upload-labs
項目地址：https://github.com/c0ny1/upload-labs
靶機包含漏洞類型分類
如何判斷上傳漏洞類型?
文件上傳漏洞測試流程
- 對文件上傳的地方按照要求上傳文件，查看返回結果（路徑，提示等）
- 嘗試上傳不同類型的“惡意文件”，比如xx.php文件，分析結果
- 查看html源碼，看是否通過js在前端做了上傳限制，可以繞過
- 嘗試使用不同方式進行繞過：黑名單繞過/MIME類型繞過/目錄0x00截斷繞過等
- 猜測或者結合其他漏洞（比如敏感信息泄露等）得到木馬路徑，連接測試
Pass 1-JS腳本
上傳腳本，提示文件類型不對，可能是前端js腳本檢驗文件
查看源代碼，限制上傳文件后綴名
方法一
可以通過burpsuite阻斷抓包修改文件后綴名
將腳本修改為png，阻斷抓包修改文件后綴名，轉發給服務器
驗證上傳腳本
方法二
通過火狐中插件Script Blocker Ultimate，阻止js腳本運行
選擇腳本進行上傳
驗證上傳腳本
Pass 2-Content-Type
上傳腳本，文件類型不正確，可能是前端js腳本檢驗文件
查看源代碼，檢驗上傳文件媒體類型，
方法一（步驟同上）
先將腳本后綴名修改為png，通過burpsuite阻斷抓包修改文件后綴名
方法二
通過burpsuite阻斷抓包修改文件媒體類型
選擇腳本進行上傳，阻斷抓包將Content-Type:修改為image/png，轉發給服務器
驗證上傳腳本
Pass 3-黑名單
上傳腳本，不允許上傳.asp,.aspx,.php,.jsp后綴文件！，可能是前端js腳本設置黑名單
查看源代碼，分析源代碼
設置文件后綴名黑名單，先刪除文件末尾的點，在將文件后綴分離
將文件后綴名轉成小寫（不能進行后綴名大小寫繞過黑名單）
去除字符串::$DATA(不能通過后綴名::$DATA繞過黑名單)----(這個繞過方法只適用於windows系統，在window的時候如果文件名+"::$DATA會把::$DATA之后的數據當成文件流處理,不會檢測后綴名，且保持::$DATA之前的文件名，他的目的就是不檢查后綴名)
最后將過濾的后綴名對照黑名單進行判斷
末尾去空格（不能通過末尾加空格繞過黑名單）
修改上傳文件名，進行存儲
方法一
通過使用黑名單之外的可以被解析的后綴名，進行繞過
用黑名單不允許上傳.asp,.aspx,.php,.jsp后綴的文件
但可以上傳.phtml .phps .php5 .pht
前提是apache的httpd.conf中有如下配置代碼，並重啟apache服務
AddType application/x-httpd-php .php .phtml .php2 .php3 .php4 .php5 .phpt
方法二
::$D::$DATAATA
網站的js腳本只進行一遍過濾，通過::$DATA嵌套的方式，繞過上傳檢驗
可以通過burpsuite阻斷抓包修改文件名+::$D::$DATAATA
js腳本::$DATA將替換成空格，但是只是替換一次，::$DATA繞過黑名單依然有效
驗證上傳腳本時，將鏈接中::$DATA去掉
Pass 4-.htaccess
上傳腳本，此文件不允許上傳!
查看源代碼，檢驗腳本除黑名單增加后綴名，代碼幾乎一致
方法一
還是存在着黑名單過濾，所以需要找到黑名單之外的一個文件后綴
找到的就是.htaccess文件，可以重寫規則
htaccess文件：是Apache服務器中的一個配置文件，它負責相關目錄下的網頁配置。通過htaccess文件，可以幫我們實現：網頁301重定向、自定義404錯誤頁面、改變文件擴展名、允許/阻止特定的用戶或者目錄的訪問、禁止目錄列表、配置默認文檔等功能。
.htaccess文件生效，
需要兩個條件
一、在Apache的配置文件中寫上：AllowOverride All
二、Apache要加載mod_Rewrite模塊
原理：他沒有過濾 .htaccess后綴，我們可以構建一個htaccess配置文件，讓所有格式文件都解析為php，然后再上傳圖片馬（只要后綴是允許的，隨便都可以）就會被解析了。
上傳.htaccess文件
上傳圖片木馬
驗證上傳腳本
Pass 5（適用於php-nts版本）.user.ini
上傳腳本，此文件類型不允許上傳！
查看源代碼，檢驗腳本除黑名單增加后綴名，代碼幾乎一致
方法一
上傳.user.ini配置文件，在當前目錄下生效，將1.gif包含到文件夾中php文件中
將腳本修改為1.gif，進行上傳
打開文件夾中readme.php，驗證上傳腳本
Pass 6-大小寫繞過
上傳腳本，此文件類型不允許上傳！
查看源代碼，沒有進行后綴名的大小寫繞過
方法一
將腳本后綴名修改為.Php，進行繞過，轉發給服務器
驗證上傳腳本
Pass 7-空格繞過
上傳腳本，此文件類型不允許上傳！
查看源代碼，沒有對首尾的空格進行限制
方法一
方法二
網站的js腳本沒有對首尾的空格進行限制
可以通過burpsuite阻斷抓包將文件修改文件名+空格，繞過黑名單
選擇腳本進行上傳，進行抓包，修改
驗證上傳腳本
Pass 8-點號繞過
查看源代碼，沒有去除末尾的點
方法一
網站的js腳本沒有對末尾的點進行限制
可以通過burpsuite阻斷抓包將文件修改文件名+.，繞過黑名單
選擇腳本進行上傳，進行抓包，修改
驗證上傳腳本
Pass 9-::$DATA
查看源代碼
方法一
沒有對::$DATA進行限制，同PASS 3 方法一，但是不用進行嵌套
Pass 10-.點空格點繞過
查看源代碼
方法一
刪除末尾的點，以點切割后綴名，去空格，去::$DATA，最后用的刪除末尾的點的文件名
