【通关选择】upload-labs通关攻略（大全）

news2024/11/27 3:35:53

前提条件：
1.文件能够成功上传到服务器
2.攻击者能够知道文件的上传路径

upload-labs靶场

Pass-01（ 前端验证）

三种方法解决思路
1.禁用客户端JavaScript弹窗
image.png
2.通过burp抓包，修改后缀名
3.f12删除return filecheck（）代码
步骤：
通过上传一个.php格式的脚本会出现弹窗，那么做此题的出发点可以从客户端的方式绕过入手。
image.png
修改前端代码：将javascript弹窗关掉
image.png
将弹窗和检查代码的函数删除掉，那么此时上传的.php脚本文件就是可以上传到服务器的（如果不删除 return checkfile（）函数，.php脚本是可以上传的但是不会上传到服务器，不满足为文件上传的条件，所以是失败的）
image.png
可以看到.php脚本文件上传成功，检查服务器目录
1.服务器后台能够看到
image.png
2.直接访问图片的所在路径
（1）右键图片
image.png
（2）通过前端代码同样也会显示相对路径
image.png
（3）burpsuite抓包演示
3.浏览器访问路径查看信息
image.png
出现白色页面是正常情况，因为你的web服务器无法正常去显示一个含有“木马”的php脚本，所以就用到密码接收的方式
image.png
以上重要信息全部显示
最后便是用蚁剑去获取文件路径
测试成功，代表实验成功
image.png

Pass-02（MIME验证）

没有弹窗，显示以下红字的错误提示信息
image.png
两种方法：第一种是上传php文件，改Content-Type，第二种是上传合法后缀文件，改文件后缀。
法一：
改Content-Type：
image.png
repeater之后可以看到右侧画面
验证：不断的放包直到火狐页面也会显示如右图样式
image.png
服务器下显示脚本上传成功
image.png

法二：更改文件后缀
burp开启拦截，然后另外一边将shell.php更改为，shell.png,然后点击上传，完事burp中就会获取如下的包，更改文件后缀为.php
image.png
服务器的后台显示方才上传的脚本文件
image.png

Pass-03（黑名单验证，特殊后缀名）

黑名单策略—在服务器上不允许特定后缀的文件上传(PHP, asp, jsp)
php环境可以尝试的后缀php1,php2,php3,php4.php5，phtmI, pht
image.png
需要修改Apache的httpd.conf有配置代码

AddType application/x-httpd-php .php3 .php4 .phtml .phps .php5 .pht

将#去掉
image.png
image.png
蚁剑连接即可
这是源码当中的黑名单

$deny_ext = array('.asp','.aspx','.php','.jsp');

Pass-04（.htaccess）

这一关我们可以看到禁止上传文件可太多了，几乎完全屏蔽
源码黑名单

 $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");

image.png
1.但是.htaccess还是没有过滤，可以重写文件解析规则绕过，上传一个.htaccess，这个文件内容的意思是告诉apache当遇到qianxun.jpg文件时，按照php去解析，文件内容如下：

<FilesMatch "xxx.jpg">
SetHandler application/x-httpd-php
</FilesMatch>

我们再创建一个php测试文件xxx.php
分别将.htaccess文件和xxx.jpg文件上传

AddType application/x-httpd-php .jpg

.htaccess
xxx.jpg
如图所示，已经上传服务器成功image.png
用浏览器访问xxx.jpg：
image.png
如图所示，xxx.jpg被成功解析

Pass-05（黑名单验证，.user.ini.）

这关多过滤了个.htaccess

 $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");

创建一个.user.ini文件并把它上传
image.png
.user.ini文件里的意思是：所有的php文件都自动包含666.jpg文件。.user.ini相当于一个用户自定义的php.ini
image.png
修改php-ini配置文件
把这里的300秒(即默认等5分钟)改为10
image.png
修改后保存php.ini文件并重启phpstudy
前提：在服务器上有一个456.php当中含有“一句话木马”文件，然后访问此php文件即可
Snipaste_2023-05-12_15-05-44.jpg

Pass-06 (黑名单绕过，大小写绕过)

