

查看源码：

//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{require_once("./myupload.php");$imgFileName =time();$u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);$status_code = $u->upload(UPLOAD_PATH);switch ($status_code) {case 1:$is_upload = true;$img_path = $u->cls_upload_dir . $u->cls_file_rename_to;break;case 2:$msg = '文件已经被上传，但没有重命名。';break; case -1:$msg = '这个文件不能上传到服务器的临时文件存储目录。';break; case -2:$msg = '上传失败，上传目录不可写。';break; case -3:$msg = '上传失败，无法上传该类型文件。';break; case -4:$msg = '上传失败，上传的文件过大。';break; case -5:$msg = '上传失败，服务器已经存在相同名称文件。';break; case -6:$msg = '文件无法上传，文件不能复制到目标目录。';break;      default:$msg = '未知错误！';break;}
}//myupload.php
class MyUpload{
......
......
...... var $cls_arr_ext_accepted = array(".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",".html", ".xml", ".tiff", ".jpeg", ".png" );......
......
......  /** upload()**** Method to upload the file.** This is the only method to call outside the class.** @para String name of directory we upload to** @returns void**/function upload( $dir ){$ret = $this->isUploadedFile();if( $ret != 1 ){return $this->resultUpload( $ret );}$ret = $this->setDir( $dir );if( $ret != 1 ){return $this->resultUpload( $ret );}$ret = $this->checkExtension();if( $ret != 1 ){return $this->resultUpload( $ret );}$ret = $this->checkSize();if( $ret != 1 ){return $this->resultUpload( $ret );    }// if flag to check if the file exists is set to 1if( $this->cls_file_exists == 1 ){$ret = $this->checkFileExists();if( $ret != 1 ){return $this->resultUpload( $ret );    }}// if we are here, we are ready to move the file to destination$ret = $this->move();if( $ret != 1 ){return $this->resultUpload( $ret );    }// check if we need to rename the fileif( $this->cls_rename_file == 1 ){$ret = $this->renameFile();if( $ret != 1 ){return $this->resultUpload( $ret );    }}// if we are here, everything worked as planned :)return $this->resultUpload( "SUCCESS" );}
......
......
...... 
};

分析：本关做了白名单校验，文件上传后先保存在对象中，随后对文件进行判断存在、检查扩展名、检查大小、重命名、移动操作，没有判断文件头和二次渲染。我们可以使用图片木马配合文件包含漏洞进行绕过。（虽然进行了移动和重命名，但是网页会回显地址）

解法：本关解法与18关唯一区别在于本关上传的是图片马，不断利用 burp 发送上传图片马的数据包，由于条件竞争，程序会出现来不及rename 的问题，从而上传成功！（再直白的说，解题步骤就是将18关上传的1.php改为图片马，剩下的就利用burpkuku上传，kuku访问直到成功就行了）

Pass-20（逻辑漏洞（小数点绕过））

查看源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");$file_name = $_POST['save_name'];$file_ext = pathinfo($file_name,PATHINFO_EXTENSION);if(!in_array($file_ext,$deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' .$file_name;if (move_uploaded_file($temp_file, $img_path)) { $is_upload = true;}else{$msg = '上传出错！';}}else{$msg = '禁止保存为该类型文件！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

分析：因为文件名可控，这题利用move_uploaded_file的一个特性，会自动忽略后面的/.

我们上传1.php，将文件保存改为upload-19.php/.

发现可以上传成功

访问upload-19.php/.

也能访问成功!

Pass-21（逻辑漏洞（数组绕过））

查看源码：

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){//检查MIME$allow_type = array('image/jpeg','image/png','image/gif');if(!in_array($_FILES['upload_file']['type'],$allow_type)){$msg = "禁止上传该类型文件!";}else{//检查文件名$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];if (!is_array($file)) {$file = explode('.', strtolower($file));}$ext = end($file);$allow_suffix = array('jpg','png','gif');if (!in_array($ext, $allow_suffix)) {$msg = "禁止上传该后缀文件!";}else{$file_name = reset($file) . '.' . $file[count($file) - 1];$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' .$file_name;if (move_uploaded_file($temp_file, $img_path)) {$msg = "文件上传成功！";$is_upload = true;} else {$msg = "文件上传失败！";}}}
}else{$msg = "请选择要上传的文件！";
}

分析：大致逻辑为

1.检查上传路径是否存在，检查content_type是否合法
 
2.判断post方法传递的$file是否为空
 
3.判断$file不是数组，则用explode将%$file在.处分割成数组
 
4.判断最后的一个数组是否在白名单中
 
5.将数组中的第一个数组和最后一个数组连接起来

补充知识：

explode(separator,string[,limit]) 函数，把字符串打散成数组。

end(array)函数，输出数组中的当前元素和最后一个元素的值。

reset(array)函数，把数组的内部指针指向第一个元素，并返回这个元素的值。

count(array)函数，计算数组中的单元数目，或对象中的属性个数。

绕过方法：
 
1、上传1.php并抓包，将1.php修改为1.jpg（验证文件类型）。修改content_type为image/jpeg（构造为白名单中的值）
 
2、修改post的参数为数组类型，save_name[0]为"upload-20.php"，save_name[1]不设置， save_name[2]为png或jpg或gif（因为前面改为了1.jpg，这里以jpg为例）
   
