upload-labs通关手册（10-20）加代码审计

---

前言

上篇博文记录了1-9关的通关手册，这篇文章我们记录一下10-20关的通关手册

二、通关手册

pass-10（黑名单之双后缀名绕过）

源码如下

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = UPLOAD_PATH.'/'.$file_name;        
        if (move_uploaded_file($temp_file, $img_path)) {
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

源码分析

$file_name = str_ireplace($deny_ext,"", $file_name);
如果有发现有禁止的后缀名就把他换为空

通关方法

先上传2.php

发现上传了一个2却没有后缀的文件而我们要求的是要上传带有’.php’后缀的文件以达到可以执行代码的目的

考虑到这里的源代码中对黑名单转换空格只有一次所以我们想到了写多次达到绕过的目的

这样当‘pphphp’中间的’php‘被替换成空格之后前后的就会有组成一个php达到上传效果

---

pass-11（白名单之GET%00截断绕过）

源码如下：

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

源码分析

$file_ext=substr($_FILES['upload_file'['name'],strrpos($_FILES['upload_file']['name'],".")+1);

这里的含义是验证命名里有没有多个点，并进行循环验证
然后将文件名于白名单中的规定后缀进行对比如果有就进行上传反之上传失败

通关手册

这里对环境有要求：php版本要小于5.3.4，5.3.4及以上，magic_quotes_gpc需要为OFF状态

$img_path=$_GET['save_path']."/".rand(10,99).date("YmdHis").".".$file_ext;

当输入路径为?save_path=../upload/1.php%00时
这是系统生成的路径为../upload/1.php%0012313332341.jpg
而%00的作用是截断所以最终保存路径就为:…/upload/1.php

note:这里的%00是相对地址而存在的

---

pass-12（白名单之POST%00绕过）

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }
    } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

源码分析

$img_path=$_POST['save_path']."/".rand(10,99).date("YmdHis").".".$file_ext;

这一关是采用POST上传这里的上传路径就不是在地址中的数据

通关方法

post提交的话抓包后路径在下面中不在包的头部


这里输入%00后要对其url编码然后在对其上传

pass-13（文件头检测+文件包含漏洞）

源码如下：

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

源码分析

对文件头进行验证

$fileType = ‘jpg’;
$fileType = ‘png’;
$fileType = ‘gif’;
$fileType = ‘unknown’;

通关方法

这道题并不是直接上传后门而是利用到了文件包含漏洞
在图片中加上后门代码然后上传图片


上传图片后就会赋值给file然后包含是里面的php代码可以执行

pass-14（文件检测+文件包含漏洞）

源码如下：

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

源码分析

$info = getimagesize($filename);

这里的验证用的是getimagesize函数
这里如果上传的不是图片就不会返回值后面代码就无法执行所以就对文件的后缀进行了限制

通关方法

这里方法就和上一关一致

pass-15（文件头检测+文件包含漏洞）

源码如下

function isImage($filename){
    //需要开启php_exif模块
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

源码分析

$image_type = exif_imagetype($filename);

这里用到了exif_imagetype()函数只接受图片中的信息所以也可达到对文件头的检测效果

通过方法

这个关卡的通过方法也和上面关卡通关方法一致

---

pass-16（文件头检测+文件包含漏洞）

源码如下：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=UPLOAD_PATH.'/'.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }

    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefrompng($target_path);

            if($im == false){
                $msg = "该文件不是png格式的图片！";
                @unlink($target_path);
            }else{
                 //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);

                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上传出错！";
        }

    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上传的图片生成新的图片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "该文件不是gif格式的图片！";
                @unlink($target_path);
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);

                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上传出错！";
        }
    }else{
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
    }
}

源码分析

$im = imagecreatefromjpeg($target_path); $im =imagecreatefrompng($target_path); $im =imagecreatefromgif($target_path);
这三句代码也是实现对文件头的验证

通关方法

也是上传图片配合文件包含漏洞

pass-17（二次渲染）

源码如下：

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上传出错！';
    }
}

源码分析

二次渲染:上传之后已经上传后中间还会有操作的一个步骤之后再上传服务器已完成图片的放大缩小，这里就存在验证处于第一步还是第二部的逻辑漏洞

if(move_uploaded_file($temp_file, KaTeX parse error: Expected '}', got 'EOF' at end of input: …)){if(in_array(file_ext,$ext_arr)){

第一句是将文件移动到upload_file并对其进行检测
在观察上面的代码发现在没有验证的操作下就进行了文件转移之后才进行后缀检测所以这里就有了上传漏洞

通关方法

由于在第二次上传之前我们其实已经成功上传过了文件且这次上传过程并没有检测操作所以我们就可以直接上传一个php文件然后通过条件竞争而是后面检测上传服务器的操作失效
条件竞争：比如我们在删除一个文件时如果这个文件正打开的我们就无法对其进行删除操作，所以我们多次（可以用bp不断发包上传）上传php文件后我们用浏览器不断访问$upload_file = UPLOAD_PATH . $file_name;这个源码所产生的地址，当上传的同时我们如果正好访问这个文件我们就会占用到这个文件而使其无法进行之后的操作

这里如果第一次上传之前就进行了检测二次渲染这个技术就没有漏洞无法通过条件竞争绕过

---

pass-18（二次渲染+条件竞争）

---

pass-19（文件夹绕过）

源码如下：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

源码分析

 $file_name = $_POST['save_name']  if (move_uploaded_file($temp_file,
 $img_path)) {

这里上传文件最后保存是于save_name有关的而save_name又是post上传的进而我们就可以对其操作

通关方法

（1）move_uploaded_file()函数中的img_path是由post参数save_name控制的，可以在save_name利用%00截断
注意php版本低于5.3

（2）move_uploaded_file()有这么一个特性，会忽略掉文件末尾的 ‘/.’，当我们将文件名改为.php/.时会认为时在.php文件夹下保存一个.的文件而函数又会在读取时忽略掉./所以就达到了绕过的目的

---

pass-20（白名单之数组绕过）

源码如下：

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

源码分析

 $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {

这里end时截取后缀名的操作
然后ext于allow_suffix对比验证

 $file_name = reset($file) . '.' . $file[count($file) - 1]

这行代码中reset就是截取文件名后缀前面的，然后文件名加.在加后缀
count会将一个文件分为数组

eg.123.php 就会分为3个数组
x[0]=‘123’
x[1]=’.’
x[2]=‘php’

而这里count（$file），file有三个数组，而我们知道数组和序号时有一的差距，比如x[2]其实对应的是第三个，所以我们这里就要’count[$file]-1‘获取到的就是x[2]也就是后缀

通关方法

这里当我们上传.php/.是就会显示禁止上传该后缀文件

if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";

到达这一步因为这里是白名单限制上一关卡是黑名单显示可以达到绕过而这里就不行
这里就考虑采用一个数组绕过的方法

这里save_nme[0]=‘upload.php’,save_name[1]=’’ ",save_name[2]=‘jpg’,然后通过 $file_name = reset($file) . '.' . $file[count($file) - 1];通过 $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];，如果为空就执行$_FILES['upload_file']['name']，反之执行后一句file=save_name,这里的$file就为3,count($file)-1就为file[2]也就是空所以我们上传的因改为20.php