滤掉.htaccess和.ini。但是没有使用strtolower()函数，可以使用大小写绕过黑名单
把.php 格式改为 .Php 上传上去之后，就会自动解析为.php

strtolower（） 函数把字符串转换为小写

image.png

右键获取图片链接
image.png
参数获取phpinfo
image.png
连接蚁剑
image.png

Pass-07（黑名单验证，空格绕过）

没有使用trim()去除空格，可以使用空格绕过黑名单

image.png
正常显示
image.png

Pass-08 (黑名单验证，点号绕过）

这没有使用deldot()过滤文件名末尾的点，可以使用文件名后加.进行绕过
image.png

image.png
测试蚁剑连接
image.png

Pass-09（黑名单，特殊字符::$DATA绕过）

image.png
连接蚁剑，不能使用::$DATA
image.png

Pass-10（黑名单 点 空格 点）

补充知识：deldot()函数从后向前检测，当检测到末尾的第一个点时会继续它的检测，但是遇到空格会停下来

使用shell.php. . 的方式绕过 （点 空格 点）
image.png

image.png

Pass-11（双写绕过）

提示信息：
image.png
源码要求（str_ireplace()）函数将黑名单中的文件后缀名进行了替换为空
image.png

在burp中更改文件后缀名
image.png
在靶机中的效果，后缀名一律没有
image.png

str_ireplace() 函数不区分大小写，大小写绕过不适用，因此使用双写绕过

image.png
成功被传入
image.png

连接蚁剑成功，php文件成功被解析
image.png

Pass-12 (白名单绕过 00截断GET型)

源码：
只能上传jpg，png，gif图片的方式
用GET的方式传参，要求是：随机数+时间参数 +.+可控的类型，保证传入的参数可控
image.png

本体绕过方式：

apache版本调至5.2.17
magic_quotes_gpc=off

将php后缀改为服务器允许上传的文件后缀（png,gif,jpg），将123.php后的内容忽略掉，使用web.php.png文件中的内容上传到123.php中

原理：（参考：https://blog.csdn.net/weixin_47598409/article/details/115050869）
php的一些函数的底层是C语言，而move_uploaded_file就是其中之一，遇到0x00会截断，0x表示16进制，URL中%00解码成16进制就是0x00。

image.png
右键访问图片链接，可以看到文件成功被解析

image.png

注意：连接蚁剑要将中间的字母数字都混杂内容清理掉，然后便可成功连接

image.png

Pass-13 (白名单绕过，post 00截断)

只允许上传.jpg|.png|.gif类型文件！认定为白名单验证
和PASS-12类似
image.png
本题绕过

apache版本调至5.2.17
magic_quotes_gpc=off

传参方式为POST，使用0x00进行截断，对数据进行0x00截断绕过
上传shell.php用BP抓包
上传的是一个php文件，首先要抓包更改它的后缀名来绕过白名单验证
提示：
image.png
因为源码告诉我们它的保存路径是拼接的，所以我们直接可以在可控的部分直接输入文件名，并且用%00截断来截断后面那些多余的内容

POST不会对%00进行解码
修改URL，进行解码
image.png
将其红框内容删除
image.png
访问后发现，php文件能够被浏览器解析
image.png
连接蚁剑成功
image.png

本来要做14关的，莫名其妙的弄错了，制作了个简易的图片马，然后自己还请记住了是文件包含的格式就构造了URL，不过此方法是适用于13关的

图片马，就是在图片中隐藏一句话木马。
在cmd命令行中，此操作是在随便目录下完成的，当是要参与制作的图片和一句话木马文件要处于同一个目录下。

首先love.png是一张普通的图片（随便截取一张），php.php存储的一句话木马（当然也可以写在其他类型的文件中），lovelove.png是生成的文件。

copy php.php/b + love.png lovelove.png
#其中ｂ代表二进制文件，ａ代表assci

image.png
将生成的lovelove.png上传，传输成功，不过可以看到此时图片马是无法被浏览器解析的
image.png
不过构造的URL可以根据访问的页面，看到是可以被成功解析了

http://192.168.200.71/uploadlabs/include.php?file=/upload/7420230928033352.png

image.png
cmd连接
image.png

连接蚁剑
image.png

Pass-14(首次制作图片马)

image.png
在文件头部添加图片格式：
GIF的文件头为GIF89a，png的文件头为PNG。

随便截取一张图片
添加文件头
末尾写上一句话
image.png
成功上传之后，右键图片链接，然后用文件包含漏洞打开图片，被成功解析P
image.png

Pass-15（getimagesize）

image.png
getimagesize函数意思是：对目标文件的16进制去进行读取文件头的几个字符串是不是符合图片的要求
这关用第14关的图片马就可以实现，将含有一句话的木马放到图片中，然后将文件头此换成要求的三种图片的头格式
上传成功
image.png
可以被成功解析
image.png

