upload-labs 18-21关 详解 (完结)

【pass-18】

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

从源码来看，服务器先是将上传的文件保存下来，然后将文件的后缀名同白名单对比，如果是jpg、png、gif中的一种，就将文件进行重命名。如果不符合的话，unlink()函数就会删除该文件。

如果我们还是上传一个图片马的话，网站依旧存在文件包含漏洞我们还是可以进行利用。但是如果没有文件包含漏洞的话，我们就只能上传一个php木马来解析运行了。

但是php上传就会被删除，无法去访问

代码执行需要消耗时间，如果能在上传的php被删除之前访问就可以。

条件性上传绕过

我们可以利用burp多线程发包，然后不断在浏览器访问我们的webshell，会有访问成功的时候。

需要修改以下上传的php一句话：

<?php fputs(fopen('2.php','w'),'<?php phpinfo();?>');?>

让其被执行的时候在文件下写一个名为2.php的文件

否则就算是访问到了，很快也就删除了，意义不大。

开启抓包，上传：

发送到bp的intruder模块

接着设置无限发送空的Payloads，来让它一直上传该文件