原理同Pass 7 方法二，將文件名修改為文件名. .，即可繞過
Pass 11-（黑名單驗證，雙寫繞過）
查看源代碼
方法一
將符合的字符串，替換為空，可以通過后綴名嵌套，繞過
例如：555.pphphp
Pass 12-GET-%00
查看源代碼，設置白名單
漏洞利用條件
截斷條件：php版本小於5.3.4，php的magic_quotes_gpc為OFF狀態
1、php版本小於5.3.4
2、php的magic_quotes_gpc為OFF狀態
白名單判斷，但$img_path是直接拼接，因此可以利用%00截斷繞過。
Pass 13-POST-%00
查看源代碼
與Pass-12的區別是這里使用POST傳地址
為何POST型需要進行URL編碼：
這是因為 %00 截斷在 GET 中被 url 解碼之后是空字符。
但是在 POST 中 %00 不會被 url 解碼，
所以只能通過 burpsuite 修改 hex 值為 00 （URL decode）進行截斷。
Pass 14-圖片馬繞過
查看源代碼，只檢查前兩個字節，判斷是否圖片，並將判斷的圖片類型作為文件
方法一
偽造頭部GIF89A
在腳本第一行寫上GIF89a，將腳本偽造gif文件
方法二
將圖片和腳本合成新的圖片
Cmd: copy /b 6png + 111.php ccc.png
方法三
使用010Editor軟件在圖片中寫入腳本
結合文件包含漏洞，進行利用
http://localhost/upload-labs-master/include.php?file=./upload/3120210813181355.jpg
Pass 15-圖片馬繞過
方法同Pass 14
Pass 16-圖片馬繞過
方法同Pass 14
注：適用於php-nts版本，需要勾選php擴展php_exif
Pass 17-圖片馬加二次渲染
二次渲染后的圖片，使用用戶上傳圖片生成的新圖片，上傳圖片，和原圖片對照，將腳本插在未被渲染的位置
Gif
Pass 18-白名單驗證-條件競爭
查看源碼
方法一
直接上傳圖片馬
方法二
當我們上傳webshell后，沒有第一時間做文件后綴名的校驗，而是臨時存放，移動到新位置后，再做文件名檢驗。
這時系統代碼執行過程會有時間消耗，我們利用這個極短的時間，利用Burp進行發包和范文，就有可能訪問到沒來得及做文件校驗的webshell
1.php 執行php在創建一個php文件
');?>
使用burp suite分別抓取上傳文件和打開上傳文件地址的數據包，傳到Intruder模塊，設置數據包無限重發
上傳文件數據包
手工打開瀏覽器快速點擊URL訪問1.php，抓取數據包
http://localhost/upload-labs-master/upload/1.php 上傳文件地址
將兩個數據包進行無限重發
訪問http://localhost/upload-labs-master/upload/shell.php
Pass 19-白名單驗證-圖片馬
驗證過程：依次檢查文件是否存在、文件名是否可寫、檢查后綴（白名單）、檢查文件大小、檢查臨時文件存在、保存到臨時目錄里、然后再重命名
方法一
直接上傳圖片馬
Pass 20-代碼審計-黑名單驗證-點號繞過
查看源碼
pathinfo($file_name,PATHINFO_EXTENSION)
獲取獲取上傳文件后綴名
pathinfo(string $path [,int $options = PATHINFO_DIRNAME | PATHINFO_BASENAME | PATHINFO_EXTENSION | PATHINFO_FILENAME])
/*
返回一個關聯數組包含有path的信息。返回關聯數組還是字符串取決於options
PATHINFO_DIRNAME：文件所在目錄
PATHINFO_BASENAME：文件+后綴名
PATHINFO_EXTENSION：后綴名
PATHINFO_FILENAME：文件名
方法一（ . 繞過）
使用 . 進行繞過文件后綴名檢查
http://localhost/upload-labs-master/upload/111.Php.
方法二（post的%00截斷）
截斷條件：php版本小於5.3.4，php的magic_quotes_gpc為OFF狀態
方法三（適用於php-nts版本）
上傳.user.ini配置文件，將1.gif包含到php文件中
Pass 21-代碼審計-白名單驗證-數組繞過
查看源碼
驗證過程：先檢查MIME，通過后檢查文件名，保存名稱為空的就用上傳的文件名。再判斷文件名是否是array數組，不是的話就用explode()函數通過.號分割成數組。然后獲取最后一個，也就是后綴名，進行白名單驗證。不符合就報錯，符合就拼接數組的第一個和最后一個作為文件名，保存。
繞過過程：繞過MIMIE，改一下包的Content-Type，為了繞過explode()函數，需要傳入數組，繞過白名單，由於取的是end()也就是數組最后一個，需要傳入數組的最后一個為jpg|png|gif，最后是拼接文件名，取的是reset()第一個，即索引為0，和索引count()-1（數組內元素個數-1）。所以令索引0為1.php，索引2為jpg（只要是索引1之后都可），這樣數組元素個數為2，拼接的就是索引0和索引1，也就是1.php和空，結果還是1.php，這樣就可以使得拼接后的文件名為1.php。如下：
總結防御
1、黑白名單；
2、對上傳的文件重命名，不易被猜測；
3、對上傳的內容進行讀取檢查；
4、不要暴露上傳文件的位置；
5、禁用上傳文件的執行權限；