文件上传之图片码混淆绕过（upload的16,17关）

news2025/1/17 23:20:08

目录

1.upload16关

1.上传gif

loadup17关（文件内容检查，图片二次渲染）

1.上传gif（同上面步骤相同）

2.条件竞争

1.upload16关

1.上传gif

imagecreatefromxxxx函数把图片内容打散，，但是不会影响图片正常显示

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];
 
    $target_path=UPLOAD_PATH.'/'.basename($filename);
 
    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);
 
    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);
 
            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
 
    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);
 
            if($im == false){
                $msg = "该文件不是png格式的图片！";
                @unlink($target_path);
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);
 
                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上传出错！";
        }
 
    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);
 
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

首先copy命令生成图片马

上传之后再在服务器上下载下来，然后使用010editor进行比较，哪些内容没有被混淆，我们就可以把木马写在没有被混淆的内容里

然后直接文件包含，包含图片内的php代码

loadup17关（文件内容检查，图片二次渲染）

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];
 
    $target_path=UPLOAD_PATH.'/'.basename($filename);
 
    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);
 
    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);
 
            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
 
    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);
 
            if($im == false){
                $msg = "该文件不是png格式的图片！";
                @unlink($target_path);
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);
 
                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上传出错！";
        }
 
    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);
 
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

这一关主要就是使用了imagecreatefrom系列的函数。

这个函数的主要功能就是，使用上传的图片去生成一张新的图片，生成的结果会返回一个变量，

成功返回ture，失败返回false。并且这个函数，可以在他进行重新创建图片的时候，会将我们图片的信息和非图片的信息进行分离，也就是说如果我们在一张图片中加入了代码，那么他会 在你上传后把这张图片在新建的时候把其中的代码筛选出来，并且去除。最后只保留你的图片信息，在进行排序重建。

1.上传gif（同上面步骤相同）

将第一步的合成好的GIF图片使用010 Editor 工具打开，并且把第二步上传完的图片，到upload目录下寻找，将上传完成后已经被二次渲染后的图片，也使用010 Editor工具打开。并且对比， 寻找蓝色部分没有被排列重组的地方。

 在二次渲染后8828.gif图片中加入一句话代码，

点击文件包含漏洞url，传参。

就能完成此题。

2.条件竞争

我们还可以用条件竞争来完成此题

条件竞争型的漏洞在很多漏洞中都有涉及，在文件上传中造成这种漏洞的原因是代码中是先保存上传的文件在服务器上，然后验证再删除的，这就会造成攻击者可以利用文件被保存在服务器上与被删除的时间间隙来访问文件，然后重新生成了一个新木马

我们可以直接上传一个有写功能的php文件，然后bp抓包，一直发包，同时一直访问刚刚上传的php文件，总有一次会成功生成一个新的木马

我们去查看代码片段可以发现文件是先保存在服务器上，然后unlink函数删除的

先上传木马然后抓包

然后随便找个数字

然后选持续发包

然后我们一直访问上传的php文件，让它生成新的木马

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/997878.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Selenium - Tracy 小笔记2

Selenium - Tracy 小笔记2

selenium本身是一个自动化测试工具。 它可以让python代码调用浏览器。并获取到浏览器中加们可以利用selenium提供的各项功能。帮助我们完成数据的抓取。它容易被网站识别到，所以有些网站爬不到。 它没有逻辑，只有相应的函数，直接搜索即可 …
阅读更多...
dubbo 服务注册使用了内网IP,而服务调用需要使用公网IP进行调用

dubbo 服务注册使用了内网IP,而服务调用需要使用公网IP进行调用

一、问题描述： 使用dubbo时，提供者注册时显示服务地址ip为[内网IP:20880]，导致其他消费者在外部连接的情况下时，调用dubbo服务失败 二、解决办法 方法一、修改hosts文件 （1）. 先查询一下服务器的hostna…
阅读更多...
【动态规划刷题 13】最长递增子序列 摆动序列

【动态规划刷题 13】最长递增子序列 摆动序列

300. 最长递增子序列 链接: 300. 最长递增子序列 1.状态表示* dp[i] 表⽰：以 i 位置元素为结尾的「所有⼦序列」中，最⻓递增⼦序列的⻓度。 2.状态转移方程 对于 dp[i] ，我们可以根据「⼦序列的构成⽅式」，进⾏分类讨论&#…
阅读更多...
RabbitMQ管控台使用

RabbitMQ管控台使用

安装成功RabbitMQ后，进入到管理控制台界面 拷贝配置文件到指定目录当中然后重启RabbitMQ。
阅读更多...
FIR滤波器简述及FPGA仿真验证

FIR滤波器简述及FPGA仿真验证

数字滤波器的设计，本项目做的数字滤波器准确来说是FIR滤波器。 FIR滤波器（有限冲激响应滤波器），与另一种基本类型的数字滤波器——IIR滤波器（无限冲击响应滤波器）相对应，其实就是将所输入的信号…
阅读更多...
算法通关村第十九关——动态规划是怎么回事（青铜）

算法通关村第十九关——动态规划是怎么回事（青铜）

算法通关村第十九关——动态规划是怎么回事（青铜） 前言1 什么是动态规划2 动态规划的解题步骤3 简单入门3.1 组合总和3.2 最小路径和3.3 三角形最小路径和 4 理解动态规划 前言 动态规划是一种解决复杂问题的算法思想，它将一个大问题分解为多…
阅读更多...
Apache HTTPD 多后缀名解析漏洞复现

