文件上传-.user.ini的妙用

    小伙伴们大家好！本期为大家带来的是.user.ini在文件上传漏洞中的妙用。

.user.ini

自 PHP 5.3.0 起，PHP 支持基于每个目录的 .htaccess 风格的 INI 文件。此类文件仅被 CGI／FastCGI SAPI 处理。此功能使得 PECL 的 htscanner 扩展作废。如果使用 Apache，则用 .htaccess 文件有同样效果。

.user.ini的妙用原理

.user.ini中两个中的配置就是auto_prepend_file和auto_append_file。这两个配置的意思就是：我们指定一个文件（如1.jpg），那么该文件就会被包含在要执行的php文件中（如index.php），相当于在index.php中插入一句：require(./1.jpg)。这两个设置的区别只是在于auto_prepend_file是在文件前插入，auto_append_file在文件最后插入。

利用.user.ini的前提是服务器开启了CGI或者FastCGI，并且上传文件的存储路径下有index.php可执行文件。

利用.user.ini的环境

有时候我们进行文件上传的时候，站点不仅在前端做了白名单处理，还在后端做了黑名单处理以及文件类型的检验且服务器没有配置"AddType application/x-httpd-php .php .phtml"，这时我们就不能通过简单的绕过前端验证修改数据包的Content-Type并将文件后缀改为phtml以此来利用文件上传漏洞。

这时我们就需要利用.user.ini进行配合，使得我们上传的图片格式的webshell也能够被解析，以此成功利用漏洞拿到shell权限。

实战演示

我这里是自己写了两段代码，使用phpstudy搭建的一个nginx+mysql的环境，然后也开启了fastCGI。

源码：

5.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>.user.ini的妙用</title>
</head>
<body>
<script type="text/javascript">
    function selectFile(file) {
        var filename = file.value;
        var mime = filename.toLowerCase().substr(filename.lastIndexOf("."));
        if (mime != ".png") {
            alert("请选择png格式的照片上传");
            file.outerHTML = file.outerHTML
        }
    }
</script>
<center>
    <form action="file05.php" method="post" enctype="multipart/form-data">
        <label for="file">请上传png格式图片:</label>
        <input type="file" name="file" id="file" onchange="selectFile(this)"/><br/>
        <input type="submit" name="submit" value="上传" />
    </form>
</center>
</body>
</html>

file05.php

<?php
header('Content-type:text/html;charset=utf-8');
if ($_FILES["file"]["error"] > 0) {
    echo "Return Code:" . $_FILES["file"]["error"] . "<br/>";
} else {
    $info = pathinfo($_FILES['file']['name']);
    $ext = $info['extension'];
    if ($_FILES['file']['type'] != "image/png" || !getimagesize($_FILES['file']['tmp_name']) || strtolower($ext) == "php") {
        echo "<center><br/>";
        exit("请上传png格式的文件");
        echo "</center>";
    }
    echo "<center><br/>";
    echo "upload: " . $_FILES["file"]["name"] . "<br/>";
    echo "type: " . $_FILES["file"]["type"] . "<br/>";
    echo "size: " . ($_FILES["file"]["size"] / 1024) . "KB<br/>";
    echo "Temp file: " . $_FILES["file"]["tmp_name"] . "<br/>";
    if (file_exists("upload/" . $_FILES["file"]["name"])) {
        echo $_FILES["file"]["name"] . " already exists. ";
    } else {
        move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
        echo "Stored in: " . "upload/" . $_FILES["file"]["name"];
    }
    echo "</center>";
}