搜索

[18132] 2020-09-05_文件上传和解析漏洞的整理

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-05_文件上传和解析漏洞的整理 文 件 上 传 和 解 析 漏 洞 的 整 理 让 开 尼 姑 是 我 的   H A C K 之 道   2 0 2 0 - 0 9 - 0 5 简 述 简 述 自 己 学 习 ， 文 件 上 传 & 解 析 漏 洞 的 整 理 ， 大 佬 绕 过 免 责 声 明 免 责 声 明 不 可 对 未 授 权 的 网 站 进 行 测 试 ， 仅 可 在 靶 场 上 练 习 ， 否 则 后 果 自 负 文 件 上 传 概 述 文 件 上 传 概 述 文 件 上 传 是 个 很 强 势 的 一 个 漏 洞 ， 你 想 想 ， 如 果 可 以 上 传 文 件 ， 没 有 对 文 件 进 行 过 滤 ， 那 么 我 们 是 不 是 就 可 以 上 传 木 马 病 毒 ， 那 么 木 马 可 以 干 嘛 ， 木 马 可 以 获 取 服 务 器 的 绝 对 权 限 ， w e b s h e l l ， 所 以 若 网 站 有 文 件 上 传 的 功 能 ， 对 用 户 所 上 传 的 文 件 做 限 制 必 须 要 谨 慎 谨 慎 再 谨 慎 的 文 件 上 传 发 生 原 理 文 件 上 传 发 生 原 理 有 个 鬼 原 理 啊 ， 无 非 就 是 在 正 常 的 上 传 功 能 的 地 方 ， 有 些 人 恶 意 上 传 了 带 有 恶 意 代 码 的 文 件 ， 而 服 务 器 又 出 现 漏 洞 ， 可 以 解 析 包 含 恶 意 代 码 的 文 件 ， 恶 意 代 码 中 有 获 取 w e b s h e l l 的 权 限 ， 从 而 导 致 服 务 器 的 s h e l l 被 恶 意 的 人 所 控 制 P H P 文 件 上 传 常 用 的 函 数 文 件 上 传 常 用 的 函 数 一 、 获 取 前 端 所 上 传 的 文 件 信 息 一 、 获 取 前 端 所 上 传 的 文 件 信 息 1 .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ]   -   上 传 文 件 的 名 称 2 .   $ _ F I L E S [ " f i l e " ] [ " t y p e " ]   -   上 传 文 件 的 类 型 3 .   $ _ F I L E S [ " f i l e " ] [ " s i z e " ]   -   上 传 文 件 的 大 小 ， 以 字 节 计 4 .   $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ]   -   存 储 在 服 务 器 的 文 件 的 临 时 副 本 的 名 称 5 .   $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   -   由 文 件 上 传 导 致 的 错 误 代 码 二 、 文 件 处 理 函 数 二 、 文 件 处 理 函 数 1 .   f o p e n ( )   函 数 用 于 在   P H P   中 打 开 文 件
2 .   f c l o s e ( )   函 数 用 于 关 闭 打 开 的 文 件 3 .   f e o f ( )   函 数 检 测 是 否 已 到 达 文 件 末 尾 （ E O F ） 4 .   f g e t s ( )   函 数 用 于 从 文 件 中 逐 行 读 取 文 件 。 5 .   f g e t c ( )   函 数 用 于 从 文 件 中 逐 字 符 地 读 取 文 件 。 6 .   i s _ u p l o a d e d _ f i l e ( )   函 数 判 断 指 定 的 文 件 是 否 是 通 过   H T T P   P O S T   上 传 的 。 7 .   m o v e _ u p l o a d e d _ f i l e ( )   函 数 将 上 传 的 文 件 移 动 到 新 位 置 。 8 .   f i l e _ e x i s t s ( )   函 数 检 查 文 件 或 目 录 是 否 存 9 .   e n d ( )   函 数 将 内 部 指 针 指 向 数 组 中 的 最 后 一 个 元 素 ， 并 输 出 。 1 0 .   e x p l o d e ( )   函 数 使 用 一 个 字 符 串 分 割 另 一 个 字 符 串 ， 并 返 回 由 字 符 串 组 成 的 数 组 。 1 1 .   i n _ a r r a y ( )   函 数 搜 索 数 组 中 是 否 存 在 指 定 的 值 。 