Pass-16(exif_imagetype)

exif_imagetype()读取一个图像的第一个字节并检查其后缀名。需要在phpstudy的扩展种开启php.exif选项

做法和上一关同，不再赘述！

Pass-17（二次渲染）

提示信息
image.png
要求图片格式为JPG（后续还有代码要求格式为GIF,PNG 不在赘述）
image.png
move_uploaded_file( t m p n a m e , tmpname, tmpname,target_path）此函数附近有逻辑错误
image.png
不过本题是考察的图片马，制作图片马（理由上一几关的方式，文件包含以下）
image.png

不过webshell获取不了，从上传的目录上看，上传之后的一句话没有了
image.png

image.png

二次渲染后的一句话消失了。那么经过观察，看到从此处前后是不变的
image.png

用010Editorr打开，尝试蒋一句话插到此位置
image.png
然后蚁剑连接
image.png

Pass-18（条件竞争）

提示信息
image.png

使用move_uploaded_file()函数，将上传的文件保存到服务器，再进行判断是否是jpg、png、gif中的一种类型，如果在数组中就保存重命名，如果不在根据unlink()就直接删除

代码他是先将图片上传上去，才开始进行判断后缀名、二次渲染。如果在上传上去的一瞬间访问这个文件，那他就不能对这个文件删除、二次渲染。这就相当于我们打开了一个文件，然后再去删除这个文件，就会提示这个文件在另一程序中打开无法删除。

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

抓数据包，上传，发送到Intruder模块下
image.png
clear
image.png
将payload类型设为空，意思是不断地上传空的payload
image.png

调大线程
image.png
image.png
开始实施
image.png

image.png

值得注意的是，真实环境下一般没有源码，需要自己逐个尝试，不过就此看来，是白名单限制居多。

Pass-19(条件竞争)

此关上传路径存在问题，建议修改，进入到19关修改后重启即可
image.png

源码说的是服务器将文件后缀跟白名单做对比，然后检查了文件大小以及文件是否已经存在。

文件上传之后又对其进行了重命名，这关只能上传图片马了。要让图片马能够执行还要配合文件包含或者解析析漏洞，和之前几关类似通过文件包含去访问该图片马。

image.png

然后还是使用上一关的做法，本关我废了很大劲，线程调的巨大也没反应就不附图了，我把参考的大佬链接放到后边。

Pass-20

提示信息
image.png

move_uploaded_file()有这么一个特性，会忽略掉文件末尾的 /.

image.png

修改upload-19.jpg 修改为upload-19.php/.
image.png
复制图片链接，输入连接密码
image.png

image.png

Pass-21

此关不是在我理解的范畴内，后续还需要多钻研，多总结！

最后将学习的大佬文章附上

https://blog.csdn.net/weixin_47598409/article/details/115050869

上述文章内容如有技术错误，欢迎指出！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1177451.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

树专题 —— 二叉搜索树和中序遍历

树专题 —— 二叉搜索树和中序遍历

大家好&#xff0c;我是 方圆。我准备把树写成一个专题&#xff0c;包括二叉搜索树、前序、中序、后序遍历以及红黑树&#xff0c;我也想试试能不能将红黑树写好。 本篇是关于二叉搜索树&#xff0c;也是所有后续学习的基础&#xff0c;其中会涉及前序、中序、后序遍历&#x…
阅读更多...
外卖系统的数据管理和隐私保护应该如何进行？

外卖系统的数据管理和隐私保护应该如何进行？

1. 数据管理 外卖系统处理大量用户数据&#xff0c;包括个人信息、订单记录、支付信息等。以下是一些数据管理的最佳实践&#xff1a; 合规性与透明度&#xff1a;确保你的数据收集、存储和处理符合相关法规&#xff0c;例如GDPR&#xff08;通用数据保护条例&#xff09;。同…
阅读更多...
网络安全防御体系构建思路

