搜索

[11125] 2017-03-13_闲话文件上传漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-03-13_闲话文件上传漏洞 闲 话 文 件 上 传 漏 洞 s a r l e o n   F r e e B u f   2 0 1 7 - 0 3 - 1 3 *   原 创 作 者 ： s a r l e o n ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 文 件 上 传 漏 洞 是 文 件 上 传 漏 洞 是 w e b 安 全 中 经 常 利 用 到 的 一 种 漏 洞 形 式 。 这 种 类 型 的 攻 击 从 大 的 类 型 上 来 说 ， 是 攻 击 安 全 中 经 常 利 用 到 的 一 种 漏 洞 形 式 。 这 种 类 型 的 攻 击 从 大 的 类 型 上 来 说 ， 是 攻 击   数 据 与 代 码 分 离 原 则 数 据 与 代 码 分 离 原 则   的 一 种 攻 击 。 的 一 种 攻 击 。 一 些 w e b 应 用 程 序 中 允 许 上 传 图 片 ， 文 本 或 者 其 他 资 源 到 指 定 的 位 置 ， 文 件 上 传 漏 洞 就 是 利 用 这 些 可 以 上 传 的 地 方 将 恶 意 代 码 植 入 到 服 务 器 中 ， 再 通 过 u r l 去 访 问 以 执 行 代 码 造 成 文 件 上 传 漏 洞 的 原 因 是 对 于 上 传 文 件 的 后 缀 名 （ 扩 展 名 ） 没 有 做 较 为 严 格 的 限 制 对 于 上 传 文 件 的 M I M E T Y P E   没 有 做 检 查 权 限 上 没 有 对 于 上 传 的 文 件 的 文 件 权 限 ， （ 尤 其 是 对 于 s h e b a n g 类 型 的 文 件 ） 对 于 w e b   s e r v e r 对 于 上 传 文 件 或 者 指 定 目 录 的 行 为 没 有 做 限 制 下 面 就 闲 话 一 些 文 件 上 传 漏 洞 的 防 御 方 式 和 攻 击 者 的 绕 过 方 式 1 . 前 端 限 制 前 端 限 制 在 表 单 中 使 用 o n s u m b i t = c h e c k ( ) 调 用 j s 函 数 来 检 查 上 传 文 件 的 扩 展 名 。 这 种 限 制 实 际 上 没 有 任 何 用 处 ， 任 何 攻 击 者 都 可 以 轻 而 易 举 的 破 解 。 只 能 用 于 对 于 用 户 完 全 信 任 的 情 况 下 ， 很 难 称 之 为 一 种 安 全 措 施 只 能 称 之 是 一 种 防 止 用 户 误 操 作 上 传 的 措 施 。 反 制 ： 反 制 ： 随 便 的 编 辑 一 下 页 面 / 用 b u r p s u i t e / 写 个 小 脚 本 就 可 以 突 破 之 ， 无 须 多 言 2 . 检 查 扩 展 名 检 查 扩 展 名 顾 名 思 义 ， 就 是 在 文 件 被 上 传 到 服 务 端 的 时 候 ， 对 于 文 件 名 的 扩 展 名 进 行 检 查 ， 如 果 不 合 法 ， 则 拒 绝 这 次 上 传 。 在 这 里 ， 还 有 一 点 是 值 得 一 提 的 ， 在 检 查 扩 展 名 是 否 合 法 的 时 候 ， 有 两 种 策 略 黑 名 单 策 略 ， 文 件 扩 展 名 在 黑 名 单 中 的 为 不 合 法 ， 示 例 代 码 黑 名 单 策 略 ， 文 件 扩 展 名 在 黑 名 单 中 的 为 不 合 法 ， 示 例 代 码 白 名 单 策 略 ， 文 件 扩 展 名 不 在 白 名 单 中 的 均 为 不 合 法 白 名 单 策 略 ， 文 件 扩 展 名 不 在 白 名 单 中 的 均 为 不 合 法 白 名 单 策 略 是 更 加 安 全 的 ， 通 过 限 制 上 传 类 型 为 只 有 我 们 接 受 的 类 型 ， 可 以 较 好 的 保 证 安 全 ， 因 为 黑 名 单 我 们 可 以 使 用 各 种 方 法 来 进 行 注 入 和 突 破 f u n c t i o n   c h e c k ( ) {                 v a r   f i l e n a m e = d o c u m e n t . g e t E l e m e n t B y I d ( " f i l e " ) ;                 v a r   s t r = f i l e n a m e . v a l u e . s p l i t ( " . " ) ;                 v a r   e x t = s t r [ s t r . l e n g t h - 1 ] ; $ p o s t f i x   =   e n d ( e x p l o d e ( ' . ' , ' $ _ P O S T [ ' f i l e n a m e ' ] ) ; i f ( $ p o s t f i x = = ' p h p ' | | $ p o s t f i x = = ' a s p ' | | $ p o s t f i x = = ' s h ' ) {     e c h o   " i n v a l i d   f i l e   t y p e " ; $ p o s t f i x   =   e n d ( e x p l o d e ( ' . ' , ' $ _ P O S T [ ' f i l e n a m e ' ] ) ; i f ( $ p o s t f i x = = ' j p g ' | | $ p o s t f i x = = ' p n g ' | | $ p o s t f i x = = ' g i f ' ) {     / / s a v e   t h e   f i l e   a n d   d o   s o m e t h i n g   n e x t
反 制 反 制 在 一 些   w e b s e r v e r   中 ， 存 在 解 析 漏 洞 1 . 老 版 本 的 I I S 中 的 目 录 解 析 漏 洞 ， 如 果 网 站 目 录 中 有 一 个   / . a s p / 目 录 ， 那 么 此 目 录 下 面 的 一 切 内 容 都 会 被 当 作 a s p 脚 本 来 解 析 2 . 老 板 本 的 I I S 中 的 分 号 漏 洞 ： I I S 在 解 析 文 件 名 的 时 候 可 能 将 分 号 后 面 的 内 容 丢 弃 ， 那 么 我 们 可 以 在 上 传 的 时 候 给 后 面 加 入 分 号 内 容 来 避 免 黑 名 单 过 滤 ， 如   a . a s p ; j p g 3 . 旧 版 W i n d o w s   S e r v e r 中 存 在 空 格 和 d o t 漏 洞 类 似 于   a . p h p .   和   a . p h p [ 空 格 ]   这 样 的 文 件 名 存 储 后 会 被 w i n d o w s 去 掉 点 和 空 格 ， 从 而 使 得 加 上 这 两 个 东 西 可 以 突 破 过 滤 ， 成 功 上 传 ， 并 且 被 当 作 p h p 代 码 来 执 行 4 . n g i n x 空 字 节 漏 洞   x x x . j p g % 0 0 . p h p   这 样 的 文 件 名 会 被 解 析 为 p h p 代 码 运 行 5 . a p a c h e 的 解 析 漏 洞 ， 上 传 如 a . p h p . r a r   a . p h p . g i f   类 型 的 文 件 名 ， 可 以 避 免 对 于 p h p 文 件 的 过 滤 机 制 ， 但 是 由 于 a p a c h e 在 解 析 文 件 名 的 时 候 是 从 右 向 左 读 ， 如 果 遇 到 不 能 识 别 的 扩 展 名 则 跳 过 ， r a r 等 扩 展 名 是 a p a c h e 不 能 识 别 的 ， 因 此 就 会 直 接 将 类 型 识 别 为 p h p ， 从 而 达 到 了 注 入 p h p 代 码 的 目 的 3 . 检 查 检 查 H T T P   H e a d e r 中 的 中 的 C o n t e n t - T y p e H T T P 协 议 规 定 了 上 传 资 源 的 时 候 在 H e a d e r 中 加 上 一 项 文 件 的 M I M E T Y P E ， 来 识 别 文 件 类 型 ， 这 个 动 作 是 由 浏 览 器 完 成 的 ， 服 务 端 可 以 检 查 此 类 型 不 过 这 仍 然 是 不 安 全 的 , 因 为 H T T P   h e a d e r 可 以 被 发 出 者 或 者 中 间 人 任 意 的 修 改 ， 不 过 加 上 一 层 防 护 也 是 可 以 有 一 定 效 果 的 反 制 反 制 使 用 各 种 各 样 的 工 具 （ 如 b u r p s u i t e ） 强 行 篡 改 H e a d e r 就 可 以 ， 太 容 易 将 h e a d e r 中 的 或 者 其 他 类 型 改 为 等 这 些 w e b 程 