文 件 上 传 防 御 方 式 与 绕 过 文 件 上 传 防 御 方 式 与 绕 过 一 、 一 、 j s 前 端 验 证 ： 前 端 验 证 ： 判 断 方 式 判 断 方 式 ： 在 浏 览 加 载 文 件 ， 但 还 未 点 击 上 传 按 钮 时 便 弹 出 对 话 框 ， ( 进 一 步 确 定 可 以 通 过 配 置 浏 览 器 H T T P 代 理 （ 没 有 流 量 经 过 代 理 就 可 以 证 明 是 客 户 端 J a v a S c r i p t 检 测 ） ） 内 容 如 ： 只 允 许 传 . j p g / . j p e g / . p n g 后 缀 名 的 文 件 ， 而 此 时 并 没 有 发 送 数 据 包 。 验 证 代 码 ： f u n c t i o n   C h e c k F i l e T y p e ( )         {                 v a r   o b j B u t t o n = d o c u m e n t . g e t E l e m e n t B y I d ( " B u t t o n 1 " ) ; / / 上 传 按 钮                 v a r   o b j F i l e U p l o a d = d o c u m e n t . g e t E l e m e n t B y I d ( " F i l e U p l o a d 1 " ) ;                 v a r   o b j M S G = d o c u m e n t . g e t E l e m e n t B y I d ( " m s g " ) ; / / 显 示 提 示 信 息 用 D I V                 v a r   F i l e N a m e = n e w   S t r i n g ( o b j F i l e U p l o a d . v a l u e ) ; / / 文 件 名                 v a r   e x t e n s i o n = n e w   S t r i n g ( F i l e N a m e . s u b s t r i n g ( F i l e N a m e . l a s t I n d e x O f ( " . " ) + 1 , F i l e N a m e . l e n g t h ) ) ; / / 文 件 扩 展 名                 i f ( e x t e n s i o n = = " j p g " | | e x t e n s i o n = = " J P G " ) / / 可 以 另 行 添 加 扩 展 名                 {                         o b j B u t t o n . d i s a b l e d = f a l s e ; / / 启 用 上 传 按 钮                         o b j M S G . i n n e r H T M L = " 文 件 检 测 通 过 " ;                 }                 e l s e                 {
绕 过 方 式 ： 绕 过 方 式 ： 将 需 要 上 传 的 恶 意 代 码 文 件 类 型 改 为 允 许 上 传 的 类 型 ， 例 如 将 s h e l l . a s p 改 为 s h e l l . j p g 上 传 ， 配 置 B u r p   S u i t e 代 理 进 行 抓 包 ， 然 后 再 将 文 件 名 s h e l l . j p g 改 为 s h e l l . a s p   上 传 页 面 ， 审 查 元 素 ， 修 改 J a v a S c r i p t 检 测 函 数 （ 具 体 方 法 ： 可 以 使 用 f i r b u g 之 类 的 插 件 把 它 禁 掉 ） 二 、 二 、 服 务 端 服 务 端 M I M E 类 型 检 测 ： 类 型 检 测 ： M I M E 的 作 用 的 作 用 ： 使 客 户 端 软 件 ， 区 分 不 同 种 类 的 数 据 ， 例 如 w e b 浏 览 器 就 是 通 过 M I M E 类 型 来 判 断 文 件 是 G I F 图 片 ， 还 是 可 打 印 的 P o s t S c r i p t 文 件 。 w e b 服 务 器 使 用 M I M E 来 说 明 发 送 数 据 的 种 类 ，   w e b 客 户 端 使 用 M I M E 来 说 明 希 望 接 收 到 的 数 据 种 类 。 