网络安全防御体系构建思路

前言 在某一天的深夜&#xff0c;作为安全从业人员&#xff0c;穿着大裤衩子&#xff0c;坐在门前&#xff0c;点燃一根烟&#xff08;画面自己想象&#xff09;开始思考企业如何打造自己的安全体系&#xff0c;虽然这不是作为月薪3k该考虑的问题&#xff0c;但是毕竟当初笔者…
阅读更多...
element的表单校验正常手机号码以及输入框填写“不详”的情况

element的表单校验正常手机号码以及输入框填写“不详”的情况

element的表单校验正常手机号码以及输入框填写“不详”的情况 <el-col :span"6"><el-form-item label"手机号码" prop"phoneNumber" class"grid-content bg-purple"><el-input v-model"testForm.phoneNumber&quo…
阅读更多...
Linux环境下的SVN服务器搭建并结合内网穿透实现远程连接

Linux环境下的SVN服务器搭建并结合内网穿透实现远程连接

文章目录 前言1. Ubuntu安装SVN服务2. 修改配置文件2.1 修改svnserve.conf文件2.2 修改passwd文件2.3 修改authz文件 3. 启动svn服务4. 内网穿透4.1 安装cpolar内网穿透4.2 创建隧道映射本地端口 5. 测试公网访问6. 配置固定公网TCP端口地址6.1 保留一个固定的公网TCP端口地址6…
阅读更多...
第四章 Web服务器(1)

第四章 Web服务器(1)

1.www简介 Web网络服务也叫WWW(World Wide Web 全球信息广播)万维网服务&#xff0c;一般是指能够让用户通过浏览器访问到互联网中文档等资源的服务 Web 网络服务是一种被动访问的服务程序&#xff0c;即只有接收到互联网中其他主机发出的请求后才会响应&#xff0c;最…
阅读更多...
LINQ to SQL系列三 使用DeferredLoadingEnabled，DataLoadOption指定加载选项

LINQ to SQL系列三 使用DeferredLoadingEnabled，DataLoadOption指定加载选项

介绍linq to sql 的 DataContext类DeferredLoadingEnabled属性使用，以及DataLoadOptions限定加载相关表数据的LoadWith和AssociateWith方法。 本文中举例用到的数据模型如下： Student和Class之间是多对一关系，Student和Course之间是多对多关系。 DataContext的DeferredLo…
阅读更多...
使用oracle虚拟机添加新硬盘

使用oracle虚拟机添加新硬盘

1、关闭运行的虚拟机后配置 单击选择要配置的oracle虚拟机&#xff0c;单击设置–>存储—>控制器&#xff0c;单击添加虚拟硬盘图标。 2、配置硬盘 单击“创建”&#xff0c;单击“下一步”&#xff0c;选择需要创建的虚拟硬盘大小&#xff0c;完成创建。 完成创建后…
阅读更多...
基于SpringBoot+Redis的前后端分离外卖项目-苍穹外卖(一)

基于SpringBoot+Redis的前后端分离外卖项目-苍穹外卖(一)

熟悉项目环境 1. 苍穹外卖项目介绍1.1 项目介绍1.2 技术选型 2. 开发环境搭建2.1 前端环境2.2 后端环境搭建2.3 Git版本控制2.4 nginx反向代理和负载均衡 3.登录功能4. Swagger4.1 介绍4.2 使用步骤4.3 常用注解 1. 苍穹外卖项目介绍 1.1 项目介绍 苍穹外卖是专门为餐饮企业&…
阅读更多...
SRC | CORS跨资源共享漏洞

SRC | CORS跨资源共享漏洞

CORS跨资源共享 跨源资源共享 (CORS) 是一种浏览器机制&#xff0c;允许网页使用来自其他页面或域的资产和数据。 大多数站点需要使用资源和图像来运行它们的脚本。这些嵌入式资产存在安全风险&#xff0c;因为这些资产可能包含病毒或允许服务器访问黑客。 CORS响应头 CORS通…
阅读更多...
C-DS二叉树_另一棵树的子树

C-DS二叉树_另一棵树的子树

Description 给你两棵二叉树tree1和tree2，检验tree1中是否包含和tree2具有相同结构和结点值的子树。如果存在，输出true；否则，输出false。 Input 第一行输入t，表示有t个测试样例。 第二行首先输入n1，接着输入n1个整数，表示二叉树tree1。 第三行首先输入n2，接着输入n…
阅读更多...
Keras人工智能神经网络 Classifier 分类 神经网络搭建

