【网络安全 --- 任意文件上传漏洞靶场闯关 6-15关】任意文件上传漏洞靶场闯关，让你更深入了解文件上传漏洞以及绕过方式方法，思路技巧

news2025/1/13 6:03:50

一，工具资源下载

百度网盘资源下载链接地址：

百度网盘 请输入提取码百度网盘为您提供文件的网络备份、同步和分享服务。空间大、速度快、安全稳固，支持教育网加速，支持手机端。注册使用百度网盘即可享受免费存储空间icon-default.png?t=N7T8https://pan.baidu.com/s/1IHTnqsiUBd4DWmEKoXOcrA?pwd=8888
提取码：8888 

二，靶场安装及 1-5关

【网络安全 --- 文件上传靶场练习】文件上传靶场安装以及1-5关闯关思路及技巧，源码分析-CSDN博客文章浏览阅读195次。【网络安全 --- 文件上传靶场练习】文件上传靶场安装以及1-5关闯关思路及技巧，源码分析https://blog.csdn.net/m0_67844671/article/details/134102042?spm=1001.2014.3001.5502

三，6-15关

3-6 第六关：

空格和点配合绕过

先看一下源代码里面的代码将上传的文件名都改为小写了，那么上面的方法就不行了。

利用Windows系统的文件名特性。文件名最后增加空格和点，写成1.php .，这个需要用burpsuite抓包修改，上传后保存在Windows系统上的文件名最后的一个.会被去掉，实际上保存的文件名就是1.php  

改完以后放行，然后关闭拦截

 回来查看发现已经上传成功了

 

这一关主要用的是windows文件命名的特性 

3-7 第七关

原理同Pass-06，文件名后加点和空格，改成 1.php. ，这个我们就不演示了

3-8 第八关

基于文件流特性::$DATA来绕过，windows下的ntfs文件流特性来玩的。

先查看源码，分析代码，少了 $file_ext = str_ireplace(‘::$DATA‘, ‘‘, $file_ext);//去除字符串::$DATA 这一句，我们可以采用Windows文件流特性绕过，文件名改为1.php::$DATA , 上传成功后保存的文件名其实是1.php

正常上传的话不让上传php木马文件，我们上传时抓包

 在文件名tu.php后面加上::$DATA

 

成功绕过去了

 

3-9 第九关：

点空格点绕过

先看源码

原理同Pass-06，上传文件名后加上点+空格+点，改为 1.php. . ，这里我就不演示了  

1.php. .  先通过trim函数去左右空格，然后删除文件名末尾的点，就剩1.php. 了；strchr函数是从一个字符串中查找指定的字符，并返回从这个字符到结尾的内容，所以得到的是.php.    ;然后转换小写，去除文件流没影响，最后首位去空，剩下.php.       ;最后保存的时候Windows自动会把末尾的点也会去掉，就这样成功绕过去了    

3-10 第十关：

双写绕过

先看源代码

看到str_ireplace,这是一个替换用的函数，第一个参数为替换的内容，这里指定是是deny_ext数组，第二个参数为'',第三个参数为文件名，意思就是文件名里包含数组里的后缀的话直接替换为''

这个很好绕过，比如说我们传一个tu.php;发现php在数组里面，就会替换成''；最后就剩下一个tu了，我们的做法是双写，上传一个tu.pphphp文件，这样的话发现确实存在php,就会进行替换替换以后就剩下tu.php了，就绕过去了

 我把服务端文件存储的文件夹清空了，上传以后我们看一看效果

选择我们改过后缀的文件 

 发现上传成功嘞了 

如我们所料，成功上传了 

 

3-11 第十一关：

%00截断，这个属于白名单绕过，这是php语言自身的问题，php低版本存在的漏洞

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']
['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10,99).date("YmdHis").".".$file_ext;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
       } else {
            $msg = '上传出错！';
       }
   } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
   }
}

 分析代码，这是以时间戳的方式对上传文件进行命名，使用上传路径名%00截断绕过，不过这需要对文件有足够的权限，比如说创建文件夹，上传的文件名写成1.jpg, save_path改成../upload/1.php%00 (1.php%00.jpg经过url转码后会变为1.php\000.jpg)，最后保存下来的文件就是1.php

选择一个webshell文件，然后抓包 

 

抓包如下

 

按如下图进行修改，然后放包，关闭抓包

 

我的一直提示上传错误，原理是没问题的，你们自己试一下，我回去好好研究研究

 

3-12 第十二关：

0x00绕过

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']
['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 
99).date("YmdHis").".".$file_ext;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
       } else {
            $msg = "上传失败";
       }
   } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
   }
}