M I M E 验 证 代 码 ： 验 证 代 码 ： < ? p h p         i f ( $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ]   ! =   " i m a g e / g i f " )         {                 e c h o   " S o r r y ,   w e   o n l y   a l l o w   u p l o a d i n g   G I F   i m a g e s " ;                 e x i t ;         }         $ u p l o a d d i r   =   ' . / ' ;         $ u p l o a d f i l e   =   $ u p l o a d d i r   .   b a s e n a m e ( $ _ F I L E S [ ' f i l e ' ] [ ' n a m e ' ] ) ;         i f   ( m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ u p l o a d f i l e ) )         {                 e c h o   " F i l e   i s   v a l i d ,   a n d   w a s   s u c c e s s f u l l y   u p l o a d e d . n " ;         }   e l s e   {                 e c h o   " F i l e   u p l o a d i n g   f a i l e d . n " ;         } ? > 绕 过 方 法 ： 绕 过 方 法 ： 配 置 B u r p   S u i t e 代 理 进 行 抓 包 ， 将 C o n t e n t - T y p e 修 改 为 i m a g e / g i f ， 或 者 其 他 允 许 的 类 型 然 后 在 对 应 目 录 生 成 s h e l l . j p g 三 、 服 务 端 文 件 扩 展 名 检 测 三 、 服 务 端 文 件 扩 展 名 检 测 黑 名 单 检 测 黑 名 单 检 测 ： 黑 名 单 的 安 全 性 比 白 名 单 低 很 多 ， 服 务 器 端 ， 一 般 会 有 个 专 门 的 b l a c k l i s t 文 件 ， 里 面 会 包 含 常 见 的 危 险 脚 本 文 件 类 型 ， 例 如 ： h t m l   |   h t m   |   p h p   |   p h p 2   |   h p h 3   |   p h p 4   |   p h p 5   |   a s p   |   a s p x   |   a s c x   |   j s p   |   c f m   |   c f c   |   b a t   |   e x e   |   c o m   |   d l l   |   v b s   |   j s   |   r e g   |   c g i   |   h t a c c e s s   |   a s i s   | s h   | p h t m   |   s h t m   | i n c 等 等 。 黑 名 单 扩 展 名 过 滤 ， 限 制 不 够 全 面 ： I I S 默 认 支 持 解 析 . a s p   |   . c d x   |   . a s a   |   . c e r 等 验 证 代 码 验 证 代 码 ：
< ? p h p         f u n c t i o n   g e t E x t ( $ f i l e n a m e ) {                 / / s u n s t r   -   返 回 字 符 串 的 子 串                 / / s t r r i p o s   —   计 算 指 定 字 符 串 在 目 标 字 符 串 中 最 后 一 次 出 现 的 位 置 （ 不 区 分 大 小 写 ）                 r e t u r n   s u b s t r ( $ f i l e n a m e , s t r r i p o s ( $ f i l e n a m e , ' . ' ) + 1 ) ;         }         i f ( $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   >   0 )         {                 e c h o   " E r r o r :   "   .   $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   .   " < b r   / > " ;         }         e l s e {                 $ b l a c k _ f i l e   =   e x p l o d e ( " | " , " p h p | j s p | a s p " ) ; / / 允 许 上 传 的 文 件 类 型 组                 $ n e w _ u p l o a d _ f i l e _ e x t   =   s t r t o l o w e r ( g e t E x t ( $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ) ) ;   / / 取 得 被 . 隔 开 的 最 后 字 符 串                 i f ( i n _ a r r a y ( $ n e w _ u p l o a d _ f i l e _ e x t , $ b l a c k _ f i l e ) )                 {                         e c h o   " 文 件 不 合 法 " ;                         d i e ( ) ;                 }                 e l s e {                         $ f i l e n a m e   =   t i m e ( ) . " . " . $ n e w _ u p l o a d _ f i l e _ e x t ;                         i f ( m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] , " u p l o a d / " . $ f i l e n a m e ) )                         {                                 e c h o   " U p l o a d   S u c c e s s " ;                         }                 }         } ? > 绕 过 方 法 绕 过 方 法 ： 不 被 允 许 的 文 件 格 式 . p h p ， 但 是 可 以 上 传 文 件 名 为 s h e l l . p h p _ ( 下 划 线 是 空 格 ) ， I I S 支 持 ， l i n u x 不 支 持 ， 详 细 见 下 面 的 特 殊 文 件 名 绕 过 描 述 ； 白 名 单 检 测 ： 白 名 单 检 测 ： 仅 允 许 指 定 的 文 件 类 型 上 传 ， 比 如 仅 与 需 上 传 j p g   |   g i f   |   d o c 等 类 型 的 文 件 ， 其 他 全 部 禁 止 绕 过 方 法 绕 过 方 法 ： a .   文 件 名 大 小 写 绕 过 ： 用 像   A s P ， p H p   之 类 的 文 件 名 绕 过 黑 名 单 检 测 b .   名 单 列 表 绕 过 ： 用 黑 名 单 里 没 有 的 名 单 进 行 攻 击 ， 比 如 黑 名 单 里 没 有   a s a   或   c e r   之 类 c .   特 殊 文 件 名 绕 过 ： 比 如 发 送 的   h t t p   包 里 把 文 件 名 改 成   t e s t . a s p .   或   t e s t . a s p _ ( 下 划 线 为 空 格 ) ， 这 种 命 名 方 式   在   w i n d o w s   系 统 里 是 不 被 允 许 的 ， 所 以 需 要 在   b u r p   之 类 里 进 行 修 改 ， 然 后 绕 过 验 证 后 ， 会   被   w i n d o w s   系 统 自 动 去 掉 后 面 的 点 和 空 格 ， 但 要 注 意   U n i x / L i n u x 系 统 没 有 这 个 特 性 d .   0 x 0 0 截 断 ： 文 件 名 后 缀 就 一 个 % 0 0 字 节 ， 可 以 截 断 某 些 函 数 对 文 件 名 的 判 断 。 在 许 多 语 言 函 数 中 处 理 函 数 中 ， 处 理 字 符 串 中 在 扩 展 名 检 测 这 大 部 分 都 是   a s p   的 程 序 有 这 种 漏 洞 ， 给 个 简 单 的 伪 代 码 e .   二 次 渲 染 f .   解 析 漏 洞 绕 过 四 、 服 务 端 文 件 内 容 检 测 四 、 服 务 端 文 件 内 容 检 测 文 件 特 征 检 测 文 件 特 征 检 测 a .   绕 过 方 法 b .   文 件 幻 术 ： 也 就 是 通 过 各 个 图 片 的 特 征 头 加 在 最 前 面 ， 用 来 欺 骗 防 御 ， 然 后 后 面 加 上 w e b s h e l l 代 码
