网络安全进阶学习第五课——文件上传漏洞

文章目录

一、常见文件上传点

大部分的网站和应用系统都有上传功能，如用户头像上传，图片上传，文档上传等。

二、任意文件上传漏洞

由于对上传文件

未作过滤

或

过滤机制不严（文件后缀或类型）

，导致恶意用户可以上传

脚本文件

，通过上传文件可以达到控制网站权限的目的。

三、任意文件上传危害

攻击者可获得网站控制权限；
查看、修改、删除网站数据；
通过提权漏洞可获得主机权限。

四、webshell

一种网页后门，以以asp、php、jsp或者cgi等网页文件形式存在的一种

命令执行环境

，也可以将其称做为一种

网页后门

。

黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。

常见的一句话木马：

PHP的一句话木马：<?php @eval($_POST[‘pass’]);?>
ASP的一句话木马：<%eval request(“pass”)%>
ASPX的一句话木马：<%@ Page Language=”Jscript”%>``````<%eval(Request.Item[“pass”],”unsafe”);%>

五、上传木马所需条件

概念利用文件上传漏洞，通过向服务端提交一句简短代码或木马，配合本地客户端（菜刀、蚁剑等工具）实现webshell功能

满足这三个条件，攻击者就能够成功入侵：

木马上传成功，未被杀；
知道木马的路径在哪；（假如不知道上传文件的路径在哪里，可以： - 爆破/遍历。- 让程序报错，例如乱修改URL或者随意输入一个不存在的路径）
上传的木马能正常运行（解析）。

六、木马上传流程

客户端JavaScript前端检测（几乎可以忽略）
服务器端MIME类型检测
服务端目录路径检测
服务端文件扩展名检测
服务端文件内容检测

部分网站带有文件上传功能，如果这个功能不做过滤，则能够上传任意文件至服务器。利用这个功能上传木马至服务器，则能够控制对应的服务器。

木马上传成功后返回包一般会返回上传木马的路径和文件名。若上传的是一句话木马，用菜刀或者C刀就可以控制服务器。

七、上传绕过

1、绕过JS验证

1）Burpsuite剔除响应JS。

对于JS前端验证，直接删除掉JS代码之后就可以绕过JS验证。
在这里插入图片描述

2）浏览器审计工具剔除JS

利用浏览器的审查工具剔除JS之后，保存为新文件然后进行文件上传。
在这里插入图片描述

2、绕过MIME-Type验证

1）利用抓包工具，拦截请求包

修改数据包请求中的Content Type字段，然后再发送出去。
在这里插入图片描述

2）MIME-Type类型

链接: 常见的MIME-Type类型与文件后缀名

3）验证MIME-Type代码分析

查看源代码分析使用 $_FILE[‘upload_file’][‘type’] 获取上传文件的MIME-Type类型。其中upload_file是在表单中定义的。（该验证方式主要是检测请求包里面的类型字段）
在这里插入图片描述

3、绕过黑名单验证

1）文件后缀名验证

基于文件后缀名验证介绍：对于文件上传模块来说，尽量避免上传可执行的脚本文件。为了防止上传脚本需要设置对应的验证方式。最简单的就是设置文件后缀名验证。
基于文件后缀名验证方式的分类：- 基于白名单验证：只针对白名单中有的后缀名，文件才能上传成功。- 基于黑名单验证：只针对黑名单中没有的后缀名，文件才能上传成功。

简单来说就是我将一个后缀名乱七八糟test.sfasdfklsd的文件进行上传，假如能够上传成功，说明该处设置了黑名单验证，如果不能上传成就说明该处设置了白名单验证。

2）基于黑名单验证代码分析

对于黑名单中的后缀名筛选。绕过黑名单可以通过寻找“漏网之鱼”，寻找某些可以被作为脚本执行同时也不在黑名单中。
在这里插入图片描述
我们可以使用Burpsuite绕过黑名单验证，利用Burpsuite工具截断HTTP请求，利用Intruder模块进行枚举后缀名，寻找黑名单中没有过滤的后缀名。

3）.htaccess文件

（针对Apache）

htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。

其中

.htaccess

文件对应的MIME-Type类型：
SetHandler application/x-httpd-php

设置

当前目录

所有文件都使用PHP解析，那么

无论上传任何文件，只要文件内容符合PHP语言代码规范，就会被当作PHP执行

。不符合则报错。

前提

：Apache中允许使用 .htaccess 的配置文件（默认是开启的）
在Apache中如果需要启动 .htaccess，必须在http.conf中设置 AllowOverride
在这里插入图片描述

