PHP代码审计：文件上传漏洞

最新推荐文章于 2025-10-25 17:02:56 发布
转载 最新推荐文章于 2025-10-25 17:02:56 发布 · 665 阅读 · 0 ·
CC 4.0 BY-SA版权
原文链接：https://blog.youkuaiyun.com/God_XiangYu/article/details/97978174

本文深入探讨文件上传漏洞的原理及危害，通过实例演示如何利用PHP的move_uploaded_file()函数进行攻击，同时提供防御策略，包括限制文件类型、使用随机文件名和设置文件服务器域名。

当你的才华

还撑不起你的野心时

那你就应该静下心来学习

 

       代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅。

目录

文件上传漏洞

简介

实例

文件上传漏洞防御

文件上传漏洞

        文件上传漏洞是一个危害巨大的漏洞，通过上传WebShell更是将这种漏洞的危害无限扩大。攻击者在受影响系统放置或者插入WebShell后，可通过该WebShell更轻松，更隐蔽的在服务中为所欲为。

简介

       文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。 文件上传漏洞大多是没有限制上传的文件格式，导致可以直接上传危险文件，并且部分文件上传漏洞的利用技术门槛非常的低，对于攻击者来说很容易实施。

PHP文件上传相关函数： move_uploaded_file()

move_uploaded_file(file,newloc):

  •  move_uploaded_file() 函数将上传的文件移动到新位置, 若成功，则返回 true，否则返回 false

 参数   描述
file  必需。规定要移动的文件
newloc必需。规定文件的新位置。

实例

       未对上传文件格式进行限制，则可以上传危险文件

upload.php


 
  1. 
   
    
    
    
   
    
   
    
    
    
     <!DOCTYPE html>
    
    
   
  2. 
   
    
    
    
   
    
   
    
    
    
     <html>
    
    
   
  3. 
   
    
    
    
   
    
   
    
    
    
     <head>
    
    
   
  4. 
   
    
    
    
   
    
   
    
    
    
         <title>文件上传</title>
    
    
   
  5. 
   
    
    
    
   
    
   
    
    
    
     </head>
    
    
   
  6. 
   
    
    
    
   
    
   
    
    
    
     <meta charset=
     "utf-8">
    
    
   
  7. 
   
    
    
    
   
    
   
    
    
    
     <body>
    
    
   
  8. 
   
    
    
    
   
    
   
    
    
    
     <form action=
     "" enctype=
     "multipart/form-data" method=
     "POST" name=
     "uploadfile">
    
    
   
  9. 
   
    
    
    
   
    
   
    
    
    
         请上传图片: <input type=
     "file" name=
     "upfile" />
    
    
   
  10. 
   
    
    
    
   
    
   
    
    
    
         <input type=
     "submit" value=
     "上传" name=
     "submit">
    
    
   
  11. 
   
    
    
    
   
    
   
    
    
    
     </form>
    
    
   
  12. 
   
    
    
    
   
    
   
    
    
    
     <br />
    
    
   
  13. 
   
    
    
    
   
    
   
    
    
    
     </body>
    
    
   
  14. 
   
    
    
    
   
    
   
    
    
    
     </html>
    
    
   
  15. 
   
    
    
    
   
    
   
    
    
    
     <?php
    
    
   
  16. 
   
    
    
    
   
    
   
    
    
    
     if (
     isset($_POST[
     'submit'])) {
    
    
   
  17. 
   
    
    
    
   
    
   
    
    
    	
     echo 
     "文件名：".$_FILES[
     'upfile'][
     'name'].
     "<br />";
    
    
   
  18. 
   
    
    
    
   
    
   
    
    
    	
     if ($_FILES[
     'upfile'][
     'error'] == 
     0) {
    
    
   
  19. 
   
    
    
    
   
    
   
    
    
    
     		$dir = 
     "./upload/".$_FILES[
     'upfile'][
     'name'];
    
    
   
  20. 
   
