搜索

[21541] 2020-12-26_[网络安全]十三.文件上传漏洞(2)常用绕过方法及IIS6.0解析漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-12-26_[网络安全]十三.文件上传漏洞(2)常用绕过方法及IIS6.0解析漏洞 [ 网 络 安 全 ]   十 三 . 文 件 上 传 漏 洞   ( 2 ) 常 用 绕 过 方 法 及 I I S 6 . 0 解 析 漏 洞 E a s t m o u n t   L e m o n S e c   2 0 2 0 - 1 2 - 2 6 前 文 分 享 （ 下 面 的 超 链 接 可 以 点 击 喔 ） ： [ 网 络 安 全 ]   一 . W e b 渗 透 入 门 基 础 与 安 全 术 语 普 及 [ 网 络 安 全 ]   二 . W e b 渗 透 信 息 收 集 之 域 名 、 端 口 、 服 务 、 指 纹 、 旁 站 、 C D N 和 敏 感 信 息 [ 网 络 安 全 ]   三 . 社 会 工 程 学 那 些 事 及 I P 物 理 定 位 [ 网 络 安 全 ]   四 . 手 工 S Q L 注 入 和 S Q L M A P 入 门 基 础 及 案 例 详 解 [ 网 络 安 全 ]   五 . X S S 跨 站 脚 本 攻 击 详 解 及 分 类 - 1 [ 网 络 安 全 ]   六 . X S S 跨 站 脚 本 攻 击 靶 场 案 例 九 题 及 防 御 方 法 - 2 [ 网 络 安 全 ]   七 . B u r p   S u i t e 工 具 安 装 配 置 、 P r o x y 基 础 用 法 及 暴 库 入 门 示 例 [ 网 络 安 全 ]   八 . W e b 漏 洞 及 端 口 扫 描 之 Z e N m a p 、 T h r e a t S c a n 和 D i r B u s t e r 工 具 [ 网 络 安 全 ]   九 . W i r e s h a r k 安 装 入 门 及 抓 取 网 站 用 户 名 密 码 - 1 [ 网 络 安 全 ]   十 . W i r e s h a r k 抓 包 原 理 、 A R P 劫 持 、 M A C 泛 洪 及 数 据 流 追 踪 - 2 [ 网 络 安 全 ]   十 一 . S h o d a n 搜 索 引 擎 详 解 及 P y t h o n 命 令 行 调 用 [ 网 络 安 全 ]   十 二 . 文 件 上 传 漏 洞   ( 1 ) 基 础 原 理 及 C a i d a o 入 门 知 识 最 近 开 始 学 习 网 络 安 全 和 系 统 安 全 ， 接 触 到 了 很 多 新 术 语 、 新 方 法 和 新 工 具 ， 作 为 一 名 初 学 者 ， 感 觉 安 全 领 域 涉 及 的 知 识 好 广 、 好 杂 ， 但 同 时 也 非 常 有 意 思 。 所 以 我 希 望 通 过 这 1 0 0 多 篇 网 络 安 全 文 章 ， 将 W e b 渗 透 的 相 关 工 作 、 知 识 体 系 、 学 习 路 径 和 探 索 过 程 分 享 给 大 家 。 未 知 攻 ， 焉 知 防 ， 且 看 且 珍 惜 。 前 文 分 享 了 文 件 上 传 漏 洞 原 理 ， 通 过 本 地 环 境 搭 建 介 绍 相 关 原 理 及 C a i d a o 的 基 本 用 法 。 这 篇 文 章 将 详 细 讲 解 文 件 上 传 漏 洞 和 I I S 6 . 0 解 析 漏 洞 ， 包 括 P H P 3 4 5 文 件 绕 过 上 传 、 W i n d o w s   : : $ D A T A 绕 过 、 A p a c h e 解 析 漏 洞 上 传 等 ， 同 时 结 合 C a i d a o 工 具 介 绍 拿 站 的 流 程 及 防 御 原 理 。 本 文 参 考 了 F o x 老 师 的 视 频 ， 推 荐 大 家 去 学 习 。 基 础 文 章 ， 希 望 对 入 门 的 同 学 有 帮 助 ， 大 神 请 飘 过 ， 谢 谢 各 位 看 官 ！ 娜 璋 A I 安 全 之 家 将 专 注 于 P y t h o n 和 安 全 技 术 ， 主 要 分 享 W e b 渗 透 、 系 统 安 全 、 人 工 智 能 、 大 数 据 分 析 、 图 像 识 别 、 恶 意 代 码 检 测 、 C V E 复 现 、 威 胁 情 报 分 析 等 文 章 。 真 心 想 把 自 己 近 十 年 的 所 学 所 做 所 感 分 享 出 来 ， 与 大 家 一 起 进 步 。