注意：

.htaccess 的配置文件一般是无法在桌面上创建的，这时候就可以使用Burp抓包来直接修改上传文件的配置名。
在这里插入图片描述

4）大小写绕过

Windows系统下，对于文件名中的大小写不敏感。例如：test.php和TeSt.PHP是一样的。
Linux系统下，对于文件名中的大小写敏感。例如：test.php和 TesT.php就是不一样的。

5）user.ini文件绕过

先上传一个.user.ini文件【用户自定义的配置文件】，内容为：auto_prepend_file=1.gif
再上传一个1.gif文件，内容为木马；
最后在浏览器访问一个在当前目录下的随意一个php文件（必须存在），就能间接的访问了该以1.gif命名的木马了。

注意：

这里在当前目录下必须存在php文件；
目标的php版本有要求，php要带nts版本；
允许上传 .ini 文件；

这里很多人会想，在真实环境岂不是很鸡肋，毕竟一个不允许上传php文件的路径怎么可能会存在php文件？这里其实我们可以直接使用burp把上传的路径给改了的，让它上传到一个有php文件的路径。

6）空格绕过

绕过原理：

Windows系统

下，对于文件名中空格会被作为空处理，程序中的检测代码却不能自动删除空格。从而绕过黑名单。

7）

号绕过

绕过原理

Windows系统

下，文件后缀名最后一个点会被自动去除。

8）特殊符号绕过

绕过原理

Windows系统

下，如果上传的文件名中

test.php::$DATA

会在服务器上生成一个test.php的文件，其中内容和所上传文件内容相同，并被解析。

例如：
在Windows系统下新建一个文件名为 1.php::$DATA的文件，查看效果。但是在Window下新建的文件名中包含特殊符号不能成功新建。
在这里插入图片描述

9）路径拼接绕过

绕过原理
在没有对上传的文件进行重命名的情况下，用户可以自定义文件名并在服务器中上传新建，就会造成对应的绕过黑名单。

例如：
用户新建

1.php.+空格+.

deldot删除最后一个点之后，不再进行删除，trim删除空格，那么最终上传的文件名为 1.php.。利用

Windows

自动去除最后一个点，导致成功上传1.php。

10）双写绕过

绕过原理
代码编写过程中，只对黑名单中的内容进行空替换，因为只替换一次所以造成双写绕过。

例如：
1.phphpp

4、白名单绕过(00截断)

00截断原理：
0x00是

十六进制

表示方法，是ascii码为0的字符，在有些函数处理时，会把这个字符当做结束符。

系统在对文件名的读取时，如果遇到0x00，就会认为读取已结束。

在PHP5.3之后的版本中完全修复了00截断。

并且00截断受限与GPC，addslashes函数。

GET型00截断 GET型提交的内容会被自动进行URL解码。
POST型00截断在POST请求中，%00不会被自动解码，需要在16进制中进行修改00.

5、文件包含漏洞绕过

在PHP中，使用

include

、

require

、

include_once

、

require_once

函数包含的文件都会被当作PHP代码执行，无论文件的名称是什么，只要符合文件内容符合PHP代码规范，都会被当作PHP代码执行。

利用存在文件包含的PHP页面，包含上传的图片木马，从而触发木马。

6、文件内容检测绕过

1）文件幻数（文件头）检测绕过：

通过正则匹配判断文件幻数（文件头）内容是否符合要求，一般为白名单检测，常见的文件头（文件头标志位）如下：

.JPEG .JPE .JPG ：“JPGGraphicFile”（FFD8FFFE00）
.gif：”GIF89A”（474946383961）
.zip：”ZipCompressed”（504B0304）
.doc .xls .xlt .ppt .apr：“MSCompoundDocumentv1orLotusApproachAPRfile”（D0CF11E0A1B11AE1）

一般是在木马文件头部插入对应的文件头内容，比如GIF89A等，伪装成图片马。
图片马制作方法：

直接在木马文件的头部添加GIF89A等字母；
直接在图片文件中添加payload（易造成图片损坏）；
使用cmd命令，copy tupian.jpg /b + muma.php /a muma.jpg
使用edjpgcom等工具制作；

2） getimagesize()检测绕过

getimagesize()函数会读取目标文件的16进制，验证目标文件16进制的头几个字符串是否符合图片的要求，通过此函数判断文件类型。故可以使用图片马进行绕过。

源码：
在这里插入图片描述

3） exif_imagetype()检测绕过

exif_imagetype()函数是用来读取文件的第一个字节并检查其签名，即通过文件头判断文件类型。所以与getimagesize()函数检测一样，可使用图片马进行绕过。