 原理同Pass-11，上传路径0x00绕过。利用Burpsuite的Hex功能将save_path改成../upload/1.php【二进制00】形式

跟十一关不同的地方在于，第十一关的上传路径在URL上我们可以通过%00（也就是0URL编码以后就是%00）来截断，现在文件上传路径在数据中，所以需要0x00十六进制形式截断

我们上传一个webshell.jpg图片，然后抓包

发现上传路径在数据部分里

 

我们可以这样做，后面接上aini.php (注意有个空格），为了方便改数据的时候定位 

点击上面的Hex，让数据以十六进制形式显示 

 

往下翻，找到我们路径的位置，我们在aini.php后面加了空格，空格转换为十六进制就是20，所以很好定位，左边红色框里的20就是我们自己故意留下的空格

 

然后就是把20改为00，也就是十六进制的00了，跟第十一关%00截断原理一模一样

 

切换回来以后，其实aini.php后面看不出来有变化，但是确实已经加上了截断 

 

不过还是跟第十一关一样的文件上传失败的错误，暂时没找出原因，不过原理就是这个，你们自己试一下看看 

 

3-13 第十三关：

绕过文件头检查

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
       }    
        return $fileType;
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);
    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
   }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
       } else {
            $msg = "上传出错！";
       }
   }
}

以上是检查文件头的函数 

绕过文件头检查，添加GIF图片的文件头GIF89a，绕过GIF图片检查。

或者我们使用命令copy 1.jpg /b + shell.php /a webshell.jpg，将php一句话追加到jpg图片末尾，代码不全的话，人工补充完整。形成一个包含Webshell代码的新jpg图片，然后直接上传即可。但是我们没有办法拿到shell，应为我们上传的图片马无法被解析成php形式，通常图片马配合%00或者0x00截断上传，或者配合解析漏洞

我在下面这篇博客里讲了绕过文件头检查的三种方式，可以去这篇博客里参考

【网络安全 --- 任意文件上传漏洞（2）】带你了解学习任意文件上传漏洞-CSDN博客文章浏览阅读45次。【网络安全 --- 任意文件上传漏洞（2）】带你了解学习任意文件上传漏洞。讲述了任意文件上传漏洞，以及几种绕过方法https://blog.csdn.net/m0_67844671/article/details/134036922?spm=1001.2014.3001.5502

3-14 第十四关：

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
       }else{
            return false;
                 }
   }else{
        return false;
   }
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
   }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
       } else {
            $msg = "上传出错！";
       }
   }
}

 原理跟 代码注入绕过--getimagesize() 一样,参考以下博客

【网络安全 --- 任意文件上传漏洞（2）】带你了解学习任意文件上传漏洞-CSDN博客文章浏览阅读47次。【网络安全 --- 任意文件上传漏洞（2）】带你了解学习任意文件上传漏洞。讲述了任意文件上传漏洞，以及几种绕过方法https://blog.csdn.net/m0_67844671/article/details/134036922?spm=1001.2014.3001.5502

getimagesize() 函数用于获取图像尺寸 ，索引 2 给出的是图像的类型，返回的是数字，其中1 = GIF，2 = JPG，3 = PNG，4 = SWF，5 = PSD，6 = BMP，7 = TIFF(intel byte order)，8 = TIFF(motorola byte order)，9 = JPC，10 = JP2，11 = JPX，12 = JB2，13 = SWC，14 = IFF，15 = WBMP，16 = XBM这里有详解：

PHP 获取图像信息 getimagesize 函数-CSDN博客文章浏览阅读2.9w次。getimagesize() 函数用于获取图像尺寸，类型等信息。imagesx() 函数用于获取图像的宽度。imagesy() 函数用于获取图像的高度。getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。语法：array getimagesize( string fhttps://blog.csdn.net/sanbingyutuoniao123/article/details/52166617  

image_type_to_extension() 函数用于获取图片后缀  

3-15 第十五关：

exif_imagetype()绕过

跟第十三，第十四关差不多

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
     switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
   }
}
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
   }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
       } else {
            $msg = "上传出错！";
       }
   }
}

其中：exif_imagetype() 此函数是php内置函数，用来获取图片类型  

 

 

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1149558.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【LeetCode刷题日志】88.合并两个有序数组