序 允 许 的 泪 洗 改 附 上 常 用 的 M I M E T Y P E 表 t e x t / p l a i n （ 纯 文 本 ） t e x t / h t m l （ H T M L 文 档 ） t e x t / j a v a s c r i p t （ j s 代 码 ） a p p l i c a t i o n / x h t m l + x m l （ X H T M L 文 档 ） i m a g e / g i f （ G I F 图 像 ） i m a g e / j p e g （ J P E G 图 像 ） i m a g e / p n g （ P N G 图 像 ） C o n t e n t - T y p e :   a p p l i c a t i o n / p h p C o n t e n t - T y p e :   i m a g e / j p g C o n t e n t - T y p e :   i m a g e / p n g C o n t e n t - T y p e :   t e x t / p l a i n
v i d e o / m p e g （ M P E G 动 画 ） a p p l i c a t i o n / o c t e t - s t r e a m （ 二 进 制 数 据 ） a p p l i c a t i o n / p d f （ P D F 文 档 ） a p p l i c a t i o n / ( 编 程 语 言 )   该 种 语 言 的 代 码 a p p l i c a t i o n / m s w o r d （ M i c r o s o f t   W o r d 文 件 ） m e s s a g e / r f c 8 2 2 （ R F C   8 2 2 形 式 ） m u l t i p a r t / a l t e r n a t i v e （ H T M L 邮 件 的 H T M L 形 式 和 纯 文 本 形 式 ， 相 同 内 容 使 用 不 同 形 式 表 示 ） a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d （ P O S T 方 法 提 交 的 表 单 ） m u l t i p a r t / f o r m - d a t a （ P O S T 提 交 时 伴 随 文 件 上 传 的 表 单 ） 4 . 分 析 文 件 头 内 容 来 检 查 文 件 类 型 分 析 文 件 头 内 容 来 检 查 文 件 类 型 与 方 法 2 不 同 ， 还 有 一 种 检 查 类 型 的 方 式 是 使 用 对 于 文 件 内 容 的 验 证 机 制 ， 这 种 方 法 利 用 的 是 每 一 个 特 定 类 型 的 文 件 都 会 有 不 太 一 样 的 开 头 或 者 标 志 位 。 可 以 通 过 比 如 p h p 的 e x i f _ i m a g e t y p e ( ) 函 数 ， 一 个 通 过 这 种 方 法 来 过 滤 的 示 例 代 码 如 下 ： 也 可 以 自 己 编 写 函 数 来 进 行 识 别 ， 图 片 文 件 通 常 有 称 作 幻 数 的 头 字 节 ， 我 们 来 看 一 下 几 种 图 片 文 件 的 幻 数 ： （ 注 意 ！ 下 面 是 二 进 制 而 不 是 文 本 格 式 的 数 据 ） J P G G I F ( 相 当 于 文 本 的 G I F 8 9 a ) P N G 通 过 检 查 头 几 位 字 节 ， 可 以 分 辨 是 否 是 图 片 文 件 如 果 是 其 他 类 型 的 二 进 制 文 件 ， 也 有 响 应 的 头 字 节 ， 如 下 表 反 制 反 制 给 上 传 脚 本 加 上 相 应 的 幻 数 头 字 节 就 可 以 ， p h p 引 擎 会 将   < ? 之 前 的 内 容 当 作 h t m l 文 本 ， 不 解 释 而 跳 过 之 ， 后 面 的 代 码 仍 然 能 够 得 到 执 行 比 如 下 面 ： （ 一 般 不 限 制 图 片 文 件 格 式 的 时 候 使 用 G I F 的 头 比 较 方 便 ， 因 为 全 都 是 文 本 可 打 印 字 符 。 ） 如 果 是 其 他 类 型 的 二 进 制 文 件 ， 也 有 响 应 的 头 字 节 ， 如 下 表 格 式 格 式 文 件 头 文 件 头   i f   ( !   