Apache HTTPD 多后缀名解析漏洞复现

什么是多后缀名解析漏洞加粗样式: 多后缀名解析漏洞（Multiple Extension Handling Vulnerability）指的是一种安全漏洞，发生在某些操作系统或网络服务中的文件扩展名处理机制中。 这种漏洞的本质是当文件具有多个后缀名（例如file.…
阅读更多...
l8-d12 IP协议与ethernet协议

l8-d12 IP协议与ethernet协议

一、IP协议作用和意义 分组在互联网中的传送 分组传输路径 二、IP 数据报首部格式 1.IP 数据报的格式 版本——占 4 位，指 IP 协议的版本。目前的 IP 协议版本号为 4 (即 IPv4)。 首部长度——占 4 位，可表示的最大数值是 15 个单位(一个单位为 4 字…
阅读更多...
【Spring】手动实现Spring底层机制-问题的引出

【Spring】手动实现Spring底层机制-问题的引出

🎄欢迎来到边境矢梦的csdn博文🎄 🎄本文主要梳理手动实现Spring底层机制-问题的引出 🎄 🌈我是边境矢梦，一个正在为秋招和算法竞赛做准备的学生🌈 🎆喜欢的朋友可以关注一下&#x1…
阅读更多...
【实践篇】Redis最强Java客户端(四)之Ression分布式集合使用指南

【实践篇】Redis最强Java客户端(四)之Ression分布式集合使用指南

文章目录 0. 前言1.Ression分布式集合1.1 分布式列表1.1.1 使用场景和实现原理：1.1.2 基本概念和使用方法： 1.2 分布式集合1.2.1 使用场景和实现原理：1.2.2 基本概念和使用方法： 1.3 分布式映射1.3.1 使用场景和实现原理&#xff…
阅读更多...
CSS三种样式表、样式表优先级、CSS选择器

CSS三种样式表、样式表优先级、CSS选择器

一、CSS介绍： 1.1、CSS介绍： CSS，全称是：Cascading Style Sheets，层叠样式表，用于修饰HTML页面的。 CSS编写规则如下所示： CSS编写的规则分为两部分，分别是：选择器、声…
阅读更多...
SpringMVC学习简要

SpringMVC学习简要

学习资料： SpringMVC-03-入门案例工作流程解析_哔哩哔哩_bilibilihttps://www.bilibili.com/video/BV1ZF411G7eP/?p3&spm_id_frompageDriver&vd_source4ac53f52a57eb96a3c8406b971b038ae 常用MYSQL命令：http://t.csdn.cn/zshCP 学习要求 什么是…
阅读更多...
微信小程序Day4笔记

微信小程序Day4笔记

1. 组件的创建与引用 创建组件 在项目的根目录中，鼠标右键，创建components -> test文件夹在新建的test文件夹上，鼠标右键，点击新建Component键入组件的名称之后回车，会自动生成组件对应的4个文件，后缀…
阅读更多...
《服务器无状态设计：为什么如何实现无状态API？》

《服务器无状态设计：为什么如何实现无状态API？》

🌷🍁 博主猫头虎（🐅🐾）带您 Go to New World✨🍁 🦄 博客首页——🐅🐾猫头虎的博客🎐 🐳 《面试题大全专栏》 🦕 文章图文…
阅读更多...
3.1 栈和队列的定义和特点

3.1 栈和队列的定义和特点

3.1.1 栈的定义和特点 主要内容： 3.1 栈和队列的定义和特点 3.1.1 栈的定义和特点 定义： 栈是一种特殊的线性表，只允许在一端进行插入或删除操作。这一端被称为栈顶，而另一端则称为栈底。不包含任何元素的栈被称为空栈。 特点…
阅读更多...
分布式调度 Elastic-job

分布式调度 Elastic-job

分布式调度 Elastic-job 1.概述 1.1什么是任务调度 我们可以思考一下下面业务场景的解决方案: 某电商平台需要每天上午10点，下午3点，晚上8点发放一批优惠券某银行系统需要在信用卡到期还款日的前三天进行短信提醒某财务系统需要在每天凌晨0:10分结算…
阅读更多...
Java虚拟机（JVM）解析：内存区域、类加载、垃圾回收和选型考虑

Java虚拟机（JVM）解析：内存区域、类加载、垃圾回收和选型考虑

目录 一、JVM内存区域划分 二、JVM类加载 三、JVM垃圾回收（GC） 一、JVM内存区域划分 栈堆方法区(元数据区)程序计数器 1.栈 举个例子： 那具体是怎么分的呢？如下图 本地方法栈：给JVM内部的方法准备的栈空间 虚拟…
阅读更多...
在MySQL客户端使用Tab健进行命令补全

在MySQL客户端使用Tab健进行命令补全

在MySQL客户端中，你可以使用Tab键进行命令补全，这将提高我们的效率，这与Linux命令行中的行为类似。例如，如果你输入SEL然后按Tab键，MySQL客户端会自动补全为SELECT。 然而，需要注意的是，这个功能…
阅读更多...
数据结构 - 栈

数据结构 - 栈

目录 二、栈的实现 1.数组模拟实现栈 设计思想: 方法实现: Peek(): 偷窥栈顶元素 pop(): 栈顶出栈 push(): 2.链表模拟实现 3 . 栈的继承体系 总结 前言 大家好,这篇博客带大家了解一下栈是什么? 并且用两种方式为大家实现一下栈 一、栈是什么？ 栈是一种数…
阅读更多...
npm介绍

npm介绍

npm介绍 npm（Node Package Manager的缩写）是一个软件包管理器，主要进行JavaScript的包管理。通过npm，我们可以很方便地进行JavaScript包的下载、升级，我们也可以把我们开发的JavaScript包共享给其他使用者。 在npm没…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023