搜索

[14944] 2020-01-05_关于FileUpload的一些思考

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-01-05_关于FileUpload的一些思考 关 于 F i l e   U p l o a d 的 一 些 思 考 灭 迹 下 的 荒 诞   F r e e B u f   2 0 2 0 - 0 1 - 0 5 在 在 w e b 渗 透 中 ， 文 件 上 传 是 最 简 单 直 接 的 方 式 之 一 。 渗 透 中 ， 文 件 上 传 是 最 简 单 直 接 的 方 式 之 一 。 但 是 碰 到 完 全 不 做 校 验 的 代 码 直 接 上 传 但 是 碰 到 完 全 不 做 校 验 的 代 码 直 接 上 传 g e t s h e l l ， 很 难 有 这 ， 很 难 有 这 样 的 运 气 ； 大 部 分 时 候 都 有 检 测 ， 甚 至 多 处 设 卡 。 样 的 运 气 ； 大 部 分 时 候 都 有 检 测 ， 甚 至 多 处 设 卡 。 若 按 设 卡 点 的 顺 序 来 说 可 大 致 分 为 ： 前 端 j s 检 验 、 防 护 检 测 （ w a f ） 、 服 务 端 检 测 。 这 里 就 讲 如 何 绕 过 服 务 端 代 码 的 检 测 ， 服 务 端 会 出 现 文 件 上 传 的 什 么 安 全 配 置 。 一 、 文 件 上 传 安 全 配 置 一 、 文 件 上 传 安 全 配 置 一 图 顶 千 言 ， 请 看 下 图 ： 二 、 绕 过 服 务 端 的 代 码 检 测 二 、 绕 过 服 务 端 的 代 码 检 测 服 务 端 的 代 码 常 检 测 r e q u e s t 包 中 的 三 个 点 ：
1 ） M I M E 类 型   2 ） 文 件 后 缀 3 ） 文 件 内 容 如 下 图 所 示 ： 理 论 上 请 求 包 的 任 何 参 数 都 可 以 作 为 检 测 点 ， 但 是 对 于 文 件 上 传 功 能 来 说 ， 用 户 提 交 的 请 求 包 中 这 三 个 地 方 ， 是 辨 别 是 否 为 恶 意 文 件 的 重 要 的 三 个 点 ， 所 以 大 部 份 后 端 程 序 的 都 是 检 测 这 么 三 个 地 方 。 这 三 个 检 测 点 详 细 的 检 测 方 式 ， 如 下 图 所 示 : 讲 了 这 么 多 ， 那 么 该 怎 进 行 绕 过 呢 ？ 话 不 多 说 ， 开 始 吧 ！ 1 ） ） M I M E 类 型 检 测 类 型 检 测 我 们 先 来 看 一 段 在 w 3 c 上 的 ， 检 验 M I M E 类 型 的 一 段 p h p 代 码 ， 如 下 图 所 示 :
可 以 看 见 上 面 代 码 中 只 校 验 了 h t t p 头 中 的 M I M E 类 型 。 这 M I M E 类 型 的 校 验 啊 ， 就 好 比 ： 城 门 守 卫 问 你 ： “ 你 是 不 是 好 人 ？ ” （ p h p 代 码 中 的 i f 判 断 ） 你 只 需 回 答 ： “ 我 是 好 人 ！ ” （ r e q u e s t 包 中 c o n t e n t - t y p e 字 段 改 为 i m a g e / j p e g ） 然 后 ， 城 门 守 卫 就 放 行 了 。 至 于 你 到 底 是 不 是 好 人 ， 和 你 如 何 回 答 的 是 没 有 丝 毫 关 系 的 。 这 个 逻 辑 适 用 于 很 多 情 况 ， 这 也 是 安 全 的 基 础 ： 不 信 任 任 何 客 户 端 提 交 的 数 据 。 2 ） 文 件 后 缀 检 测 ） 文 件 后 缀 检 测 文 件 后 缀 检 测 分 两 种 情 况 ： 白 名 单 和 黑 名 单 。 绕 过 白 名 单 或 黑 名 单 有 诸 多 姿 势 ： “ 服 务 器 解 析 漏 洞 ”   、   “ 文 件 命 名 规 则 ” 、 “ 0 0 截 断 ” 、 “ 长 度 截 断 ” 、 “ 竞 争 上 传 ” 、 “ 双 上 传 ” 、 “ 可 解 析 后 缀 ” 、 “ . h t a c e e s 和 u s e r . i n i ” 、 “ 误 用 函 数 ” 等 等 。 废 话 不 多 说 ， 请 看 下 图 ：
