Upload-labs通关指南(下) 11-20

承接上篇,这次我们继续做下半部分。

有些题目有其他做法是针对于windows系统特性的，并不能在linux上奏效，因此不在考虑范围之内。

Pass-11

制作图片马直接上传

copy a.jpg /a + b.php /b c.jpg

或者使用%00截断

Pass-12

同11，将%00进行url编码

Pass-13

制作图片马进行上传

Pass-14

直接上传前面题目用过的图片马提示文件类型未知，此时我们的抓个包看看情况

发现并不是MIME拦截，猜测是检测文件头，我们在文件内容前加上GIF89a伪装直接绕过。

Pass-15

方法同14

Pass-16

经过上面两题的操作之后仍然提醒我们不是jpg格式的文件。怀疑不止检测了文件头，还检测了文件内容。初步怀疑是文件内容被识别过滤。尝试上传一个空内容的图片马，仍然不可行。接着我们分析空内容的图片马和普通图片的区别，判断是对图片进行了二次压缩。我们找一个已经经过二压但仍然存在木马的图片进行上传直接绕过。

Pass-17

此题可以直接用图片马搞定。
但是我们看这道题的提示，其实并不是让我们用这种方法。提示我们进行代码审计，通过查看提供的源代码，发现使用ulink删除文件，流程：先让你传文件，传到服务器上了，再进行判断，不符合就删除。
因此我们竞争上传。丢进burp进行暴力上传，让木马文件来不及被删除。

Pass-18

图片马也能搞定。
经代码审计，如果看到代码中出现.7z .zip .rar .gz这种压缩类型的文件，php有可能会自动解压
如果发现目标需要给文件重命名，可以使用竞争上传的原理，快速提交x.php.7z会来不及被重命名，并且可以被当作php执行。

Pass-19

%00截断

Pass-20

此题来源CTF，源代码如下

$is_upload = false;

$msg = null;

if(!empty($_FILES['upload_file'])){

    //检查MIME

    $allow_type = array('image/jpeg','image/png','image/gif');

    if(!in_array($_FILES['upload_file']['type'],$allow_type)){

        $msg = "禁止上传该类型文件!";

    }else{

        //检查文件名

        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];

        if (!is_array($file)) {

            $file = explode('.', strtolower($file));

        }

        $ext = end($file);

        $allow_suffix = array('jpg','png','gif');

        if (!in_array($ext, $allow_suffix)) {

            $msg = "禁止上传该后缀文件!";

        }else{

            $file_name = reset($file) . '.' . $file[count($file) - 1];

            $temp_file = $_FILES['upload_file']['tmp_name'];

            $img_path = UPLOAD_PATH . '/' .$file_name;

            if (move_uploaded_file($temp_file, $img_path)) {

                $msg = "文件上传成功！";

                $is_upload = true;

            } else {

                $msg = "文件上传失败！";

            }

        }

    }

}else{

    $msg = "请选择要上传的文件！";

}

这道题是一个比较简单的代码审计，发现验证了MIME，文件后缀名。
首先end函数取post传参数组中的最后一个值，

$file_name = reset($file) . '.' . $file[count($file) - 1]

我们可以post一个参数名为一个[0]一个[2]，然后 file[count(file) - 1]就为空，[file_name最终就为reset(file)即$file[0]，就可以绕过判断。

总结

文件上传在实际应用过程中并没有源代码给你参考，需要根据错误提示和试错来摸清waf的规则，图片马相对来说是一个比较简单和奏效的方法，我们一般可以通过MIME绕过、修改文件头、后缀、内容免杀来绕过大多数的过滤。但是单纯的文件上传常需要配合文件包含来进行更近一步的操作。