声 明 ： 本 人 坚 决 反 对 利 用 教 学 方 法 进 行 恶 意 攻 击 的 行 为 ， 一 切 错 误 的 行 为 必 将 受 到 严 惩 ， 绿 色 网 络 需 要 我 们 共 同 维 护 ， 更 推 荐 大 家 了 解 技 术 背 后 的 原 理 ， 更 好 地 进 行 安 全 防 护 。 虽 然 作 者 是 一 名 安 全 小 白 ， 但 会 保 证 每 一 篇 文 章 都 会 很 用 心 地 撰 写 ， 希 望 基 础 性 文 章 对 你 有 所 帮 助 ， 安 全 路 上 一 起 前 行 。 -   h t t p s : / / g i t h u b . c o m / e a s t m o u n t y x z / N e t w o r k S e c u r i t y S e l f - s t u d y 文 章 目 录 ： 文 章 目 录 ： 一 . 文 件 上 传 漏 洞 之 扩 展 名 限 制 1 . P H P 3 4 5 文 件 绕 过 上 传 2 . W i n d o w s   : : $ D A T A 绕 过 3 . A p a c h e 上 传 解 析 漏 洞 二 . 内 容 验 证 文 件 上 传 三 . % 0 0 截 断 上 传 四 . I I S 6 . 0   解 析 漏 洞 一 一 . 文 件 上 传 漏 洞 扩 展 名 限 制 文 件 上 传 漏 洞 扩 展 名 限 制 前 一 篇 文 章 详 细 讲 解 了 文 件 上 传 漏 洞 的 原 理 、 一 句 话 木 马 和 C a i d a o 的 基 本 用 法 ， 涉 及 J S 绕 过 文 件 上 传 、 M I M E 绕 过 文 件 上 传 、 大 小 写 绕 过 文 件 上 传 、 点 和 空 格 绕 过 文 件 上 传 、 h t a c c e s s 文 件 绕 过 上 传 ， 这 篇 文 章 将 继 续 分 享 文 件 上 传 漏 洞 。 下 面 参 考 了 F o x 老 师 的 u p l o a d - l a b s 思 维 导 图 ， 供 大 家 学 习 。 1 . P H P 3 4 5 文 件 绕 过 上 传 文 件 绕 过 上 传 P H P 3 代 表 P H P 版 本 3 ， 这 里 用 于 文 件 绕 过 检 测 。 一 般 的 软 件 都 是 向 下 兼 容 ， P H P 3 代 码 ， P H P 5 同 样 兼 容 能 够 执 行 。 如 下 图 所 示 ， f o x . p h p 5 文 件 同 样 能 够 正 常 上 传 。 2 . W i n d o w s   : : $ D A T A 绕 过 绕 过
W i n d o w s   : : $ D A T A 绕 过 只 能 用 于 W i n d o w s ， W i n d o w s 下 N T F S 文 件 系 统 有 一 个 特 性 ， 即 N T F S 文 件 系 统 在 存 储 数 据 流 的 一 个 属 性 D A T A 时 ， 是 请 求 a . p h p 本 身 的 数 据 。 如 果 a . p h p 还 包 含 了 其 他 的 数 据 流 ， 比 如 a . p h p : l a k e 2 . p h p ， 请 求 a . p h p : l a k e 2 . p h p : : $ D A T A ， 则 是 请 求 a . p h p 中 的 流 数 据 l a k e 2 . p h p 的 流 数 据 内 容 。 