1 、 服 务 器 解 析 漏 洞 1 . 1 、 a p a c h e 解 析 漏 洞 首 先 ， 对 于 A p a c h e 服 务 器 来 说 ， 哪 些 后 缀 可 以 被 解 析 是 由 什 么 决 定 呢 ？ a p a c h e 中 有 一 个 关 于 p h p 的 默 认 配 置 文 件 ， 其 中 用 正 则 指 定 了 哪 些 后 缀 使 用 哪 些 解 析 器 。 如 图 ： a p a c h e 解 析 又 一 个 特 点 ， 解 析 文 件 时 是 从 右 往 左 判 断 ， 遇 到 不 认 识 的 后 缀 时 ， 就 跳 过 ， 于 是 就 有 了 类 似 于 “ . p h p . 1 2 3 ” 这 种 绕 过 方 式 。 但 是 从 上 图 可 以 看 到 ， 这 种 方 式 在 这 种 配 置 情 况 下 是 行 不 通 的 ， 但 是 在 “ C V E - 2 0 1 7 - 1 5 7 1 5 ” 中 提 到 了 可 以 使 用 % 0 a 绕 过 ， 因 为 在 上 面 正 则 中 “ . p h p $ ” 代 表 以 “ . p h p ” 结 尾 或 者 “ 以 . p h p ” 结 尾 加 换 行 ， 可 是 一 般 情 况 下 程 序 员 获 取 文 件 后 缀 时 会 使 用 “ $ _ F I L E S [ ‘ f i l e ’ ] [ ‘ n a m e ’ ] ” ， 它 会 自 动 过 滤 掉 换 行 ， 这 就 让 这 个 漏 洞 显 得 有 些 尴 尬 了 。 大 多 情 况 下 ， 我 们 遇 到 a p a c h e 解 析 漏 洞 的 是 配 置 错 误 导 致 的 ， 比 如 下 面 这 条 语 句 。 这 种 情 况 下 ， 只 要 文 件 后 缀 包 含 “ p h p ” 关 键 字 ， 文 件 就 会 被 作 为 p h p 来 解 析 。 1 . 2 、 n g i n x 和 i i s 7 . 5 / 7 . 0 解 析 漏 洞
此 解 析 漏 洞 其 实 是 p h p 的 配 置 错 误 导 致 。 p h p 为 了 支 持 p a t h   i n f o 模 式 创 造 了 f i x _ p a t h i n f o 这 个 选 项 ， 当 它 被 打 开 时 ， f p m 就 会 判 断 请 求 的 文 件 是 否 存 在 ， 如 果 不 存 在 就 去 掉 最 后 一 个 开 始 的 内 容 ， 再 次 查 看 文 件 是 否 存 在 ， 不 存 在 再 去 掉 从 开 的 内 容 ， 循 环 往 复 。 所 以 当 请 求 h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 / a d m i n / u p l o a d / s h e l l . j p g / . p h p 这 么 个 文 件 时 ， f p m 会 把 / . p h p 去 掉 把 s h e l l . j p g 当 作 p h p 执 行 。 后 来 出 现 了 s e c c u r i t y . l i m i t _ e x t e n s i o n s 选 项 ， 这 个 选 项 默 认 配 置 . p h p 文 件 才 能 被 f p m 执 行 。 利 用 条 件 ： 1 、 f a s t - c g i 模 式 运 行 2 、 F i x _ p a t h i n f o 为 1   （ 默 认 为 1 ） 3 、 s e c c u r i t y . l i m i t _ e x t e n s i o n s 选 项 允 许 。 （ 默 认 只 解 析 . p h p ） 1 . 3 、 I i s 5 . x - 6 . x 解 析 漏 洞 使 用 i i s 5 - 6 的 基 本 都 是 W i n d o w s   s e r v e r   2 0 0 3 这 种 老 服 务 器 了 。 这 种 老 服 务 器 默 认 一 般 只 解 析 a s p 。 这 个 解 析 漏 洞 很 简 单 ， 就 两 条 ： 1 、 以 * . a s p 命 名 的 文 件 夹 下 所 有 文 件 都 以 a s p 文 件 执 行 2 、 . a s p ; . j p g 这 种 形 式 的 命 名 方 式 会 自 动 会 忽 略 掉 ; 后 的 内 容 。 2 、 文 件 命 名 规 则 2 . 1 、 w i n d o w s 命 名 规 则 1 、 文 件 名 长 度 最 大 为 2 5 5 个 英 文 字 符 。 （ 或 者 是 1 2 7 个 中 文 字 符 + 1 个 英 文 字 符 ） 2 、 全 路 径 最 大 长 度 最 大 为 2 6 0 个 字 符 。 3 、 访 问 文 件 不 区 分 大 小 写 （ 部 分 应 用 程 序 使 用 时 除 外 ） ， 显 示 文 件 时 有 大 小 写 。 4 、 开 头 不 能 使 用 空 格 ， 其 他 地 方 可 以 。 5 、 文 件 名 不 能 包 含 ： <   >   |   /     *   ?   : 我 在 f r e e b u f 上 看 见 过 这 篇 文 章 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 9 6 4 0 4 . h t m l
总 结 的 很 好 ， 此 处 就 直 接 引 用 了 。 其 实 分 号 ; 也 符 合 。 大 家 自 己 寻 找 应 该 还 有 一 些 符 号 也 符 合 。 2 . 2 、 l i n u x 命 名 规 则 1 、 文 件 名 最 大 长 度 为 2 5 5 2 、 全 路 径 长 度 最 大 为 4 0 9 6 （ 1 6 级 最 大 文 件 长 度 ） 3 、 区 分 大 小 写 4 、 除 “ / ” 之 外 所 有 字 符 都 可 以 使 用 5 、 l i n u x 不 以 文 件 扩 展 名 区 分 文 件 类 型 ， 对 l i n u x 来 说 一 切 皆 文 件 。 l i n u x 下 通 过 命 名 规 则 绕 过 的 话 ， 可 以 尝 试     或 者   & &   ;   等 命 令 分 割 符 号 绕 过 3 、 0 0 截 断 0 0 截 断 常 见 的 有 % 0 0 、 0 x 0 0 等 ， 他 们 都 是 表 示 a s c i i 字 符 表 中 的 保 留 字 符 c h r ( 0 ) 。 不 管 表 示 编 码 方 式 有 啥 区 别 ， 只 要 能 让 服 务 器 正 确 解 析 为 c h r ( 0 ) 就 行 。 0 0 截 断 的 原 理 ： c h r ( 0 ) 表 示 结 束 。 限 制 条 件 ： 小 于 p h p 5 . 3 . 4   小 于 j d k 1 . 7 . 0 _ 4 0 未 过 滤 c h r ( 0 ) ， 例 如 m a g i c q u o e s g p c 为 o f f 4 、 长 度 截 断 当 文 件 名 的 长 度 超 过 系 统 允 许 的 最 大 长 度 时 ， 会 将 超 出 部 分 进 行 截 断 。 （ 部 分 系 统 不 会 进 行 截 断 ， 无 法 创 建 ） 测 试 中 可 以 使 用 二 分 法 ， 不 断 尝 试 最 大 长 度 ， 然 后 进 行 截 断 。 5 、 竞 争 上 传 当 代 码 中 的 逻 辑 是 先 保 存 上 传 的 文 件 ， 然 后 再 判 断 上 传 文 件 是 否 合 法 时 ， 便 存 在 时 间 竞 争 条 件 漏 洞 。