    
    
    
   
    
   
    
    
    
     		move_uploaded_file($_FILES[
     'upfile'][
     'tmp_name'],$dir);
    
    
   
  21. 
   
    
    
    
   
    
   
    
    
    		
     echo 
     "文件保存路径：".$dir.
     "<br />";
    
    
   
  22. 
   
    
    
    
   
    
   
    
    
    		
     echo 
     "上传成功...<br />";
    
    
   
  23. 
   
    
    
    
   
    
   
    
    
    
     	}
    
    
   
  24. 
   
    
    
    
   
    
   
    
    
    
     }
    
    
   
  25. 
   
    
    
    
   
    
   
    
    
     
     ?>

主要关键代码：

可以看到未对用户上传的文件做任何校验。

注意:这里需要先给upload文件分配权限（命令：chmod 755 upload)

http://192.168.161.133/fileupload/upload.php

成功打开页面尝试上传其他文件。 新建文件phpinfo.php，并输入内容：


 
  1. 
   
    
    
    
   
    
   
    
    
    
     <?php
    
    
   
  2. 
   
    
    
    
   
    
   
    
    
    
         phpinfo();
    
    
   
  3. 
   
    
    
    
   
    
   
    
    
    
     ?>

上传phpinfo.php 文件

成功看到.php格式的文件被上传

根据页面返回的路径，尝试执行phpinfo.php: 输入url：192.168.161.133/fileupload/upload/phpinfo.php : 

成功执行了phpinfo.php文件中的代码，这就是一次常见的文件上传漏洞利用实例

 

文件上传漏洞防御

文件上传漏洞攻击要实现，一般来说需要满足以下条件：

  • 上传的文件能够被Web容器解释执行。

  • 用户能够从Web上访问这个文件。

  • 用户上传的文件若被安全检查、格式化、图片压缩等功能改变了内容，则也可能导致攻击不成功。

防御文件上传漏洞,可以从以下几点入手：

  • 1、文件上传的目录设置为不可执行 
      只要web容器无法解析该目录下面的文件，即使攻击者上传了脚本文件，服务器本身也不会受到影响，因此这一点至关重要
  • 2、判断文件类型 
    
   
    1. 
     
      
      
      
     
      
     
      
      
      
         在判断文件类型时，可以结合使用MIMEType、后缀检查等方式
      
      
     
    2. 
     
      
      
      
     
      
     
      
      
      
         在文件类型检查中，强烈推荐白名单方式，黑名单的方式已经无数次被证明是不可靠的
      
      
     
    3. 
     
      
      
      
     
      
     
      
      
      
         此外，对于图片的处理，可以使用压缩函数或者resize函数，在处理图片的同时破坏图片中可能包含的HTML代码
  • 3、使用随机数改写文件名和文件路径 
    
   
    1. 
     
      
      
      
     
      
     
      
      
      
         文件上传如果要执行代码，则需要用户能够访问到这个文件
      
      
     
    2. 
     
      
      
      
     
      
     
      
      
      
         在某些环境中，用户能上传，但不能访问
      
      
     
    3. 
     
      
      
      
     
      
     
      
      
      
         如果应用了随机数改写了文件名和路径，将极大地增加攻击的成本
      
      
     
    4. 
     
      
      
      
     
      
     
      
      
      
         再来就是像
       shell
       .php
       .rar
       .rar和
       crossdomain
       .xml这种文件，都将因为重命名而无法攻击。
  • 4、单独设置文件服务器的域名 
    
   
    1. 
     
      
      
      
     
      
     
      
      
      
         由于浏览器同源策略的关系，一系列客户端攻击将失效，比如上传
       crossdomain
       .xml、上传包含
       Javascript的文件上传利用
      
      
     
    2. 
     