简 单 来 说 ， 就 是 在 数 据 后 面 加 上 : : $ D A T A 实 现 绕 过 ， f o x . p h p : : $ D A T A 返 回 f o x . p h p 数 据 。 上 传 成 功 如 下 图 所 示 ， 然 后 可 以 直 接 访 问 u p l o a d / f o x . p h p 文 件 。 3 . A p a c h e 上 传 解 析 漏 洞 上 传 解 析 漏 洞 A p a c h e 是 从 右 到 左 判 断 解 析 ， 如 果 为 不 可 识 别 解 析 ， 就 再 往 左 判 断 。 比 如 1 . p h p . x x x 对 A p a c h e 来 说 x x x 是 不 可 解 析 的 ， 所 以 就 会 解 析 成 1 . p h p ， 这 就 是 该 漏 洞 的 实 现 原 理 。 如 上 图 所 示 ， 将 本 地 “ f o x . p h p ” 修 改 为 “ f o x . p h p . x x x ” ， 然 后 点 击 上 传 。 接 着 尝 试 用 菜 刀 去 连 接 。 U R L 为 靶 场 的 网 址 如 下 ， 密 码 为 P H P 一 句 话 木 马 中 的 “ f o x ” 。 h t t p : / / 1 9 2 . 1 6 8 . 1 . 8 / f i l e _ u p l o a d / u p l o a d / f o x . p h p . x x x 下 图 是 C a i d a o 连 接 的 示 意 图 。 < ? p h p   e v a l ( $ _ P O S T [ f o x ] ) ;   ? >  
连 接 之 后 ， 成 功 获 取 文 件 目 录 ， 可 以 看 到 “ f o x . p h p . x x x ” 被 成 功 上 传 。 二 二 . 内 容 验 证 文 件 上 传 内 容 验 证 文 件 上 传 内 容 检 查 是 网 站 安 全 的 重 要 手 段 之 一 。 假 设 我 们 将 包 含 一 句 话 木 马 的 “ f o x . p h p ” 修 改 为 “ 1 . j p g ” 并 上 传 ， 有 的 网 址 会 提 示 上 传 错 误 ， 因 为 J P G 格 式 不 能 执 行 P H P 文 件 脚 本 的 。 如 下 图 所 示 ， 它 会 判 断 图 片 的 文 件 头 ， 包 括 g i f 、 p n g 、 j p g 等 格 式 。 文 件 头 是 用 来 判 断 数 据 格 式 的 ， 这 里 尝 试 修 改 文 件 头 进 行 上 传 ， 以 g i f 文 件 为 例 ， 添 加 文 件 头 “ G I F 8 9 a ” 后 即 可 上 传 成 功 。 < ? p h p   e v a l ( $ _ P O S T [ f o x ] ) ;   ? >  
同 样 可 以 尝 试 B u r p S u i t e 抓 包 修 改 文 件 后 缀 . p h p 进 行 上 传 。 三 三 . % 0 0 截 断 上 传 截 断 上 传 0 x 0 0 是 十 六 进 制 表 示 方 法 ， 是 A S C I I 码 为 0 的 字 符 ， 在 有 些 函 数 处 理 时 ， 会 把 这 个 字 符 当 做 结 束 符 。 这 个 可 以 用 在 对 文 件 类 型 名 的 绕 过 上 。 需 要 注 意 ， 0 0 截 断 g e t 是 可 以 自 动 转 换 的 ， p o s t 需 要 特 殊 转 换 ， 下 面 举 一 个 例 子 。 首 先 ， 选 择 上 传 一 张 包 含 一 句 话 木 马 的 “ p h p . j p g ” 图 片 。 然 后 ， 利 用 B u r p S u i t e 抓 包 并 修 改 后 缀 名 为 “ p h p . p h p % 0 0 1 . j p g ” 。 如 果 直 接 修 改 为 “ p h p . p h p ” 可 能 会 被 过 滤 。 这 种 方 法 仍 然 不 可 行 ， 因 为 它 采 用 p o s t 提 交 数 据 ， 需 要 特 殊 转 换 。 这 里 选 中 “ % 0 0 ” 右 键 转 换 为 U R L 格 式 ， 如 下 图 所 示 ， 然 后 再 点 击 “ F o r w a r d ” 提 交 数 据 即 可 。