7、竞争条件绕过

文件上传过程介绍
在这里插入图片描述

竞争条件原理介绍
网站逻辑：
网站允许上传任意文件，

临时保存在服务器

，然后检测上传的文件是否符合上传的条件，符合就重命名该文件并保存，不符合就删除。

在删除之前，访问上传的php文件，从而执行上传文件中的php代码。

简单来说就是，不断（大量）上传文件，同时也不断（大量）尝试请求访问该文件，

利用时间差

去赌服务器线程来不及删除文件然后成功访问并执行的可能性，从而实现先木马上传。

例如，上传文件代码如下：

<?php fputs(fopen('shell.php','w'),'<?php phpinfo(); ?>'); ?>

该代码是生成一个名叫shell.php的PHP文件，内容是一句话木马。

源码：
在这里插入图片描述

上传逻辑 1.通过 move_uploaded_file($temp_file, $upload_file）移动上传的文件； 2.上传完毕后通过in_array($file_ext,$ext_arr)检查文件名后缀是否在白名单中； 3.若后缀合法，则对文件进行重命名（rename），上传完成； 4.若后缀非法，则删除文件。

8、脏字符绕过

脏字符参数填充的地方，from-data 后面，或者，内容脏字符绕，当然内容脏字符绕过还是需要考虑一下语言注释符常见如jsp<!–注释内容–> php /**/ ，当waf检测内容数据包过大时，可能会放行。

9、文件路径修改绕过

木马文件上传成功，但是不解析，看请求包是否存在有指定上传路径
在这里插入图片描述

利用

../

回溯，上传到根目录
在这里插入图片描述

成功链接木马
在这里插入图片描述

10、HPP漏洞绕过

1）HPP漏洞

HPP 是 HTTP Parameter Pollution 的缩写，意思即“ HTTP 参数污染 ”。这个漏洞由 S.di Paola 与 L. Caret Toni 在 2009 年的 OWASP 上首次公布。这也是一种注入型的漏洞，攻击者通过在HTTP请求中插入特定的参数来发起攻击。如果Web应用中存在这样的漏洞，可以被攻击者利用来进行客户端或者服务器端的攻击。通过 HPP 参数污染可以实现绕过 waf 来进行攻击。

2）漏洞原理

浏览器与服务器进行交互时，浏览器提交 GET/POST 请求参数，这些参数会以 “名称-值对” 的形式出现。通常在一个请求中，同样名称的参数只会出现一次，

但是在 HTTP 协议中是允许同样名称的参数出现多次的

。

GET /foo?par1=val1&par2=val2 HTTP/1.1
User-Agent: Mozilla/5.0
Host: Host
Accept:*/*

如上面的 HTTP 请求，在跟服务器交互的过程中，HTTP 协议允许 GET/POST 请求多次传同一参数值。

但是不同的服务器处理方式会不一样，比如必应搜索引擎，如果输入了两次查询参数q，第二次输入的参数值将覆盖第一次输入的参数值：
在这里插入图片描述

但是对于谷歌搜索引擎，则会将两次输入的参数值进行拼接而没有覆盖：
在这里插入图片描述
从上面可以看到，如果同时提供2个搜索的关键字参数给 Google，那么 Google 会对2个参数都进行查询；但是必应则不一样，它只会处理后面一个参数。服务列表

下面这个表简单列举了一些常见的 Web 服务器对同样名称的参数出现多次的处理方式：
在这里插入图片描述

3）漏洞利用

在HPP中最典型的的例子就是 “双文件上传” 。

1、如下例子，可以看到 filename 参数写了两次，可能绕过一些上传限制：
在这里插入图片描述

2、也可以尝试直接多加一个 filename（HPP）：
在这里插入图片描述

3、或者直接多个 Content-Disposition：
在这里插入图片描述

4、同时可以上传一个正常图片文件+一个木马文件尝试绕过：

------61234564788
Content-Disposition: form-data; name="FileName"; filename=“1.png”

图片内容 
------61234564788
Content-Disposition: form-data; name="FileName1"; filename=“1.php”

木马内容
------61234564788--

八、防护措施

检测的重点放在文件内容检测
路径/扩展名检测一定要用白名单
不能有本地文件包含漏洞
随时注意更新Web应用软件

九、靶场演示

链接: 文件上传靶场upload-labs通关
链接: 靶场练习——SDcms文件上传漏洞靶场

标签： web安全学习

本文转载自: https://blog.csdn.net/p36273/article/details/131508674
版权归原作者 p36273 所有，如有侵权，请联系我们删除。