upload-labs靶场通关解密

upload-labs靶场通关解密

文件上传常见验证：

后缀名：黑名单、白名单
文件类型：MIME信息
文件头：内容头信息

一句话图片马制作

copy 1.jpg /b + 2.php /a 3.jpg

靶场全部都是图片上的验证和绕过

如下图的后端

每关删除后我都会删除上传成功的文件

第一关

本关考的内容是本地文件检测，我们只要按F12将验证删除就ok了

我们将return checkFile()函数删除，再上传php文件上传成功。

第二关

本关考的内容是服务器检测
我们继续上传php文件，进行抓包

我们看到其中有对上传文件类型的描述Content-Type
我们在网上查询到jpg的类型为image/jpeg

发包，显示上传成功了，后台查看，文件存在。

第三关

本关考的是后缀名
我们查看源码，发现它禁止了‘.asp’,‘.aspx’,‘.php’,'.jsp’文件的上传，但是我们可以上传.php3 .php4等后缀的文件，这些后缀依然可以被当作php执行

上传成功，查看后台文件存在，并且文件被改名了。

我们再看一下源码为什么改名，下面这行代码的意思是将文件重命名为时间+随机数.文件后缀的文件

第四关

本关考的是对低版本php<5.3的.htaccess

.htaccess主要的作用有：URL重写、自定义错误页面、MIME类型配置以及访问权限控制等。主要体现在伪静态的应用、图片防盗链、自定义404错误页面、阻止/允许特定IP/IP段、目录浏览与主页、禁止访问指定文件类型、文件密码保护等。

我们看到源码没有对.htaccess后缀的文件进行黑名单限制

因此我们直接上传一个.htaccess文件，内容如下

<FilesMatch "3">
# 3为文件名
SetHandler application/x-httpd-php
</FilesMatch>

然后我们上传一个图片马3.jpg，然后访问图片，马成功

注意

.htaccess文件不能起名字，他就是.htaccess文件，如果你将他改为4.htaccess或者其他的什么名字是不可以的，无法解析。如果以上操作都弄好了，还是出不来，还是去改phpstudy配置文件，其他选项菜单–打开配置文件—httpd.conf

第五关

本关是考察双写小数点（.空格.）
所以我们上传6.php. .

查看后台，上传成功

第六关

本关是考察大小写
看第六关的代码我们知道，这一关没有强制将大写转换为小写，所以我们可以上传纯大写或者大小写结合的后缀名
我们直接上传5.PHP，发现上传成功

第七关

本关是考察空格
所以我们上传6.php空格
我们抓包，在文件名后加空格

查看后台，上传成功

第八关

本关是考察小数点（小数点没有被取消）
所以我们上传6.php.

查看后台，上传成功

第九关

本关是考察::$DATA
我们上传php文件加后缀

查看后台，上传成功

第十关

第十关和第五关一样，随便玩

第十一关

本关考察的是双写后缀
查看源码，存在标识后缀就删除

我们上传6.pphphp

查看后台，上传成功

第十二关

本关是白名单考察，只容许上传什么类型的文件，但是上传路径是可以控制的

这次我们要将php版本改为5.3以下哎，并且关闭如下功能

然后上传图片马进行抓包，进行%00截断

然后访问图片，上传成功。（我这里上传了两次,第二次用的是4.php）

第十三关

本关和上一关差不多，只是将get请求换成了post请求
但是post请求需要编码（get会自行解码，post不会自行解码）(我们需要将%00进行编码)

如下编码

编码之后跟空格一样

连接图片

第十四关

文件包含漏洞
我们上传一个图片马
一句话图片马制作

copy 1.jpg /b + 2.php /a 3.jpg

我们上传后通过文件包含漏洞进行执行
首先正常上传图片马

我们打开后台查看后台保存的图片信息，复制文件名

然后我们点开文件包含漏洞，查看函数

通过函数我们得知，我们需要指定文件地址进行执行，所以我们输入图片位置

?file=upload/后台图片名.jpg

使得图片通过php代码进行执行

第十五关

查看源码，getimagesize（）获取图像信息，如果不是图片信息，那么就不会执行成功
跟十四、十五、十六、十七关都差不多，都是通过不同的函数
上传正常的图片马

第十六关

exif_imagetype（）函数
十四、十五、十六、十七关都差不多，都是通过不同的函数
上传正常的图片马

第十七关

十四、十五、十六、十七关都差不多，都是通过不同的函数
上传正常的图片马

if((KaTeX parse error: Expected 'EOF', got '&' at position 19: …eext == "jpg") &̲& (filetype==“image/jpeg”)){
if(move_uploaded_file($tmpname,$target_path)){

第十八关

逻辑问题:二次渲染（一般存在于可以保存、删除操作的位置）
imagecreatefromjpeg（）函数

目前很多网站都会对用户上传的图片再次压缩、裁剪等渲染操作（如PHP中的imagecreatefromjpeg()等函数），所以普通的图片马都难逃被渲染的悲剧。

正常上传应该先将文件进行修改（重命名），再进行上传渲染，但是本关是先进行上传到服务器，当作临时文件，这个时候渲染文件，重命名、修改保存位置，然后删除，然后在修改的过程就可以访问成功。（正常的话，不断发包，让他某一次没有重命名成功就算成功了）（渲染文件后，一般我们的php代码就会被除去）

所以我们上传一个php脚本进行抓包

我们将他发给测试器，让他重复发包，线程10，开始攻击

这时我们访问图片马upload-labs-master/shell.php，是有概率访问到的
我没有访问到，但是在后台文件里面，它存在的那一瞬间我进行了截图，证明注入成功了

第十九关

跟上一关应该一样，没有测试

第二十关

发现move_uploaded_file()函数中的img_path是由post参数save_name控制的，因此可以在save_name利用00截断绕过，我们上传文件进行抓包

我们通过%00进行截断绕过

我们将%00进行编码，上传文件

查看后台，上传成功

第二种方法
move_uploaded_file()有这么一个特性，会忽略掉文件末尾的 /.
所以我们抓包修改后缀（上传图片马）

查看后台，上传成功

第二十一关

算了，直接上方法，我今天没懂，听懂了再解释

我解释一下它的代码意思
当你点击后
文件的名字加后缀会被获取，然后文件的名字会通过小数点进行分割成数组
正常情况下filename[0]=upload-20 filename[1]=jpg
我们实际上传的情况下filename[0]=upload-20.php/ filename[1]=jpg
因此我们就完美绕过黑白名单检查
接下来不管怎么结合后缀，只要名字不变，后加的后缀都会被/符号除去
所以就保证了文件被执行为php

直接上传图片马，进行抓包，修改成如下包，上传就成功了