【LeetCode刷题日志】88.合并两个有序数组

🎈个人主页：库库的里昂 🎐C/C领域新星创作者 🎉欢迎 👍点赞✍评论⭐收藏✨收录专栏：LeetCode 刷题日志🤝希望作者的文章能对你有所帮助，有不足的地方请在评论区留言指正，…
阅读更多...
markMan（马克鳗）前端标注工具

markMan（马克鳗）前端标注工具

马克鳗一款很好用的标注、测量工具，前端必备神器。当需求给我们的原型没有标注颜色，尺寸数据，我们就可以用马克鳗自己标出来。 1.进入官网进行下载 官网网址：http://www.getmarkman.com/ 功能演示： 打开markMan需要拖…
阅读更多...
企业金蝶KIS软件服务器中了locked勒索病毒怎么办，勒索病毒解密

企业金蝶KIS软件服务器中了locked勒索病毒怎么办，勒索病毒解密

最近一段时间，网络上的locked勒索病毒又开始了新一波的攻击，给企业的正常生产生活带来了严重影响。经过最近一段时间云天数据恢复中心对locked勒索病毒的解密，为大家整理了以下有关locked勒索病毒的相关信息。近期locked勒索病毒主要攻击金蝶…
阅读更多...
Xamarin.Forms更改AndroidManifest.xml导致错误：没有兼容的代码在线程上运行

Xamarin.Forms更改AndroidManifest.xml导致错误：没有兼容的代码在线程上运行

想在APP中加一个打开摄像头的功能，按照该博主的方法：https://blog.csdn.net/zhenweied09/article/details/82287761 设置好后，再运行就出现上图的错误，于是查找原因，定位到是更改AndroidManifest.xml文件导致的&#…
阅读更多...
用软件模拟IPC的RTSP流，对接烟火识别算法服务，做实时的烟火检测、人员入侵检测、抽烟检测等算法

用软件模拟IPC的RTSP流，对接烟火识别算法服务，做实时的烟火检测、人员入侵检测、抽烟检测等算法

最近在研发烟火识别的算法，想要检验算法集成到视频分析服务之后的效果，发现线上的摄像机很难发现火情，有的很长时间都不会有检测的结果，于是我就需要用已经被检验过的视频文件，模拟一路IPC的RTSP流，来测试烟…
阅读更多...
Spring@Lazy是如何解决构造函数循环依赖问题

Spring@Lazy是如何解决构造函数循环依赖问题

Spring实例化源码解析之循环依赖CircularReference这章的最后我们提了一个构造函数形成的循环依赖问题，本章就是讲解利用Lazy注解如何解决构造函数循环依赖和其原理。 准备工作 首先创建两个构造函数循环依赖的类，TestA和TestB，代码如下&am…
阅读更多...
MFC 重绘Button按钮，使用png、jpg图片贴图

MFC 重绘Button按钮，使用png、jpg图片贴图

使用MFC实现Button按钮实现png和jpg贴图功能，底部有实现代码的工程链接，免费下载 此工程使用了第三方库GDI 实现文件如下： CGdiPlusBitmap.h GdipButton.cpp GdipButton.h MemDC.h 一、在启动cpp里面增加GDI初始化与释放 Gdiplus::Gdiplus…
阅读更多...
“2024中国信息通信展览会”促进全球通信领域交流合作的重要桥梁

“2024中国信息通信展览会”促进全球通信领域交流合作的重要桥梁

2024中国国际信息通信展览会（PT展） China International PT Expo 时间:2024年9月25-27日 地点:北京.国家会议中心 主办单位： 工业和信息化部 协办单位： 中国通信标准化协会 中国通信企业协会 中国电信 中国移动 中国联通…
阅读更多...
【Java每日一题】——第四十三题：编程用多态实现打印机.。分为黑白打印机和彩色打印机，不同类型的打印机打印效果不同。（2023.10.30）

【Java每日一题】——第四十三题：编程用多态实现打印机.。分为黑白打印机和彩色打印机，不同类型的打印机打印效果不同。（2023.10.30）

🎃个人专栏： 🐬 算法设计与分析：算法设计与分析_IT闫的博客-CSDN博客 🐳Java基础：Java基础_IT闫的博客-CSDN博客 🐋c语言：c语言_IT闫的博客-CSDN博客 🐟MySQL&#xff1a…
阅读更多...
[Unity][VR]透视开发系列4-解决只看得到Passthrough但看不到Unity对象的问题

[Unity][VR]透视开发系列4-解决只看得到Passthrough但看不到Unity对象的问题

【视频资源】 视频讲解地址请关注我的B站。 专栏后期会有一些不公开的高阶实战内容或是更细节的指导内容。 B站地址： https://www.bilibili.com/video/BV1Zg4y1w7fZ/ 我还有一些免费和收费课程在网易云课堂（大徐VR课堂）： https://study.163.com/provider/480000002282025/…
阅读更多...
你还在找什么赚钱的项目吗？真心话坦白局系统源码

