搜索

[22074] 2021-06-18_Web安全：文件上传漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-18_Web安全：文件上传漏洞 W e b 安 全 ： 文 件 上 传 漏 洞 L e m o n S e c   2 0 2 1 - 0 6 - 1 8 来 源 ： 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 般 将 文 件 上 传 归 类 为 直 接 文 件 上 传 与 间 接 文 件 上 传 。 直 接 文 件 上 传 就 是 服 务 器 根 本 没 有 做 任 何 安 全 过 滤 ， 导 致 攻 击 者 可 以 直 接 上 传 小 马 文 件 及 大 马 文 件 （ 如 A S P 、 A S P X 、 P H P 、 J S P 及 w a r 文 件 等 类 型 的 小 马 文 件 及 大 马 文 件 ） ， 从 而 得 到 目 标 站 点 的 s h e l l 。 间 接 文 件 上 传 就 是 服 务 器 对 用 户 上 传 的 文 件 使 用 了 安 全 策 略 ： 第 一 种 安 全 策 略 是 在 程 序 代 码 中 设 置 黑 名 单 或 者 白 名 单 ； 第 二 种 安 全 策 略 是 在 W e b 应 用 层 加 一 个 W A F 。 对 于 第 一 种 安 全 策 略 ， 当 程 序 代 码 中 设 置 的 是 黑 名 单 的 时 候 ， 攻 击 者 可 能 会 想 办 法 绕 过 黑 名 单 的 限 制 ， 实 现 文 件 上 传 ， 进 而 得 到 s h e l l 。 绕 过 白 名 单 的 限 制 亦 同 理 ， 只 是 白 名 单 策 略 的 限 制 一 般 而 言 更 难 绕 过 。 对 于 第 二 种 安 全 策 略 ， 大 家 都 知 道 W A F 吧 ？ W A F 其 实 也 是 基 于 m o d _ s e c u r i t y 模 块 进 行 开 发 的 ， 一 个 W A F 功 能 及 性 能 的 好 坏 直 接 决 定 了 网 站 的 安 全 系 数 。 所 以 ， 如 果 研 究 透 W A F 里 的 拦 截 规 则 ， 或 许 就 有 办 法 绕 开 W A F 的 拦 截 ， 从 而 实 现 S Q L 注 入 及 文 件 上 传 等 。 一 般 情 况 下 ， 攻 击 者 会 通 过 查 找 文 件 上 传 功 能 程 序 中 的 文 件 上 传 安 全 检 测 代 码 的 漏 洞 ， 然 后 利 用 该 漏 洞 绕 过 文 件 上 传 安 全 检 测 代 码 的 限 制 ， 实 现 上 传 文 件 。 接 下 来 ， 我 们 来 全 面 、 细 致 地 学 习 文 件 上 传 漏 洞 相 关 的 知 识 ， 其 具 体 类 型 包 括 J a v a S c r i p t 验 证 绕 过 、 M I M E 类 型 验 证 、 文 件 头 内 容 验 证 、 黑 名 单 内 容 验 证 及 白 名 单 内 容 验 证 等 。 1 、 、 J a v a S c r i p t 验 证 绕 过 验 证 绕 过 事 实 上 ， 基 于 客 户 端 的 验 证 都 是 不 安 全 的 。 接 下 来 ， 我 们 来 介 绍 客 户 端 J a v a S c r i p t 验 证 绕 过 的 情 况 ， 浏 览 器 请 求 测 试 代 码 与 服 务 器 响 应 测 试 代 码 分 别 如 下 。 浏 览 器 请 求 测 试 代 码 ： j s _ b y p a s s . h t m l 代 码 。 < h t m l > < h e a d > < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ; c h a r s e t = g b k " / > < m e t a   h t t p - e q u i v = " c o n t e n t - l a n g u a g e "   c o n t e n t = " z h - C N " / > < t i t l e > 客 户 端 J S 验 证 绕 过 测 试 代 码 < / t i t l e > < s c r i p t   t y p e = " t e x t / J a v a S c r i p t " > f u n c t i o n   c h e c k F i l e ( )   { v a r   fi l e   =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u p fi l e ' ) [ 0 ] . v a l u e ; i f   ( fi l e   = =   n u l l   | |   fi l e   = =   " " )   { a l e r t ( " 你 还 没 有 选 择 任 何 文 件 ， 不 能 上 传 ! " ) ; r e t u r n   f a l s e ; } / / 定 义 允 许 上 传 的 文 件 类 型 v a r   a l l o w _ e x t   =   " . j p g | . j p e g | . p n g | . g i f | . b m p | " ; / / 提 取 上 传 文 件 的 类 型 v a r   e x t _ n a m e   =   fi l e . s u b s t r i n g ( fi l e . l a s t I n d e x O f ( " . " ) ) ; / / a l e r t ( e x t _ n a m e ) ;