e x i f _ i m a g e t y p e ( $ _ F I L E S [ ' u p l o a d e d f i l e ' ] [ ' t m p _ n a m e ' ] ) )   {                 e c h o   " F i l e   i s   n o t   a n   i m a g e " ;                 r e t u r n ;         } F F   D 8   F F   E 0   0 0   1 0   4 A   4 6   4 9   4 6 4 7   4 9   4 6   3 8   3 9   6 1 8 9   5 0   4 E   4 7 G I F 8 9 a < ? p h p d o _ s o m e t h i n g ( ) ; ? >
T I F F   ( t i f ) 4 9 4 9 2 A 0 0 W i n d o w s   B i t m a p   ( b m p ) 4 2 4 D C A D   ( d w g ) 4 1 4 3 3 1 3 0 A d o b e   P h o t o s h o p   ( p s d ) 3 8 4 2 5 0 5 3 R i c h   T e x t   F o r m a t   ( r t f ) 7 B 5 C 7 2 7 4 6 6 M S   W o r d / E x c e l   ( x l s . o r . d o c ) D 0 C F 1 1 E 0 M S   A c c e s s   ( m d b ) 5 3 7 4 6 1 6 E 6 4 6 1 7 2 6 4 2 0 4 A Z I P   A r c h i v e   ( z i p ) ， 5 0 4 B 0 3 0 4 R A R   A r c h i v e   ( r a r ) ， 5 2 6 1 7 2 2 1 W a v e   ( w a v ) ， 5 7 4 1 5 6 4 5 A V I   ( a v i ) ， 4 1 5 6 4 9 2 0 R e a l   M e d i a   ( r m ) ， 2 E 5 2 4 D 4 6 M P E G   ( m p g ) ， 0 0 0 0 0 1 B A M P E G   ( m p g ) ， 0 0 0 0 0 1 B 3 Q u i c k t i m e   ( m o v ) ， 6 D 6 F 6 F 7 6 A d o b e   A c r o b a t   ( p d f ) ， 2 5 5 0 4 4 4 6 2 D 3 1 2 E W i n d o w s   M e d i a   ( a s f ) ， 3 0 2 6 B 2 7 5 8 E 6 6 C F 1 1 M I D I   ( m i d ) ， 4 D 5 4 6 8 6 4 格 式 格 式 文 件 头 文 件 头 5 . 限 制 限 制 W e b   S e r v e r 对 于 特 定 类 型 文 件 的 行 为 对 于 特 定 类 型 文 件 的 行 为 导 致 文 件 上 传 漏 洞 的 根 本 原 因 在 于 服 务 把 用 户 上 传 的 本 应 是 数 据 的 内 容 当 作 了 代 码 ， 一 般 来 说 ， 用 户 上 传 的 内 容 都 会 被 存 储 到 特 定 的 一 个 文 件 夹 下 。 比 如 我 们 很 多 人 习 惯 于 放 在   . / u p l o a d /   下 面 要 防 止 数 据 被 当 作 代 码 执 行 ， 我 们 可 以 限 制 w e b   s e r v e r 对 于 特 定 文 件 夹 的 行 为 。 大 多 数 服 务 端 软 件 都 可 以 支 持 用 户 对 于 特 定 类 型 文 件 的 行 为 的 自 定 义 ， 以 A p a c h e 为 例 ： 在 默 认 情 况 下 ， 对 与   . p h p 文 件 A p a c h e 会 当 作 代 码 来 执 行 ， 对 于   h t m l , c s s , j s 文 件 ， 则 会 直 接 由 H T T P   R e s p o n s e 交 给 客 户 端 程 序 对 于 一 些 资 源 文 件 ， 比 如 t x t ， d o c ， r a r 等 等 ， 则 也 会 以 文 件 下 载 的 方 式 传 送 的 客 户 端 。 我 们 希 望 用 户 上 传 的 东 西 仅 仅 当 作 资 源 和 数 据 而 不 能 当 作 代 码 因 此 可 以 使 用 服 务 器 程 序 的 接 口 来 进 行 限 制 以 A p a c h e 为 例 , 我 们 可 以 利 用   . h t a c c e s s   文 件 机 制 来 对 w e b   s e r v e r 行 为 进 行 限 制 在 这 里 插 一 句 ， 如 果 不 是 专 门 的 文 件 下 载 目 录 ， 请 务 必 关 掉 文 件 夹 浏 览 的 权 限 ， 以 防 止 嗅 探 和 可 能 的 越 权 ， 也 是 使 用 . h t a c c e s s 文 件 ， 在 其 中 加 上 一 句 即 可 。 O p t i o n s   A l l   - I n d e x e s