首 先 写 个 生 成 马 儿 的 马 儿 。 上 传 马 儿 ， 同 时 使 用 b u r p s u i t 不 断 请 求 马 儿 ， 或 者 写 个 脚 本 跑 ， 6 、 双 上 传 当 代 码 中 只 对 一 处 文 件 名 做 校 验 时 ， 便 存 在 双 上 传 的 漏 洞 。 使 用 b u r p s u i t 抓 包 改 包 或 者 F 1 2 修 改 前 端 代 码 都 可 以 。 7 、 可 解 析 后 缀 不 常 见 的 可 解 析 后 缀 ： 1 、 p h ( p [ 1 - 7 ] ? | t ( m l ) ? )     s h t m l     p w m l 2 、 a s a a s a x c e r c d x a s p x a s c x a s h x a s m x a s p { 8 0 - 9 0 } 3 、 j s p x j s p f j s p a j s w j s v j t m l 8 、 . h t a c c e s 和 u s e r . i n i 首 先 先 了 解 一 下 这 俩 文 件 ， 如 下 图 ： 这 两 种 利 用 方 式 差 不 多 ， 都 是 先 上 传 配 置 文 件 ， 然 后 上 传 图 片 马 之 类 的 。 唯 一 不 同 是 ， u s e r . i n i 是 把 图 片 内 容 附 加 在 p h p 脚 本 前 面 或 者 后 面 ， 类 似 于 r e q u i r e ( ) 函 数 ;
. h t a c c e s s 是 把 图 片 内 容 用 p h p 来 解 析 。 9 、 误 用 函 数 e m p t y ( ) 、 i s s e t ( ) 、 s t r p o s ( ) 、 r e n a m e ( ) 、 i c o n v ( ) 、 c o p y ( ) 3 ） 文 件 内 容 检 测 ） 文 件 内 容 检 测 1 、 图 片 马 一 般 情 况 下 检 测 文 件 幻 数 、 文 件 相 关 信 息 、 文 件 渲 染 都 可 以 通 过 制 作 的 图 片 马 进 行 绕 过 。 这 里 只 讲 文 件 渲 染 ， 因 为 能 过 文 件 渲 染 的 图 片 马 完 全 可 以 过 上 面 那 两 种 。 文 件 渲 染 顾 名 思 义 ， 就 是 对 上 传 的 文 件 进 行 加 载 渲 染 ， 例 如 加 载 图 片 检 测 是 否 能 正 常 使 用 。 绕 过 方 式 ： b u r p s u i t 改 包   或 者   c o p y   1 . j p g   / b   +   2 . p h p   / a   3 . j p g   生 成 图 片 马 2 、 二 次 渲 染 二 次 渲 染 就 不 好 过 了 ， 因 为 它 会 把 图 片 中 多 余 的 语 句 去 除 ， 包 括 你 的 代 码 。 关 于 怎 么 制 作 过 二 次 渲 染 的 图 片 马 ， 此 处 参 考 h t t p s : / / x z . a l i y u n . c o m / t / 2 6 5 7 h t t p s : / / s e c g e e k . n e t / b o o k f r e s h - v u l n e r a b i l i t y / 或 者 ， 直 接 用 别 人 做 好 的 图 片 马 h t t p s : / / g i t h u b . c o m / Y a n g 1 k / u p l o a d - l a b s - P a s s 1 6 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 灭 迹 下 的 荒 诞 ， 本 文 属 于 灭 迹 下 的 荒 诞 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理