/ / a l e r t ( e x t _ n a m e   +   " | " ) ; / / 根 据 上 传 文 件 类 型 判 断 是 否 允 许 上 传 i f   ( a l l o w _ e x t . i n d e x O f ( e x t _ n a m e   +   " | " )   = =   - 1 )   { v a r   e r r M s g   =   " 该 文 件 不 允 许 上 传 ， 请 上 传 "   +   a l l o w _ e x t   +   " 类 型 的 文 件 ， 当 前 文 件 类 型 为 "   +   e x t _ n a m e ; a l e r t ( e r r M s g ) ; r e t u r n   f a l s e ; } } < / s c r i p t > < / h e a d > < b o d y > < h 3 > 客 户 端 J S 验 证 绕 过 测 试 代 码 < / h 3 > < f o r m   a c t i o n = " u p l o a d . p h p "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   n a m e = " u p l o a d "   o n s u b m i t = " r e t u r n   c h e c k F i l e ( ) " > < i n p u t   t y p e = " h i d d e n "   n a m e = " M A X _ F I L E _ S I Z E "   v a l u e = " 2 0 4 8 0 0 " / > 请 选 择 要 上 传 的 文 件 ： < i n p u t   t y p e = " fi l e "   n a m e = " u p fi l e " / > < i n p u t   t y p e = " s u b m i t "   n a m e = " s u b m i t "   v a l u e = " 上 传 " / > < / f o r m > < / b o d y > < / h t m l > 服 务 器 响 应 测 试 代 码 ： u p l o a d . p h p 代 码 。 < ? p h p / / 客 户 端 J a v a S c r i p t 验 证 绕 过 测 试 代 码 $ u p l o a d d i r   =   ' u p l o a d s / ' ; i f   ( i s s e t ( $ _ P O S T [ ' s u b m i t ' ] ) ) { i f   ( f i l e _ e x i s t s ( $ u p l o a d d i r ) ) { i f   ( m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ ' u p f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ u p l o a d d i r   .   ' / '   .   ） 8 4 W e b 安 全 漏 洞 原 理 及 实 战 } e l s e { e x i t ( $ u p l o a d d i r   .   ' 文 件 夹 不 存 在 ， 请 手 工 创 建 ！ ' ) ; } } ? > 攻 击 者 将 上 述 测 试 代 码 分 别 放 在 客 户 端 与 服 务 器 ， 开 启 浏 览 器 ， 输 入 h t t p : / / l o c a l h o s t : 8 1 / j s _ b y p a s s . h t m l ， W e b 服 务 器 返 回 信 息 如 图 1 所 示 。
图 1     返 回 信 息 我 们 可 以 看 到 ， 不 允 许 上 传 P H P 文 件 ， 是 谁 不 允 许 ？ 查 看 代 码 ， 原 来 是 J a v a S c r i p t 不 允 许 上 传 P H P 文 件 ， 代 码 如 图 2 所 示 。 图 2     网 页 代 码 文 件 上 传 安 全 检 测 代 码 如 下 。 < s c r i p t   t y p e = " t e x t / J a v a S c r i p t " > f u n c t i o n   c h e c k F i l e ( )   { v a r   fi l e   =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u p fi l e ' ) [ 0 ] . v a l u e ; i f   ( fi l e   = =   n u l l   | |   fi l e   = =   " " )   { a l e r t ( " 你 还 没 有 选 择 任 何 文 件 ， 不 能 上 传 ! " ) ; r e t u r n   f a l s e ;
} / / 定 义 允 许 上 传 的 文 件 类 型 v a r   a l l o w _ e x t   =   " . j p g | . j p e g | . p n g | . g i f | . b m p | " ; / / 提 取 上 传 文 件 的 类 型 v a r   e x t _ n a m e   =   fi l e . s u b s t r i n g ( fi l e . l a s t I n d e x O f ( " . " ) ) ; / / a l e r t ( e x t _ n a m e ) ; / / a l e r t ( e x t _ n a m e   +   " | " ) ; / / 判 断 上 传 文 件 类 型 是 否 允 许 上 传 i f   ( a l l o w _ e x t . i n d e x O f ( e x t _ n a m e   +   " | " )   = =   - 1 )   { v a r   e r r M s g   =   " 该 文 件 不 允 许 上 传 ， 请 上 传 "   +   a l l o w _ e x t   +   " 类 型 的 文 件 ， 当 前 文 件 类 型 为 "   +   e x t _ n a m e ; a l e r t ( e r r M s g ) ; r e t u r n   f a l s e ; } } < / s c r i p t > 攻 击 者 将 j s _ b y p a s s . h t m l 这 个 网 页 保 存 到 本 地 ， 修 改 代 码 ， 将 代 码 “ v a r   a l l o w _ e x t   =   " . j p g | . j p e g | . p n g | . g i f | . b m p | " ; ” 修 改 为 “ v a r   a l l o w _ e x t   = " . j p g | . j p e g | . p n g | . g i f | . b m p | . p h p " ; ” ， 再 将 以 下 这 段 代 码 中 a c t i o n 的 内 容 修 改 为 “ a c t i o n = "   h t t p : / / l o c a l h o s t : 8 1 / u p l o a d . p h p " ” 。 