文 件 成 功 上 传 ， % 0 0 自 动 截 断 后 面 的 内 容 。 四 四 . I I S 6 . 0   解 析 漏 洞 解 析 漏 洞 I S S 6 . 0 解 析 漏 洞 分 两 种 ： 1 . 目 录 解 析 目 录 解 析 以 “ * . a s p ” 命 名 的 文 件 夹 里 的 文 件 都 将 会 被 当 成 A S P 文 件 执 行 ， 比 如 “ 1 . a s p / 1 . j p g ” ， 这 里 1 . j p g 会 被 当 做 a s p 文 件 执 行 。 利 用 I I S 6 . 0 解 析 漏 洞 ， 我 们 可 以 在 网 站 下 建 立 名 字 为 “ * . a s p ”   、 “ * . a s a ” 的 文 件 夹 ， 其 目 录 内 的 任 何 扩 展 名 的 文 件 都 被 I I S 当 作 a s p 文 件 来 解 析 。 例 如 创 建 目 录 “ v i d u n . a s p ” ， 则 “ / v i d u n . a s p / 1 . j p g ” 将 被 当 作 a s p 文 件 来 执 行 。 2 . 文 件 解 析 文 件 解 析 “ * . a s p ; . j p g ” 像 这 种 畸 形 文 件 名 在   “ ; ”   后 面 的 直 接 被 忽 略 ， 也 就 是 说 当 成   “ * . a s p ” 文 件 执 行 。 比 如 “ 1 . a s p ; 1 . j p g ” 命 名 的 文 件 ， 同 样 是 以 a s p 脚 本 进 行 执 行 。 I I S 6 . 0   默 认 的 可 执 行 文 件 除 了 a s p 还 包 含 这 三 种 ： . a s a 、 . c e r 、 * . c d x 。 网 站 上 传 图 片 的 时 候 ， 将 网 页 木 马 文 件 的 名 字 改 成 “ * . a s p ; . j p g ” ， 分 号 后 面 的 不 被 解 析 也 同 样 会 被 I I S 当 作 a s p 文 件 来 解 析 并 执 行 。 例 如 上 传 一 个 图 片 文 件 ， 名 字 叫 “ v i d u n . a s p ; . j p g ” 的 木 马 文 件 ， 该 文 件 可 以 被 当 作 a s p 文 件 解 析 并 执 行 。 假 设 某 网 站 是 用 I I S 6 . 0 搭 建 。 该 A S P 靶 场 存 在 一 个 图 片 上 传 的 后 台 页 面 ， 如 下 图 所 示 ：
第 一 步 ， 我 们 制 作 一 个 名 为 “ a s p 1 . j p g ” 的 一 句 话 木 马 ， 核 心 代 码 如 下 ： 第 二 步 ， 尝 试 上 传 “ a s p 1 . j p g ” 图 片 ， 它 会 提 示 上 传 类 型 不 正 确 。 第 三 步 ， 因 为 该 网 站 检 查 了 文 件 头 类 型 ， 这 里 需 要 进 行 简 单 的 修 改 ， 比 如 增 加 G I F 文 件 头 。 第 四 步 ， 选 择 上 传 ， 此 时 能 够 成 功 上 传 。 第 五 步 ， 接 着 尝 试 B u r p S u i t e 进 行 抓 包 ， 这 里 截 取 到 数 据 包 ， 点 击 “ S e n d   t o   R e p e a t e r ” 按 钮 。 第 六 步 ， 尝 试 在 左 边 “ u p f i l e / ” 文 件 路 径 名 后 面 增 加 文 件 名 称 “ 1 . a s p ; ” ， 然 后 点 击 请 求 发 送 。 右 边 会 显 示 文 件 成 功 上 传 ， 其 路 径 详 见 图 中 。 < % e x e c u t e ( r e q u e s t ( " f o x " ) ) % >