你还在找什么赚钱的项目吗？真心话坦白局系统源码

它具有匿名信息的神秘感 但又会给你一点小提示 能让你有无限挖掘下去的好奇感 也能让你说出那些不敢说出口的话 敢来一场坦白局吗！ 坦白局这个功能类似于悄悄话，只不过是匿名的悄悄话。 有时候我们有些话是开不了口的，坦白局给了我们一个…
阅读更多...
颠覆传统：跨境电商借助DTC模式掀起新浪潮

颠覆传统：跨境电商借助DTC模式掀起新浪潮

跨境电商领域正经历着一场前所未有的革命，直接到消费者（Direct-to-Consumer，DTC）模式崭露头角，成为这一领域的一股强大力量。 传统的跨境电商模式受到了挑战，DTC模式正重新定义着全球电商的规则和格局。本…
阅读更多...
STM32单片机智能小车一PWM方式实现小车调速和转向

STM32单片机智能小车一PWM方式实现小车调速和转向

目录 1. 电机模块开发 2. 让小车动起来 3. 串口控制小车方向 4. 如何进行小车PWM调速 5. PWM方式实现小车转向 1. 电机模块开发 L9110s概述 接通VCC，GND 模块电源指示灯亮， 以下资料来源官方，具体根据实际调试 IA1输入高电平&#xff…
阅读更多...
销售流程管理实践及工具-Leangoo免费看板工具

销售流程管理实践及工具-Leangoo免费看板工具

销售管理既可以提高企业的销售业绩，又可以跟客户建立良好的关系。所以企业实施销售管理是非常有必要的。Leangoo免费看板不仅可以管理任务，它也可以成为一个绝佳的销售管理工具，帮助销售理清思路，达成目标。 首先在Leangoo中创建…
阅读更多...
如何用加密狗保护工业软件核心技术？

如何用加密狗保护工业软件核心技术？

工业软件的抄袭风险 1.1 反编译直窥软件的核心 工业软件代表着技术进步和创新，其中蕴含的算法、数据处理流程和功能模块往往是企业的核心竞争力。但随着技术的发展，反编译工具变得越来越先进，让不法分子可以“解剖”软件，看到它的…
阅读更多...
Fegin ----微服务 SpringCloud

Fegin ----微服务 SpringCloud

@FeignClient 是一个注解，用于创建一个声明式的 REST 客户端，用于访问其他服务的 REST API。通过 Feign Client，可以将远程服务的 API 当做本地服务进行调用，Feign Client 能够自动生成 API 客户端的实现类，在使用 API 时，只需要像调用本地方法一样调用即可。 @FeignClie…
阅读更多...
Linux(Centos7)防火墙端口操作记录

Linux(Centos7)防火墙端口操作记录

1、nginx -t #Nginx配置文件检查 上述截图代表检查没问题 上述截图检查配置文件配置错误，并提示错误文件位置 2、systemctl restart nginx #重启Nginx 重启Nginx失败 3、systemctl status nginx.service #查看Nginx服务状态 80端口被占导致服务启动失败 4、n…
阅读更多...
常见的22个软件测试面试题（含答案解析）

常见的22个软件测试面试题（含答案解析）

大家好，我是大圣。今天大圣给大家列举了API测试的22个面试题，快来看看吧。 1、什么是API? API是允许两个应用程序相互通信的代码。API使开发人员能够发出特定的调用或请求来发送或接收信息。 2、什么是以API为中心的应用程序? 以API为中心的应用程…
阅读更多...
Java进阶（Set）——面试时Set常见问题解读 结合源码分析

Java进阶（Set）——面试时Set常见问题解读 结合源码分析

前言 List、Set、HashMap作为Java中常用的集合，需要深入认识其原理和特性。 本篇博客介绍常见的关于Java中Set集合的面试问题，结合源码分析题目背后的知识点。 关于List的博客文章如下： Java进阶（List）——面试时L…
阅读更多...
ssm+vue的孩童收养信息管理(有报告)。Javaee项目，ssm vue前后端分离项目。

ssm+vue的孩童收养信息管理(有报告)。Javaee项目，ssm vue前后端分离项目。

演示视频： ssmvue的孩童收养信息管理(有报告)。Javaee项目，ssm vue前后端分离项目。 项目介绍： 采用M（model）V（view）C（controller）三层体系结构，通过Spring …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023