文 件 相 关 信 息 检 测 文 件 相 关 信 息 检 测 a .   绕 过 方 法 b .   伪 造 好 文 件 头 ， 然 后 在 后 面 加 一 些 正 常 的 数 据 当 文 件 严 格 限 制 了 信 息 和 后 缀 的 时 候 当 文 件 严 格 限 制 了 信 息 和 后 缀 的 时 候 C o p y 命 令 制 作 P s 插 入 图 片 属 性 版 权 填 写 w e b s h e l l ： 需 要 找 图 片 ， 有 的 图 片 无 法 填 写 a .   c o p y   1 . j p g / b + 1 . a s p / a   2 . j p g （ a 表 示 a s c i i 文 件 / b 表 示 二 进 制 形 式 ） b .   用 P S （ p h o t o s h o p ） 打 开 图 片 c .   文 件 → 文 件 简 介 插 入 你 需 要 的 木 马 代 码 3 . 文 件 → 保 存 （ 保 存 ： 覆 盖 源 文 件   你 也 可 以 另 存 为 你 想 要 的 其 它 格 式 ） d .   绕 过 方 法 e .   二 次 渲 染 ： 通 过 对 b p 抓 包 查 看 上 传 的 图 片 有 哪 个 地 方 没 有 被 渲 染 到 ， 则 在 哪 个 地 方 添 加 代 码 f .   图 片 木 马 制 作 （ 图 片 木 马 需 要 配 合 解 析 漏 洞 来 执 行 相 应 的 代 码 ） 五 、 防 御 五 、 防 御 将 文 件 上 传 目 录 的 所 有 用 户 执 行 权 限 全 部 取 消 将 文 件 上 传 目 录 的 所 有 用 户 执 行 权 限 全 部 取 消 判 断 文 件 类 型 判 断 文 件 类 型 在 判 断 文 件 类 型 时 ， 可 以 结 合 使 用 M I M E   T y p e 、 后 缀 检 查 等 方 式 。 在 文 件 类 型 检 查 中 ， 强 烈 推 荐 白 名 单 方 式 ， 黑 名 单 的 方 式 已 经         无 数 次 被 证 明 是 不 可 靠 的 。 此 外 ,   对 于 图 片 的 处 理 ， 可 以 使 用 压 缩 函 数 或 者 r e s i z e 函 数 ， 在 处 理 图 片 的 同 时 破 坏 图 片 中 可 能 包 含 的         H T M L 代 码 ， 或 者 在 使 用 白 名 单 的 时 候 ， 使 用 分 割 字 符 串 ( 上 传 来 的 文 件 名 ) ， 使 用 " . " 来 分 割 ， 仅 允 许 分 割 后 ， 字 符 串 只 有 两 个 ， 一 个 是 文 件 名 ， 一 个 是 文 件 扩 展 名 。 使 用 随 机 数 改 写 文 件 名 和 文 件 路 径 使 用 随 机 数 改 写 文 件 名 和 文 件 路 径 c .   J P G   ： F F   D 8   F F   E 0   0 0   1 0   4 A   4 6   4 9   4 6 G I F   ： 4 7   4 9   4 6   3 8   3 9   6 1   ( G I F 8 9 a ) P N G ： 8 9   5 0   4 E   4 7
文 件 上 传 如 果 要 执 行 代 码 ， 则 需 要 用 户 能 够 访 问 到 这 个 文 件 。 在 某 些 环 境 中 ， 用 户 能 上 传 ， 但 不 能 访 问 。 如 果 应 用 了 随 机 数 改 写 了 文 件 名 和 路 径 ， 将 极 大 地 增 加 攻 击 的 成 本 。 再 来 就 是 像 s h e l l . p h p . r a r 和 c r o s s d o m a i n . x m l 这 种 文 件 ， 都 将 因 为 重 命 名 而 无 法 攻 击 。 单 独 设 置 文 件 服 务 器 的 域 名 单 独 设 置 文 件 服 务 器 的 域 名 把 网 站 服 务 器 和 文 件 服 务 器 分 开 ， 但 是 要 保 证 ， 文 件 服 务 器 的 安 全 级 别 很 高 ， 且 保 证 上 传 文 件 是 相 对 高 的 可 靠 ， 直 接 把 上 传 的 图 片 等 文 件 存 储 在 文 件 服 务 器 ， 并 在 文 件 服 务 器 把 所 有 目 录 设 置 为 可 读 可 写 不 可 执 行 二 次 渲 染 二 次 渲 染 原 理 ： 将 上 传 的 图 片 重 新 保 存 为 一 个 新 的 图 片 ， 将 里 面 可 能 含 有 的 的 可 执 行 代 码 删 除 解 析 漏 洞 解 析 漏 洞 一 、 一 、 A p a c h e 解 析 漏 洞 解 析 漏 洞 : a b c . p h p . x x x . x x . x x ( 那 么 这 个 文 件 会 被 a p a c h e 容 器 解 析 成 p h p 文 件 ， 因 为 a p a c h e 解 析 文 件 名 的 步 骤 是 从 文 件 末 尾 开 始 找 文 件 后 缀 名 ， 见 到 x x 。 