上 传 之 后 的 文 件 可 以 成 功 访 问 ， 如 下 图 所 示 。 第 七 步 ， 尝 试 进 行 C a i d a o 连 接 ， 输 入 地 址 和 密 码 “ f o x ” 。 第 八 步 ， 成 功 获 取 服 务 器 的 文 件 目 录 ， 如 下 图 所 示 。 注 意 ： I I S 6 . 0 解 析 漏 洞 被 发 现 的 时 候 ， 微 软 是 不 承 认 这 个 漏 洞 的 ， 所 以 没 有 进 行 相 应 的 补 丁 修 补 。 基 本 I I S 6 . 0 网 站 都 很 存 在 该 漏 洞 。 同 样 的 方 法 ， 某 些 T X T 文 件 也 是 可 以 利 用 该 漏 洞 进 行 上 传 。 基 本 流 程 如 下 ： 先 随 意 上 传 一 个 文 件 ， 观 其 u r l 发 现 是 a s p 脚 本 构 造 的 页 面 在 本 地 制 作 一 个 a s p 的 一 句 话 木 马 保 存 到 文 件 中 ， 然 后 打 开 b u r p s u i t e 的 代 理 功 能 去 进 行 抓 包 修 改 发 送 的 P O S T 请 求 中 发 现 刚 发 送 的 a s p . t x t 被 保 存 的 第 二 个 u p l o a d 文 件 下 ， 为 了 让 其 执 行 ， 我 们 在 第 二 个 u p l o a d 后 面 加 入 / w e b s h e l l . a s p 文 件 通 过 上 一 个 步 骤 ， 有 效 地 将 a s p . t x t 这 个 一 句 话 木 马 放 入 w e b s h e l l . a s p 中 ， I I S 利 用 解 析 漏 洞 将 a s p . t x t 当 作 a s p 脚 本 去 执 行
在 b u r p 中 转 发 浏 览 器 显 示 成 功 上 传 ， 并 列 出 上 传 的 地 址 。 最 后 通 过 C a i d a o 远 程 连 接 获 取 目 录 。 另 一 种 方 法 ， 将 刚 刚 的 a s p 木 马 文 件 名 修 改 为 w e b s h e l l . a s p ; . t x t ， 因 为 该 网 站 不 允 许 上 传 以 a s p 作 为 后 缀 的 文 件 名 ， 所 以 我 们 使 用 . t x t 后 缀 ， 但 分 号 后 面 的 内 容 将 会 被 I I S 过 滤 不 去 解 析 ， 所 以 这 就 是 个 a s p 脚 本 。 通 过 C a i d a o 成 功 获 取 目 录 如 下 图 所 示 ， 建 议 尽 量 放 置 在 隐 藏 位 置 ； 同 时 某 些 网 站 有 上 传 大 小 限 制 ， 可 以 尝 试 在 一 句 话 木 马 文 件 中 填 充 内 容 。 如 果 您 是 一 名 网 站 管 理 员 ， 您 需 要 注 意 ： 进 行 文 件 黑 名 单 和 白 名 单 过 滤 是 非 常 必 要 的 。 文 件 的 完 整 性 校 验 、 文 件 头 校 验 、 文 件 格 式 校 验 、 文 件 大 小 校 验 都 是 必 要 的 。 避 免 像 I I S 6 . 0 解 析 漏 洞 ， 注 意 相 关 C V E 漏 洞 提 示 并 及 时 修 复 。 如 果 可 以 ， 尝 试 对 上 传 文 件 的 内 容 进 行 简 单 的 校 验 。 网 站 防 火 墙 、 安 全 狗 都 需 要 安 装 ， 弱 口 令 、 S Q L 注 入 、 X S S 等 常 见 漏 洞 需 要 预 防 。
五 五 . 总 结 总 结 写 到 这 里 ， 这 篇 基 础 性 文 章 就 此 结 束 ， 后 面 会 继 续 分 享 文 件 上 传 漏 洞 。 作 者 是 这 个 领 域 的 菜 鸟 一 枚 ， 希 望 与 您 共 同 进 步 ， 共 勉 。 如 果 文 章 对 您 有 帮 助 ， 将 是 我 最 大 的 鼓 励 ， 点 赞 、 评 论 、 阅 读 都 行 ， 与 您 同 行 ， 加 油 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理