文件上传漏洞初探

一、初步认识

1.上传功能：网站上各种可以上传文件，图片的地方可以被用作上传点进行非法上传

2.上传原理：在前端代码的表单中设计上传功能，将表单提交给php文件处理

表单a.html


<form action="t.php"method="post">

<input name="aaa" type="file" />

<input type="file"/>

</form>

对应的t.php


if(!isset($_FILES['aaa'])) {

echo 'file not found';

exit();

}

var_dump($_FILES['aaa'])

3.非法上传原理：如果对上传文件没有限制，则可以通过上传可执行文件或脚本达到操控服务器的目的.
如上传一个php脚本，其中包含的命令就会被执行

4.上传漏洞的防御

客户端：用js对上传文件的大小、类型、扩展名进行检测
服务器端：对文件大小、类型、路径、扩展名进行检测
设置服务器端上传类型为不可执行

5.官方总结

文件上传的目录设置为不可执行只要web容器无法解析该目录下的文件，即使攻击者上传了脚本文件，服务器本身也不会受到影响，因此此点至关重要。实际中，很多大型网站的上传应用，文件上传后会放到独立的储存上，做静态处理。但对一些小应用，如果存在上传功能，则仍需要多加关注

判断文件类型：判断文件类型时，应结合MIME Type、后缀检查等方式。推荐使用白名单，黑名单的方式已经无数次被证明不可靠。此外，针对图片处理，可以使用亚索函数或者resize函数，在处理图片的同事破坏掉图片中可能包含的HTML代码

使用随机数改写文件名和文件路径文件上传如果要执行代码，则需要用户能够访问到这个文件。在某些环境中，用户能上传，但不能访问。如果应用使用随机函数改写了文件名和路径，将极大增加攻击成本。与此同时，像1.php.rar.rar、或者1.xml这种文件，都因为文件名被改写而无法成功实施攻击

6.一句话木马原理

就是这一句话：<?php @eval($_POST['#'];)?>
原理：使用eval方法它里面的字符串将会被执行,这样当脚本在服务器端运行的时候同时也执行了 Request.form('#')+''这句代码,Request.form('#')的作用是读取客户端文件中html标记属性中name值被命名为#的部分
接下来的实验二、三的主要目的就是想办法让后缀为.php的一句话木马而不是正常的.jpg文件得到解析，因此使用各种方法绕过，总之就是要想办法上传一个披着.jpg外套的木马

二、小试牛刀

1. 再现杰奇网站漏洞环境

找到上传点：上传照片的位置

image

上传绕过

方法一：通过firebug删除前端代码中上传验证的代码

image

方法二：在firebug中修改js代码，相当于添加白名单

image

制作一句话木马并保存为yijuhua.php

image

使用中国菜刀工具链接网站并输入一句话木马中的#即可连接，获得网站的webshell

webshell是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门，在入侵了一个网站后，将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，可以达到控制网站服务器的目的。

2. MIME类型绕过漏洞

MIME:客户端软件
MIME检测原理
服务端MIME类型检测是通过检查http包的Content-Type字段中的值来判断上传文件是否合法的。

题图

上传一张进行测试，并用burp抓包查看文件类型Content-Type

如图所示图片类型为image/jpeg
再制作一个php一句话木马，尝试上传时抓包，将其中的Content-Type改为刚才图片的格式，点击forward即可上传成功！
绝强的中国菜刀，添加，连接，拿webshell

3. 文件扩展名绕过漏洞

思路
php语言还可以解析php2,php3,php4,php5这些后缀，因此可以尝试将后缀修改然后上传看是否绕过了黑名单，本实验中可用php3,php4

4. 文件内容检测绕过漏洞

尝试上传修改后缀名为jpg后的php文件发现不行，说明当前是对文件内容进行检测的
既然这样那就上burp,上传一个图片之后抓包，把包中图片的格式改为.php之后在图片文件内容后加上一句话木马<真·机智>

修改图片文件后缀为.php

在图片文件内容最后加上一句话木马

5. 空字节截断目录路径检测绕过漏洞

截断原理
空格ASCII码的16进制为20，在抓到的包中将其改为截断字符的16进制00后就会截断后续字符

在上传一句话木马1.php时抓包，在uploadimg/后加上1.php .jpg

图片.png
打开包的hex模式，找到刚才加的空格（20）的位置，将其修改为00即将空格变为了转义字符，能看到空格变成了一个方块，这样系统会认定此为一个截断字符，后续的.jpg会被截断，即将其消除掉，所以上传文件的类型依然是.php

将空格对应的20改为00

修改后变成截断字符

点击forward提交即可

简单文件上传漏洞总结
1.绕过前端验证代码
2.绕过Content-Type检测
3.通过修改后缀名绕过检测
4.通过修改文件内容添加木马绕过检测
5.通过截断字符绕过检测

一点感想
机智的人真的是太会钻空子了。。。
只要他们想就能有各种方法来做，这些简单的方法已经被玩坏了之后，他们又在想什么鬼主意？

三、解析导致的上传漏洞

IIS6.0站上的目录路径检测解析绕过上传漏洞 **

IIS：IIS(nternet Information Services)互联网信息服务，是一种Web（网页）服务组件，其中包括Web服务器、FTP服务器、NNTP服务器和SMTP服务器，分别用于网页浏览、文件传输、新闻服务和邮件发送等方面

漏洞原理：在抓到包的上传目录中加上‘1.asp/’，在解析时探测到‘ / ’之后会认为这里有截断，进而注释掉后续内容

IIS6.0站上的解析缺陷绕过上传漏洞 **

漏洞原理：IIS6.0的站在解析文件名时先找第一个' . '，找到后默认后面所有内容为后缀，随后继续解析找到 ' ; ' 之后就认为这是一个内存截断，因此不再解析后面的内容，上传的文件就被解析为.php格式
具体步骤如下：

尝试上传yi.php时用burp抓包，得到如图所示的包

抓包结果
在上传文件的目录uploading/下加一个' 1.php; '（注意这里不加在Content-Disposition下的filename中是因为IIS6.0会自动将文件名称改为时间戳），并且将Content-Disposition中的filename 改为yi.jpg（为了掩饰），这个过程就是利用了上面的漏洞原理，解析文件‘1.php;yi.jpg’（上传后就将路径和文件名合在了一起），会在找到‘；’后自动忽略后面的yi.jpg而认为这是一个php文件，这样就达到了目的。

修改后

重点！如何防御这一漏洞？？？

3. Apache站上的解析缺陷绕过上传漏洞

漏洞原理：apache会对所有文件的后缀进行设置，确定什么格式来解析，如上传后缀为.jpg的文件，就会被当作图片格式来解析，如果某个后缀没有设置解析，那么就会忽略它，如文件名为yijuhua.php.7z，apache会忽略.7z而直接按照php文件格式来解析

4. htaccess文件上传解析漏洞

还是先写好一句话木马。。。
再开一个文本文档写上下面的神奇代码，另存为文件名.htaccess的所有文件类型
AddType application/x-httpd-php .jpg

神奇代码的作用：将上传后缀名为.jpg的文件按照.php的格式来解析

先上传.htaccess文件，再将我们的一句话木马改成.jpg后缀然后上传，连接菜刀时网址为xxx/uplodimg/1.jpg

.htaccess可以上传的原因：它是apache服务器中的一个配置文件,不是上传的文件的黑名单之内 ,所以.htaccess文件是可以上传成功。