upload-labs17关详解

1.源码分析：

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

源码采用白名单限制后缀名只允许三种上传类型

jpg','png','gif'

2.漏洞原理分析

if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';

 原理思路：此处代码先将文件移动到了上传目录然后再进行检查判断，此时我们便产生攻击思路，我们可以利用程序窗口期，程序是先上传再分析，我们可以多次重复进行上传，一边利用工具重复上传，一边再持续访问，利用程序的窗口期在未将错误文件删除之前就将其访问到，此时该文件就会生效。这就涉及到条件竞争

漏洞多发地及防范手段：这种漏洞还多发生在电商的订单系统，假如数据库使用的时MySQL，则可以使用MySQL的锁来进行防范，在提交订单后立马将该进程上锁，防止别的进程访问该进程。 注意：利用MySQL的事务是无法防范该漏洞的！！！    

将包发送到intruder模块进行持续发包

之后可以看到成功上传到目录中，该文件会一直闪烁，因为上传后经过检测会自动删除