全 部 修 改 完 毕 以 后 ， 保 存 j s _ b y p a s s . h t m l 文 件 到 C 盘 根 目 录 。 < f o r m   a c t i o n = " "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   n a m e = " u p l o a d "   o n s u b m i t = " r e t u r n   c h e c k F i l e ( ) " > < i n p u t   t y p e = " h i d d e n "   n a m e = " M A X _ F I L E _ S I Z E "   v a l u e = " 2 0 4 8 0 0 " / > 请 选 择 要 上 传 的 文 件 ： < i n p u t   t y p e = " f i l e "   n a m e = " u p f i l e " / > < i n p u t   t y p e = " s u b m i t "   n a m e = " s u b m i t "   v a l u e = " 上 传 " / > < / f o r m > 开 启 浏 览 器 并 输 入 f i l e : / / / C : / j s _ b y p a s s . h t m l 。 尝 试 上 传 P H P 文 件 并 发 送 请 求 后 ， 地 址 将 跳 转 到 l o c a l h o s t : 8 1 / u p l o a d . p h p ， W e b 服 务 器 返 回 信 息 如 图 3 所 示 。
图 3     返 回 信 息 我 们 可 以 看 到 ， x i a o m a . p h p 文 件 已 经 上 传 成 功 了 。 接 下 来 ， 通 过 “ 中 国 菜 刀 ” 就 可 以 获 取 s h e l l 了 ， x i a o m a . p h p 文 件 就 是 刚 才 上 传 的 ， 如 图 4 所 示 。 图 4     x i a o m a . p h p 文 件 2 、 、 M I M E 类 型 验 证 类 型 验 证 言 及 M I M E 类 型 验 证 ， 我 们 可 以 先 来 了 解 一 下 P H P 环 境 配 置 文 件 中 关 于 文 件 上 传 的 一 些 设 置 ， 其 设 置 为 f i l e _ u p l o a d s = 、 f i l e _ u p l o a d s = o n （ 允 许 上 传 文 件 ） 、 f i l e _ u p l o a d s = o f f （ 不 允 许 上 传 文 件 ） ， 这 里 的 本 地 P H P 代 码 环 境 默 认 设 置 允 许 上 传 文 件 ， 如 图 5 所 示 。
图 5     默 认 设 置 允 许 上 传 文 件 默 认 设 置 允 许 上 传 文 件 之 后 ， 我 们 就 可 以 设 置 一 些 文 件 上 传 的 属 性 了 ， 如 图 6 所 示 。
图 6     设 置 f i l e _ u p l o a d s = o n 接 着 说 M I M E 类 型 验 证 。 在 最 早 的 H T T P 中 ， 并 没 有 附 加 的 数 据 类 型 信 息 ， 所 有 传 送 的 数 据 都 被 客 户 端 程 序 解 释 为 H T M L 文 档 ， 而 为 了 支 持 多 媒 体 数 据 类 型 ， H T T P 中 使 用 了 附 加 在 文 档 之 前 的 M I M E 数 据 类 型 信 息 来 标 识 数 据 类 型 。 M I M E 意 为 多 功 能 I n t e r n e t 邮 件 扩 展 ， 它 设 计 的 最 初 目 的 是 在 发 送 电 子 邮 件 时 附 加 多 媒 体 数 据 ， 让 邮 件 在 客 户 端 程 序 中 能 根 据 其 类 型 进 行 处 理 。 然 而 当 H T T P 支 持 M I M E 之 后 ， 它 的 意 义 就 更 为 显 著 了 。 它 使 H T T P 传 输 的 不 仅 是 普 通 的 文 本 ， 而 且 可 以 是 丰 富 的 数 据 类 型 。 每 个 M I M E 类 型 由 两 部 分 组 成 ， 一 部 分 定 义 的 是 数 据 的 大 类 别 ， 另 一 部 分 定 义 的 是 具 体 的 种 类 。 一 些 常 见 的 M I M E 类 型 为 超 文 本 标 记 语 言 文 本 （ . h t m l   t e x t / h t m l ） 、 普 通 文 本 （ . t x t   t e x t / p l a i n ） 、 p n g 图 形 （ . p n g i m a g e / p n g ） 、 g i f 图 形 （ . g i f   i m a g e / g i f ） 、 j p e g 图 形 （ . j p e g , . j p g   i m a g e / j p e g ） 。 接 下 来 ， 用 测 试 代 码 来 说 明 M I M E 类 型 验 证 的 绕 过 。 测 试 代 码 如 下 。 图 片 文 件 上 传 表 单 ： m i m e _ b y p a s s 1 . h t m l 代 码 。 < f o r m   m e t h o d = " p o s t "   a c t i o n = " u p l o a d 1 . p h p "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > < i n p u t   t y p e = " f i l e "   n a m e = " f i l e "   / > < i n p u t   t y p e = " s u b m i t "   n a m e = " s u b m i t "   v a l u e = " 上 传 图 片 "   / > < / f o r m > 图 片 文 件 上 传 M I M E 类 型 验 证 代 码 ： u p l o a d 1 . p h p 代 码 。
