upload-labs1-14通关简记

缺乏、安全感 2023-10-04 21:57 4阅读 0赞

## pass-01 js校验 ##

描述：只在前端设置js进行后缀限制，后端无验证

方法:因为js作用于浏览器，所以可以在浏览器禁用js |还可以利用bp抓包，先上传白名单文件，在bp中改为php后缀名即可。

## pass-02 在服务端对数据包的MIME进行检查！ ##

描述：检测 content-type 字段导致的漏洞

设置白名单，只允许上传类型为

image/jpeg ：jpg 图片格式

image/png ：png 图片格式

image/gif ：gif 图片格式

方法：将Content-Type内容改为以上任一种

![0a5a85c1277cd440cd74034b4dcd5469.png][]

## pass-03 文件名后缀验证（黑名单绕过） ##

描述：本关设置了黑名单项，禁止以下文件格式上传

![6ef9cc18e7284c87fe20288fff99448c.png][]

方法：通过利用黑名单外的格式上传，

将文件后缀改为 .php3 .php4 .php5 .phtml .phtm

## pass-04 文件名后缀校验 （配置文件解析） ##

描述：几乎限制了可利用的所有后缀

![d2556e390fb8c34ce6ecbea04c3ba88e.png][]

方法：没有限制.htaccess 文件

> htaccess 文件是 Apache 服务器中的一个配置文件，它负责相关目录下的网页配置。通过 htaccess 文件，可以实现：网页  
> 301 重定向、 自定义 404 错误页面、改变文件扩展名、允 许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能

利用解析功能，将上传的文件解析为php文件

<FilesMatch "1.jpg">//可以随意设置，将1.jpg文件解析为1.php
    SetHandler application/x-httpd-php
    </FilesMatch>

直接上传1.jpg并访问，会解析为php文件访问

## pass-05 文件名后缀校验 ##

描述：与上题类似但过滤了.htaccess

上传文件 .user.ini,内容为： auto\_prepend\_file=1.jpg

再上传一个php文件 命名为 1.jpg。

.user.ini 文件作用：所有的 php 文件都自动包含 1.jpg 文件。 .user.ini 相当于一个用 户自定义的 php.ini。

## pass-06 文件名后缀校验（大小写绕过） ##

描述：在校验后缀时，没有将大写统一转换小。利用linux大小写敏感

方法：可以将文件改为.PhP

## pass-07 文件名后缀校验（空格绕过） ##

描述：在校验后缀时，没有去除后缀前后空格。

方法：利用方法：burp 抓包，修改对应的文件名 添加空格。

![c06e92a88b3603f38fb3781e41fab723.png][]

## pass-08 文件名后缀校验（点号绕过） ##

描述：校验后缀时，没有去掉点号

方法：利用bp抓包，加入点号.

![a465a9b41b4ac266edad8b021692078c.png][]

## pass-09 (::$DATA绕过) ##

描述：在校验后缀时，对上传的文件后缀名没有去除::$DATA

> Windows 系统下，如果上传的文件名为 test.php::$DATA 会在服务器上生成一个 test.php  
> 的文件，其中内容和所上传文件内容相同，并被解析。

方法：在后缀名后加::$DATA 上传，访问原路径即可。

![7c18d6330801dfde56f325a40957548e.png][]

![562dd3f618feed934f5623b4b29e0b58.png][]

## pass-10（黑名单绕过） ##

描述：deldot函数在进行执行时，默认从后向前执行，遇到空格停止

方法：构建后缀名.php. . 使函数去除最后一个点和空格后，仍能执行并解析

![ca9b14cf2007d8b99cb0aed978cb01df.png][]

## pass-11 （黑名单，双写绕过） ##

描述：本关使用函数 $file\_name=str\_ireplace($deny\_ext,"",$file\_name);检索上传文件名是否包含黑名单文件，如果包含则替换为空。所以可以使用双写拼接字符

![96e69ad457846f0e84cb8af2603ee790.png][]

