upload-labs靶场详解

lizhi_xx

已于 2024-04-18 17:32:57 修改

阅读量1.4k

点赞数 18

分类专栏：网络安全文章标签： web安全安全 php c语言

于 2024-04-17 23:08:54 首次发布

本文链接：https://blog.youkuaiyun.com/lizhiiiii/article/details/137787758

版权

靶场环境

下载链接：https://codeload.github.com/c0ny1/upload-labs/zip/refs/heads/master
使用小皮集成环境来完成这个靶场将文件放到WWW目录下就可以进行访问

进入关卡后页面呈现：

Pass-01（前端绕过）

我们先尝试上传一个web.php的文件

这里提示我们只允许上传这三种文件后缀名的文件我们查看一下源码

发现上传文件中定义了一个checkFile()函数我们来看一下chekFile()是什么

我们可以看出来这是定义了一个白名单是由前端JS来检测其中file.lastIndexOf(".")是截取文件最后一个点（.）之后的后缀也就是截取文件的后缀名来判断是不是在白名单内

既然它是通过JS来检测的那我们可以禁止浏览器运行JS代码来绕过这个检测

刷新页面后再次上传我们的web.php文件

上传成功

Pass-02 (文件类型检测)

我们尝试上传一个web.php文件显示文件类型不正确

查看一下网页源代码发现一样有checkFile()函数但是在前端页面中没有找到checkfile规则可能没有在前端进行过滤大概率是后端验证再往下看我们能发现下面有检测文件类型的代码

我们抓包看一下

这个时候我们只需要把类型改成它允许的类型send过去就完成了

Pass-03（php3绕过）

这明显是个黑名单我们查看源码

分析代码

$is_upload = false; 和 $msg = null; 初始化了两个变量，其中 $is_upload 用于标记文件是否成功上传，$msg 用于存储可能的错误消息或状态信息。通过 isset($_POST['submit']) 来检查是否有表单提交。然后它定义了一个数组 $deny_ext，包含了不允许上传的文件后缀，再用deldot()函数去除文件名末尾的点。然后判断如果上传的文件后缀名不在黑名单内则先获取上传文件的临时文件名然后构建新的文件路径再将临时文件移动到指定位置。如果移动成功，$is_upload则将设置为ture，否则将错误信息赋给$msg。

在我们查看Apache中的配置文件我们可以知道

AddType application/x-httpd-php .php .phtml .php3 是指将.php .php3 .phtml的文件当作php文件来执行这时我们发现.php3不在黑名单内我们尝试修改文件名再上传

上传成功

Pass-04 （.htaccss重写绕过）

本关还是一个黑名单限制我们查看一下源代码

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

与第三关代码逻辑相同