< ? p h p i f   ( ( $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ]   = =   ' i m a g e / g i f ' )   | |   ( $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ]   = =   ' i m a g e / p n g ' )   | |   ( $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ]   = =   ' i m a g e / j p e g ' )   | |   ( $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ]   = =   ' i m a g e / p j p e g ' ) ) { $ u p l o a d _ d i r   =   ' u p l o a d s / ' ; $ u p l o a d _ f i l e   =   $ u p l o a d _ d i r   .   b a s e n a m e   ( $ _ F I L E S [ ' f i l e ' ] [ ' n a m e ' ] ) ; $ f l a g   =   m o v e _ u p l o a d e d _ f i l e   ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ u p l o a d _ f i l e ) ; i f   ( $ f l a g ) { e c h o   ' 文 件 上 传 成 功 ！ ' ; e c h o   ' < b r   / > ' ; e c h o   ' 文 件 名 :   '   .   $ _ F I L E S [ ' f i l e ' ] [ ' n a m e ' ] ; e c h o   ' < b r   / > ' ; e c h o   ' 文 件 类 型 :   '   .   $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ] ; e c h o   ' < b r   / > ' ; e c h o   ' 文 件 大 小 :   '   .   ( $ _ F I L E S [ ' f i l e ' ] [ ' s i z e ' ]   /   1 0 2 4 )   .   ' k b ' ; e c h o   ' < b r   / > ' ; e c h o   ' 临 时 文 件 :   '   .   $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ; e c h o   ' < b r   / > ' ; e c h o   ' 永 久 文 件 ： '   .   $ u p l o a d _ f i l e ; e c h o   ' < b r   / > ' ; } e l s e { e c h o   ' 文 件 上 传 失 败 ！ ' ; e c h o   ' < b r   / > ' ; e x i t ; } } e l s e { e c h o   ' 图 片 格 式 不 正 确 ！ ' ; e x i t ; } ? > 开 启 浏 览 器 ， 输 入 h t t p : / / l o c a l h o s t : 8 1 / m i m e _ b y p a s s 1 . h t m l ， 上 传 一 个 d o c 文 件 并 发 送 请 求 后 ， 地 址 将 跳 转 到 l o c a l h o s t : 8 1 / u p l o a d 1 . p h p ， 结 果 显 示 图 片 格 式 不 正 确 。 W e b 服 务 器 返 回 信 息 如 图 7 所 示 。
图 7     返 回 信 息 返 回 信 息 为 “ 图 片 格 式 不 正 确 ！ ” ， 上 传 图 片 文 件 ， 如 图 8 所 示 。 图 8     上 传 图 片 文 件 使 用 B u r p   S u i t e 截 取 浏 览 器 上 传 1 . p n g 文 件 时 发 送 到 服 务 器 的 数 据 包 ， 如 图 9 所 示 。
图 9     B u r p   S u i t e 截 取 数 据 包 （ 1 ） 我 们 可 以 看 到 如 下 信 息 。 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e " ;   f i l e n a m e = " 1 . p n g " C o n t e n t - T y p e :   i m a g e / p n g H T T P 头 中 ， C o n t e n t - T y p e 字 段 的 值 为 i m a g e / p n g 。 我 们 可 以 看 到 ， 这 个 文 件 的 M I M E 类 型 是 p n g ， 而 不 是 其 他 类 型 。 此 时 ， 把 1 . p n g 文 件 的 文 件 名 修 改 为 1 . g i f ， 再 用 B u r p   S u i t e 截 取 数 据 包 上 传 ， 看 一 下 H T T P 头 中 C o n t e n t - T y p e 字 段 的 值 又 是 什 么 ， 如 图 1 0 所 示 。 图 1 0     B u r p   S u i t e 截 取 数 据 包 （ 2 ） 我 们 可 以 看 到 如 下 信 息 。 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e " ;   f i l e n a m e = " 1 . g i f " C o n t e n t - T y p e :   i m a g e / g i f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理