禁 止 脚 本 执 行 有 多 种 方 式 可 以 实 现 ， 而 且 分 别 有 不 同 的 效 果 ， 我 们 分 别 来 看 一 下 禁 止 脚 本 执 行 有 多 种 方 式 可 以 实 现 ， 而 且 分 别 有 不 同 的 效 果 ， 我 们 分 别 来 看 一 下 1 . 指 定 特 定 扩 展 名 的 文 件 的 处 理 方 式 , 原 理 是 指 定 R e s p o n s e 的 C o n t e n t - T y p e 可 以 加 上 如 下 几 行 这 种 情 况 下 ， 以 上 几 种 脚 本 文 件 会 被 当 作 纯 文 本 来 显 示 出 来 ， 你 也 可 以 换 成 其 他 的 C o n t e n t - T y p e 2 . 如 果 要 完 全 禁 止 特 定 扩 展 名 的 文 件 被 访 问 ， 用 下 面 的 几 行 在 这 种 情 况 下 ， 以 上 几 种 类 型 的 文 件 被 访 问 的 时 候 ， 会 返 回 4 0 3   F o r b i d d e n 的 错 误 3 . 也 可 以 强 制 w e b 服 务 器 对 于 特 定 文 件 类 型 的 处 理 ， 与 第 一 条 不 同 的 是 ，   下 面 的 方 法 直 接 强 行 让 a p a c h e 将 文 件 识 别 为 你 指 定 的 类 型 ， 而 第 一 种 是 让 浏 览 器 看 代 码 就 可 以 很 明 白 的 知 道 ， 符 合 上 面 正 则 的 全 部 被 认 为 是 纯 文 本 ， 也 可 以 继 续 往 里 面 加 入 其 他 类 型 。 4 . 只 允 许 访 问 特 定 类 型 的 文 件 在 一 个 上 传 图 片 的 文 件 夹 下 面 ， 就 可 以 加 上 这 段 代 码 ， 使 得 该 文 件 夹 里 面 只 有 图 片 扩 展 名 的 文 件 才 可 以 被 访 问 ， 其 他 类 型 都 是 拒 绝 访 问 。 这 又 是 一 个 白 名 单 的 处 理 方 案 永 远 记 得 ， 白 名 单 是 最 有 保 障 的 安 全 措 施 反 制 反 制 可 以 通 过   m o v e _ u p l o a d e d _ f i l e   函 数 把 自 己 写 的 . h t a c c e s s   文 件 上 传 ， 覆 盖 掉 服 务 器 上 的 文 件 ， 来 定 义 文 件 类 型 和 执 行 权 限 如 果 做 到 了 这 一 点 ， 将 获 得 相 当 大 的 权 限 。 *   原 创 作 者 ： s a r l e o n ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 A d d T y p e   t e x t / p l a i n   . p l   . p y   . p h p O p t i o n s   - E x e c C G I A d d H a n d l e r   c g i - s c r i p t   . p h p   . p l   . p y   . j s p   . a s p   . h t m   . s h t m l   . s h   . c g i 识 别 < F i l e s M a t c h   " . ( p h p | p l | p y | j s p | a s p | h t m | s h t m l | s h | c g i ) $ " > F o r c e T y p e   t e x t / p l a i n < / F i l e s M a t c h > < F i l e s   ^ ( * . j p e g | * . j p g | * . p n g | * . g i f ) > o r d e r   d e n y , a l l o w d e n y   f r o m   a l l < / F i l e s >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理