因为上面的代码会先判断最后一个数组元素是否在白名单中，我们索引[2]为png或jpg或gif
 
正好可以绕过，而后面会将数组第一位和$file[count($file) - 1]进行拼接
 
因为我们的save_name[1]为空,即$file[1]为空，所以拼接后文件名就会变成upload-20.php

然后send，上传成功

到源文件中再看一下，有了有了

最后一步，访问upload-20.php

成功访问！

至此，upload靶场全部解完！hahahahahaha!


http://www.ppmy.cn/news/230550.html

相关文章

类与对象知识总结+构造函数和析构函数 C++程序设计与算法笔记总结（二） 北京大学 郭炜

类与对象知识总结+构造函数和析构函数 C++程序设计与算法笔记总结（二） 北京大学 郭炜

类和对象 结构化程序设计 C语言使用结构化程序设计&#xff1a; 程序 数据结构 算法 程序由全局变量以及众多相互调用的函数组成。 算法以函数的形式实现&#xff0c;用于对数据结构进行操作。 结构化程序设计的不足&#xff1a; 结构化程序设计中&#xff0c;函数和其所…
阅读更多...
路径规划算法：基于热交换优化的路径规划算法- 附代码

路径规划算法：基于热交换优化的路径规划算法- 附代码

路径规划算法&#xff1a;基于热交换优化的路径规划算法- 附代码 文章目录 路径规划算法&#xff1a;基于热交换优化的路径规划算法- 附代码1.算法原理1.1 环境设定1.2 约束条件1.3 适应度函数 2.算法结果3.MATLAB代码4.参考文献 摘要&#xff1a;本文主要介绍利用智能优化算法…
阅读更多...
驱动开发--根文件系统

驱动开发--根文件系统

1、单片机开发属于嵌入式开发吗&#xff1f; 广义&#xff1a;单片机开发属于嵌入式开发---&#xff08;嵌入式微处理器开发&#xff09; 一般不带mmu&#xff08;地址映射&#xff09; 狭义&#xff1a;单片机开发不属于嵌入式 ---&#xff08;Linux嵌入式开发&#xff09;一…
阅读更多...
Tomcat的部署(贼详细)

Tomcat的部署(贼详细)

目录 一、Tomcat服务器简介 1、Tomcat服务器 2、Tomcat三大核心组件 3、 Java Servlet 4、JSP全称Java Server Pages 5、 Tomcat 功能组件结构 6、 Container 结构分析 7、Tomcat 请求过程 二&#xff1a;Tomcat部署与安装 1.关闭防火墙&#xff0c;上传所需软件包 2.安…
阅读更多...
JAVA练习小游戏——贪吃蛇小游戏 PLUS版

JAVA练习小游戏——贪吃蛇小游戏 PLUS版

目录 基础版本 新增内容 1.添加START开始界面 2.新增背景音乐 3.添加SCORE计分 4.新增游戏机制 代码实现 实机演示 基础版本 JAVA练习小游戏——贪吃蛇小游戏_timberman666的博客-CSDN博客https://blog.csdn.net/timberman666/article/details/131046742?spm1001.201…
阅读更多...
libVLC 抓取视频帧并渲染（OpenGL）

libVLC 抓取视频帧并渲染（OpenGL）

作者： 一去、二三里 个人微信号： iwaleon 微信公众号： 高效程序员 在前面，我们写了几篇文章《libVLC 抓取视频帧并渲染（QWidget）》和《libVLC 抓取视频帧并渲染（QGraphicsView）》，分别介绍了QWidget 和 QGraphicsView 对视频帧的渲染，除了这些方式之外，还有一种最常…
阅读更多...
国产手机为何败给了苹果？因为它们已没有性价比优势

国产手机为何败给了苹果？因为它们已没有性价比优势

去年的iPhone13上市以来热销到春节&#xff0c;近期虽然销量有所下滑&#xff0c;但是在电商平台依然碾压众多国产手机&#xff0c;如今iPhone13进一步降价之后性价比优势凸显&#xff0c;国产手机要与iPhone竞争至少降价三分之一至一半才具有与iPhone相当的性价比。 一、国产手…
阅读更多...
《最高人民法院 最高人民检察院 公安部关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》

《最高人民法院 最高人民检察院 公安部关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》

最高人民法院 最高人民检察院 公安部关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见 发布时间&#xff1a;2022年8月30日 为依法惩治信息网络犯罪活动&#xff0c;根据《中华人民共和国刑法》《中华人民共和国刑事诉讼法》以及有关法律、司法解释的规定&#xff0c…
阅读更多...
最新文章

Copyright @ 2022~2023