不 认 识 ， 之 后 继 续 向 前 找 ， x x x . 也 不 认 识 ， 继 续 向 前 ， 当 走 到 . p h p 的 时 候 ， 认 识 这 个 后 缀 ， 并 解 析 这 个 后 缀 ) . h t a c c e s s 若 此 文 件 中 输 入 对 应 的 代 码 ， 那 么 该 文 件 目 录 下 的 所 有 文 件 将 以 p h p 文 件 来 执 行 二 、 二 、 I I S 6 . 0 解 析 漏 洞 解 析 漏 洞 a s p ; 1 . j p g （ 会 将 1 . j p g 解 析 成 a s p 文 件 格 式 ） a b c . a s p ; t i m e . j p g （ 会 将 1 . j p g 解 析 成 a s p 文 件 格 式 ） a b c . a s p / t i m e . j p g ( a b c . a s p 是 个 目 录 ， i i s 6 . 0 会 将 这 个 目 录 下 的 文 件 按 照 a s p 方 式 进 行 解 析 ) 三 、 三 、 I I S   7 . 0 & 7 . 5 畸 形 解 析 漏 洞 畸 形 解 析 漏 洞 默 认 f a s t - c g i 开 启 状 况 下 ， 在 一 个 文 件 路 径 后 面 加 上 / x x . p h p 会 将 原 来 的 文 件 解 析 为 p h p 文 件 四 、 四 、 N g i n x 解 析 漏 洞 解 析 漏 洞 畸 形 解 析 漏 洞 畸 形 解 析 漏 洞 默 认 f a s t - c g i 开 启 状 况 下 ， 在 一 个 文 件 路 径 后 面 加 上 / x x . p h p 会 将 原 来 的 文 件 解 析 为 p h p 文 件 空 字 节 代 码 执 行 漏 洞 空 字 节 代 码 执 行 漏 洞 在 f a s t - c g i 关 闭 的 情 况 下 ， n g i n x 版 本 : 0 . 5 . ,   0 . 6 . ,   0 . 7 -   0 . 7 . 6 5 ,   0 . 8   - 0 . 8 . 3 7 ， n g i n x 在 图 片 后 附 加 p h p 代 码 然 后 通 过 访 问 例 如 ： x x . j p g % 0 0 . p h p 文 件 名 逻 辑 漏 洞 文 件 名 逻 辑 漏 洞 ( C V E - 2 0 1 3 - 4 5 4 7 ) 受 影 响 的 n g i n x 版 本 :   0 . 8 . 4 1 至 1 . 4 . 3 和 1 . 5 . 7 之 前 的 1 . 5 . x 正 常 上 传 一 个 附 加 代 码 的 图 片 " t e s t . j p g " ， 访 问 时 后 面 + " 空 格 " + " 0 " + " . p h p " ， 即 让 图 片 作 为 p h p 文 件 解 析 例 如 ： / t e s t . j p g   0 . p h p
配 置 不 当 目 录 穿 越 配 置 不 当 目 录 穿 越 如 果 绝 对 路 径 " / h o m e / " 的 U R L 映 射 是 网 站 目 录 " / f i l e s / " ， 配 置 写 成 了 " / f i l e s " 就 可 以 访 问 " / f i l e s . . / " ， 穿 越 路 径 ， 访 问 到 绝 对 路 径 根 目 录 " / " 下 的 文 件 列 表 总 体 思 维 导 图 总 体 思 维 导 图 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 o g o f Z N 7 C e 7 A h B u l 5 1 K A 2 - Q   提 取 码 ： d k o v 文 件 上 传 靶 场 地 址 文 件 上 传 靶 场 地 址 h t t p s : / / g i t h u b . c o m / c 0 n y 1 / u p l o a d - l a b s 总 结 安 全 是 责 任 ， 是 担 当 ， 是 互 联 网 的 第 一 道 保 障 。 作 者 ： 让 开 尼 姑 是 我 的           文 章 来 源 ： F r e e B u f 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 l o c a t i o n   / f i l e s   {   a l i a s   / h o m e / ;   }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理