      
      
      
     
      
     
      
      
      
       等问题将得到解决

上一节的例子中，之所以会造成文件上传漏洞，究其原因还是未对用户的输入文件进行过滤。 像上个页面中，如果限制用户输入文件为图片类型，就可以避免这种攻击的发生。

查看修改之后的代码 upload_filter.php关键代码:

使用switch函数对上传文件格式做了判断。


 
  1. 
   
    
    
    
   
    
   
    
    
    
     <?php
    
    
   
  2. 
   
    
    
    
   
    
   
    
    
    
     if (
     isset($_POST[
     'submit'])) {
    
    
   
  3. 
   
    
    
    
   
    
   
    
    
            
     echo 
     "文件名：".$_FILES[
     'upfile'][
     'name'].
     "<br />";
    
    
   
  4. 
   
    
    
    
   
    
   
    
    
            
     switch ($_FILES[
     'upfile'][
     'type']) {
    
    
   
  5. 
   
    
    
    
   
    
   
    
    
                
     case 
     'image/jpeg':
    
    
   
  6. 
   
    
    
    
   
    
   
    
    
    
                     $flag = 
     1;
    
    
   
  7. 
   
    
    
    
   
    
   
    
    
                    
     break;
    
    
   
  8. 
   
    
    
    
   
    
   
    
    
                
     default:
    
    
   
  9. 
   
    
    
    
   
    
   
    
    
                    
     die(
     "上传失败，请确保文件格式为图片.....");
    
    
   
  10. 
   
    
    
    
   
    
   
    
    
                    
     break;
    
    
   
  11. 
   
    
    
    
   
    
   
    
    
    
                 }
    
    
   
  12. 
   
    
    
    
   
    
   
    
    
    
     if ($_FILES[
     'upfile'][
     'error'] == 
     0) {
    
    
   
  13. 
   
    
    
    
   
    
   
    
    
    
             $dir = 
     "./upload/".$_FILES[
     'upfile'][
     'name'];
    
    
   
  14. 
   
    
    
    
   
    
   
    
    
    
             move_uploaded_file($_FILES[
     'upfile'][
     'tmp_name'],$dir);
    
    
   
  15. 
   
    
    
    
   
    
   
    
    
            
     echo 
     "文件保存路径：".$dir.
     "<br />";
    
    
   
  16. 
   
    
    
    
   
    
   
    
    
            
     echo 
     "上传成功...<br />";
    
    
   
  17. 
   
    
    
    
   
    
   
    
    
    
             }
    
    
   
  18. 
   
    
    
    
   
    
   
    
    
    
         }
    
    
   
  19. 
   
    
    
    
   
    
   
    
    
     
     ?>

再上传phpinfo.php，发现上传不成功: 

再来试试修改目录权限的方法： 到Web相应目录下执行以下命令：sudo chmod -x upload

将upload目录设置为不可执行，再尝试加载之前上传的phpinfo.php: 

      提示没有执行权限，所以这也是一种有效防御文件上传漏洞的方法。 当然，攻击与防御总是相对的，我们这里做了简单的过滤，攻击者也会有很多上传绕过的方法

我不需要自由，只想背着她的梦

一步步向前走，她给的永远不重

 

