Upload-labs 1-5

最新推荐文章于 2025-05-14 20:31:51 发布

「已注销」

最新推荐文章于 2025-05-14 20:31:51 发布

阅读量193

点赞数

CC 4.0 BY-SA版权

分类专栏：靶场

本文链接：https://blog.csdn.net/qq_45808659/article/details/105755240

靶场专栏收录该内容

6 篇文章

订阅专栏

本文探讨了多种绕过Web应用中文件上传限制的方法，包括利用黑名单漏洞、特殊文件名和.htaccess配置，以实现非授权文件类型的上传。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Pass1

首先分析源码，只允许.jpg、.png、.gif格式
在这里插入图片描述
我们修改要上传的webshell.php为webshell.jpg，然后使用burp抓包修改为.php,然后点击forward放行
打开蚁剑，输入地址

Pass2

首先分析源码，规定请求数据中的content-type类型必须为image/jpeg
在这里插入图片描述

使用burp抓包进行修改在这里插入图片描述

Pass3

源码：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        #strrchr将条件以及后面的内容保留
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

分析函数

strrchr
将条件以及后面的内容保留
语法：strrchr(string,char)

str_ireplace
语法： str_ireplace(find,replace,string,count)

trim函数
语法： trim(string,charlist)

绕过：

限制了脚本后缀，尝试黑名单绕过：
在这里插入图片描述
把webshell.php更改为webshell.php3
然后上传，右击方框，在新标签中打开

黑名单绕过

1.文件大小名绕过 windows 后缀名不区分大小写
2.名单列表绕过
php可以用php3 phtml来代替
3.特殊文件名绕过
可以在后缀名中加上.或_，在windows中其会自动去掉
4.0x00截断
5.空格绕过
6.末尾加. (.在windows中会自动删去)
php在window的时候如果文件名+":: $D A T A " 会把 : :$ DATA之后的数据当成文件流处理,不会检测后缀名.且保持"::$DATA"之前的文件名
他的目的就是不检查后缀名

pass4

查看源码，限制了更多的后缀
在这里插入图片描述
有：

“.php”,".php5",".php4",".php3",".php2",“php1”,".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",“pHp1”,".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf"
但是没有限制htaccess文件
新建一个1.htaccess文件，内容为AddType application/x-httpd-php .jpg
使用burp抓包，删除名称里面的1，然后上传，

在这里插入图片描述

然后上传webshell.jpg,转到地址

.htaccess

.htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能IIS平台上不存在该文件，该文件默认开启，启用和关闭在httpd.conf文件中配置。

构造.htaccess文件，内容如下:AddType application/x-httpd-php .jpg
这里代码的意思可以让 .jpg后缀名文件格式的文件名以php格式解析，因此达到了可执行的效果。所以我们可以把要上传的php文件的后缀名改为.jpg格式从而绕过

pass5

检查源码

“.php”,".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess"

所有都被列入黑名单
但是并没有像第四关一样转换为小写
在这里插入图片描述
将webshell.php命名为webshell.PHP即可绕过