Keras人工智能神经网络 Classifier 分类 神经网络搭建

前期我们分享tensorflow以及pytorch时&#xff0c;分享过tensorflow以及pytorch的分类神经网络的搭建步骤&#xff0c;在哪里我们使用的训练集是mnist&#xff0c;同样Keras分类神经网络的搭建&#xff0c;我们同样使用mnist数据集来进行分类神经网络的搭建&#xff08;有关mni…
阅读更多...
【NI-DAQmx入门】NI-DAQmx之Python

【NI-DAQmx入门】NI-DAQmx之Python

NI-DAQmx Python GitHub资源&#xff1a; NI-DAQmx Python 文档说明&#xff1a;NI-DAQmx Python Documentation — NI-DAQmx Python API 0.9 documentation nidaqmx支持 CPython 3.7和 PyPy3&#xff0c;需要注意的是多支持USB DAQ和PCI DAQ&#xff0c;cDAQ需要指定…
阅读更多...
改进的yolov5

改进的yolov5

The networkstructure of these models is constant, but the modules and con-volution kernels are scaled, which alters the complexity and sizeof each model.&#xff08;这些模型的网络结构是恒定的&#xff0c;但模块和卷积核被缩放&#xff0c;这改变了每个模型的复杂…
阅读更多...
自动驾驶算法（五）：基于遗传算法的路径规划（上）

自动驾驶算法（五）：基于遗传算法的路径规划（上）

目录 1 遗传算法介绍 2 遗传算法代码详解--绘制地图与种群初始化代码讲解 1 遗传算法介绍 模拟生物进化过程&#xff0c;物竞天择&#xff0c;适者生存。 我们先为栅格地图进行编码&#xff1a;从起点0出发到终点24这个栅格。我们首先有一条路径&#xff08;0&#xff0c;6&a…
阅读更多...
最近面了12个人，发现连这种基础题都答不上来.....

最近面了12个人，发现连这种基础题都答不上来.....

一般面试我都会问一两道很基础的题目&#xff0c;来考察候选人的“地基”是否扎实&#xff0c;有些是操作系统层面的&#xff0c;有些是 python语言方面的&#xff0c;还有些… 深耕IT行业多年&#xff0c;我们发现&#xff0c;对于一个程序员而言&#xff0c;能去到一线互联网…
阅读更多...
golang工程中间件——redis常用结构及应用（string, hash, list）

golang工程中间件——redis常用结构及应用（string, hash, list）

Redis 命令中心 【golang工程中间件——redisxxxxx】这些篇文章专门以应用为主&#xff0c;原理性的后续博主复习到的时候再详细阐述 string结构以及应用 字符数组&#xff0c;redis字符串是二进制安全字符串&#xff0c;可以存储图片等二进制数据&#xff0c;同时也可以存…
阅读更多...
ns3入门基础教程

ns3入门基础教程

ns3入门基础教程 文章目录 ns3入门基础教程ns环境配置测试ns3环境ns3简单案例 ns环境配置 官方网站&#xff1a;https://www.nsnam.org/releases/ 代码仓库&#xff1a;https://gitlab.com/nsnam/ns-3-dev 如果安装遇到问题&#xff0c;可以参考以下博文&#xff1a; https://…
阅读更多...
19、Flink 的Table API 和 SQL 中的内置函数及示例（1）

19、Flink 的Table API 和 SQL 中的内置函数及示例（1）

Flink 系列文章 1、Flink 部署、概念介绍、source、transformation、sink使用示例、四大基石介绍和示例等系列综合文章链接 13、Flink 的table api与sql的基本概念、通用api介绍及入门示例 14、Flink 的table api与sql之数据类型: 内置数据类型以及它们的属性 15、Flink 的ta…
阅读更多...
吴恩达《机器学习》6-4-＞6-7:代价函数、简化代价函数与梯度下降、高级优化、多元分类:一对多

吴恩达《机器学习》6-4-＞6-7:代价函数、简化代价函数与梯度下降、高级优化、多元分类:一对多

一、代价函数 逻辑回归的代价函数是用来度量模型预测与实际结果之间的差异的。与线性回归使用均方误差不同&#xff0c;逻辑回归使用的代价函数在数学上更为复杂。为了理解逻辑回归的代价函数&#xff0c;首先要明白逻辑回归的假设函数&#xff1a; ℎ&#x1d703;(&#x1…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023