bylfsj
关注
Java代码审计之文件上传漏洞详解
悦分享
01-23 817
文件长传漏洞是指攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马、病毒、恶意脚本或这Webshell等。文件上传漏洞条件上传的文件能被Web服务器当做脚本来执行我们能够访问到上传文件的路径服务器上传文件命名规则第一种：上传文件名和服务器命名一致第二种：上传文件名和服务器命名不一致（随机、时间日期命名等），但是后缀一致第三种：上传文件名和服务器命名不一致（随机、时间日期命名等），后缀也不一致漏洞成因。
PHP代码审计基础：文件上传漏洞
1匹黑马
11-28 593
文章目录漏洞原理危害漏洞条件文件上传的可控点挖掘思路相关函数move_uploaded_file 漏洞原理 文件上传漏洞一些web应用程序中允许上传图片，文本或者其他资源到指定的位置。 文件上传漏洞就是利用网页代码中的文件上传路径变量过滤不严将可执行的文件上传到一个到服务器中，再通过URL去访问以执行恶意代码。 危害 上传漏洞与SQL注入或 XSS相比 , 其风险更大 , 如果 Web应用程序存在上传漏洞 , 攻击者上传的文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本，导致代码执行
你不知道的文件上传漏洞php代码分析
12-18
漏洞描述 开发中文件上传功能很常见，作为开发者，在完成功能的基础上我们一般也要做好安全防护。 文件处理一般包含两项功能，用户上传和展示文件，如上传头像。 文件上传攻击示例 upload.php <?php $uploaddir = 'uploads/'; $uploadfile = $uploaddir . basename($_FILES['userfile']['name']); if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)){ echo "File is valid, and was suc
PHP文件上传漏洞频发？这7个安全加固技巧你必须掌握
最新发布
CompiShoal的博客
10-25 586
解决PHP文件上传安全隐患，掌握安全实现方法。本文详解PHP文件上传实现中的7个关键加固技巧，涵盖类型验证、路径防护、二次渲染等场景，有效防御恶意文件上传。提升应用安全性，值得收藏。
代码审计之文件上传漏洞
willow_liang的博客
11-09 965
1.上传漏洞 文件 上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力，这种攻击方式是最直接和有效的,文件上传本身是没问题的，有问题的是文件上传后，服务器怎么处理，解析文件。通过服务器的处理逻辑做的不够安全，则会导致上传漏洞 2.漏洞条件 文件可上传 知道文件上传路径 上传文件可以被访问 上传文件可以被执行 全局数组$_ _FILES $_ FILES['myFile']['name'] 显示客户端文件的原名称。 $_ FILES['myFile' ]['type']
PHP代码审计7—文件上传漏洞
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
08-01 4150
文件上传基础整理与示例分析
PHP代码审计之文件上传
小千安全
10-12 550
_FILES$_FILES['uploadFile']['name'] 客户端文件的原名称。$_FILES['uploadFile']['type'] 文件的 MIME 类型，例如"image/gif"。$_FILES['uploadFile']['size'] 已上传文件的大小，单位为字节。$_FILES['uploadFile']['tmp_name'] 文件被上传后在服务端储存的临时文件名，一般是系统默认。可以在php.ini的upload_tmp_dir指定。
代码审计：bluecms 文件包含漏洞复现
qq_43233085的博客
03-16 3517
代码审计：bluecms 文件包含漏洞复现bluecms代码审计漏洞利用 bluecms BlueCMS是一款专注于地方门户网站建设解决方案，基于PHP+MySQL的技术开发，全部源码开放。 复现版本为bluecmsv1.6版本，各位可自行下载。 代码审计 先使用Seay工具审计一波，根据关键代码回溯。 工具显示user.php文件包含函数存在可控变量，可能存在文件包含漏洞，我们打开代码所在ph...
PHP代码审计音频文件.zip
11-02
任务12：PHP代码审计之文件上传漏洞mp4 任务11:代码审计之CSRF漏洞mp4 任务10:代码审计之XSS漏洞mp4 任务9：代码审计之命令执行漏洞mp4 任务8：代码审计之代码执行漏洞mp4 任务7：PHP代码审计宽字节注入及二次注入...
PHP漏洞全解(九)-文件上传漏洞
weixin_34072637的博客
02-13 224