方法：利用拼接法，使去除后文件仍然为php

## pass-12 （get00截断） ##

描述：使用%00截断，但需要php版本<5.3.4，并且magic\_quotes\_gpc关闭。找到php.ini文件

![fa9f321f5e8e827a93df8c6b888a231f.png][]

![d93021d9c0818aa36723407806ed62a7.png][]

方法：将上传的文件改为.jpg ，在upload处输入上传文件名和%00

## pass-13 （post00截断） ##

描述：POST不会对里面的数据自动解码，需要在Hex中修改。

方法：依然改这两个地方

![c0623fe9d32adcc4af922e79cd2accc4.png][]

![68e87ee28df475484c5903e271fbffd7.png][]

找到修改处，改为00

![086f84f264f3f2e37628a0b189915dc4.png][]

即可上传成功

## pass-14 （上传图片马） ##

> 1.Png图片文件包括8字节：89 50 4E 47 0D 0A 1A 0A。即为 .PNG。  
> 2.Jpg图片文件包括2字节：FF D8。  
> 3.Gif图片文件包括6字节：47 49 46 38 39|37 61 。即为 GIF89(7)a。  
> 4.Bmp图片文件包括2字节：42 4D。即为 BM。

描述：这一关会读取判断上传文件的前两个字节，判断上传文件类型，并且后端会根据判断得到的文件类型重命名上传文件

方法：在图片后边加上phpinfo文件 制成图片马 访问路径加上include.php?file=upload

![c2bdd562cc311cd5e5c6414f3af08ba3.png][]

[0a5a85c1277cd440cd74034b4dcd5469.png]: https://img-blog.csdnimg.cn/img_convert/0a5a85c1277cd440cd74034b4dcd5469.png
[6ef9cc18e7284c87fe20288fff99448c.png]: https://img-blog.csdnimg.cn/img_convert/6ef9cc18e7284c87fe20288fff99448c.png
[d2556e390fb8c34ce6ecbea04c3ba88e.png]: https://img-blog.csdnimg.cn/img_convert/d2556e390fb8c34ce6ecbea04c3ba88e.png
[c06e92a88b3603f38fb3781e41fab723.png]: https://img-blog.csdnimg.cn/img_convert/c06e92a88b3603f38fb3781e41fab723.png
[a465a9b41b4ac266edad8b021692078c.png]: https://img-blog.csdnimg.cn/img_convert/a465a9b41b4ac266edad8b021692078c.png
[7c18d6330801dfde56f325a40957548e.png]: https://img-blog.csdnimg.cn/img_convert/7c18d6330801dfde56f325a40957548e.png
[562dd3f618feed934f5623b4b29e0b58.png]: https://img-blog.csdnimg.cn/img_convert/562dd3f618feed934f5623b4b29e0b58.png
[ca9b14cf2007d8b99cb0aed978cb01df.png]: https://img-blog.csdnimg.cn/img_convert/ca9b14cf2007d8b99cb0aed978cb01df.png
[96e69ad457846f0e84cb8af2603ee790.png]: https://img-blog.csdnimg.cn/img_convert/96e69ad457846f0e84cb8af2603ee790.png
[fa9f321f5e8e827a93df8c6b888a231f.png]: https://img-blog.csdnimg.cn/img_convert/fa9f321f5e8e827a93df8c6b888a231f.png
[d93021d9c0818aa36723407806ed62a7.png]: https://img-blog.csdnimg.cn/img_convert/d93021d9c0818aa36723407806ed62a7.png
[c0623fe9d32adcc4af922e79cd2accc4.png]: https://img-blog.csdnimg.cn/img_convert/c0623fe9d32adcc4af922e79cd2accc4.png
[68e87ee28df475484c5903e271fbffd7.png]: https://img-blog.csdnimg.cn/img_convert/68e87ee28df475484c5903e271fbffd7.png
[086f84f264f3f2e37628a0b189915dc4.png]: https://img-blog.csdnimg.cn/img_convert/086f84f264f3f2e37628a0b189915dc4.png
[c2bdd562cc311cd5e5c6414f3af08ba3.png]: https://img-blog.csdnimg.cn/img_convert/c2bdd562cc311cd5e5c6414f3af08ba3.png