一套web应用程序，一般都会提供文件上传的功能，方便来访者上传一些文件。 下面是一个简单的文件上传表单 <form action="upload.php" method="post" enctype="multipart/form-data" name="form1"> <input type="file" name="file1" />&l...
PHP代码审计———14、PHP代码审计之文件上传
Fly_鹏程万里
05-16 539
审计函数move_uploaded_file超全局变量$_FILES后缀名是图片格式前缀名不能是外部提交的上传的目录不可以是获取外部提交的路径防御使用白名单方式检测文件后缀上传之后按时间能算法生成文件名称上传目录脚本文件不可执行注意%00截断...
PHP代码审计 -- 文件上传
qq_46635165的博客
12-15 1164
工具&环境 工具：Seay源代码审计系统，文本编辑器一个 环境：phpstudy，网站源码是 zbzcms 步骤 1， 将zbzcms网站源码放入phpstudy，根据网站安装引导完成网站搭建； 2，打开Seay，新建项目 --> 选择网站源码 --> 自动审计，审计完成后点击 漏洞描述对审计结果进行排序，方便结果查看： 3,审计完成，关注存在文件上传这一类，对结果进行观察，一般存在文件上传的地方存在upload,include,up等关键词，然后再看，发现也有文件上传在admin目录
PHP 代码审计 (文件上传)
热门推荐
优快云
08-03 1万+
这里是条件竞争，先将文件上传到服务器，然后判断文件后缀是否在白名单里，如果在则重命名，否则删除，因此我们可以上传1.php只需要在它删除之前访问即可，可以利用burp的intruder模块不断上传，然后我们不断的访问刷新该地址即可。白名单就是允许上传某种类型的文件,该方式比较安全,抓包上传php后门,然后将文件名改为.jpg即可上传成功,但是有时候上传后的文件会失效无法拿到Shell.代码中验证了上传的MIME类型,绕过方式使用Burp抓包,将上传的一句话小马。然后,选择特殊字符,右击。
米安代码审计 05 文件上传漏洞
kevinhanser
07-24 534
本文记录 PHP 代码审计的学习过程，教程为暗月 2015 版的 PHP 代码审计课程 PHP 代码审计博客目录 1. 简介 危害 如果不对被上传的文件进行限制或者限制被绕过，该功能便有可能会被利用于上传可执行文件、脚本到服务器上，进而进一步导致服务器沦陷。 漏洞成因 导致文件上传的漏洞的原因较多，主要包括以下几类 服务器配置不当 开源编辑器上传漏洞 本地文件上传...
PHP-代码审计-文件上传
weixin_44110913的博客
08-28 638
函数 move_uploaded_file move_uploaded_file ( string $filename , string $destination ) : bool $filename 上传的文件的文件名。 $destination 移动文件到这个位置。 本函数检查并确保由 filename 指定的文件是合法的上传文件（即通过 PHP 的 HTTP POST 上传机制所上传的）。如果文件合法，则将其移动为由 destination 指定的文件。 move_uploaded_
文件上传漏洞 php,你不知道的文件上传漏洞php代码分析
weixin_28871885的博客
03-11 268
漏洞描述开发中文件上传功能很常见，作为开发者，在完成功能的基础上我们一般也要做好安全防护。文件处理一般包含两项功能，用户上传和展示文件，如上传头像。文件上传攻击示例upload.php?upload.html?上述代码未经过任何验证，恶意用户可以上传php文件，代码如下恶意用户可以通过访问 如http://server/uploads/shell.php?command=phpinfo(); 来执...
PHP文件上传漏洞
BrosyveryOK的博客
11-28 3013
上礼拜一直在搞期中测试和unctf，没啥时间整理，这礼拜继续整理！
PHP代码审计 14 文件上传漏洞
kevinhanser
07-21 688
本文记录 PHP 代码审计的学习过程，教程为暗月 2015 版的 PHP 代码审计课程 PHP 代码审计博客目录 1. 简介 审计函数 move_uploaded_file() 定义和用法： move_uploaded_file() 函数将上传的文件移动到新位置。 若成功，则返回 true，否则返回 false。 语法： move_uploaded_file...
PHP代码审计实战教程：漏洞分析与防御
15. PHP代码审计之文件上传漏洞（任务12）：详细介绍文件上传过程中可能出现的安全问题和相应的审计方法。 16. 代码审计之CSRF漏洞（任务11）：讲解CSRF（跨站请求伪造）漏洞的原理和防范技巧。 17. 代码审计之XSS...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值