搜索

[8492] 2014-12-12_挖洞姿势：特殊的上传技巧，绕过PHP图片转换实现远程代码执行（RCE）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-12-12_挖洞姿势：特殊的上传技巧，绕过PHP图片转换实现远程代码执行（RCE） 挖 洞 姿 势 ： 特 殊 的 上 传 技 巧 ， 绕 过 P H P 图 片 转 换 实 现 远 程 代 码 执 行 （ R C E ） p h p e r   F r e e B u f   2 0 1 4 - 1 2 - 1 2 我 使 用 了 一 个 特 殊 的 图 片 上 传 技 巧 ， 绕 过 P H P   G D 库 对 图 片 的 转 换 处 理 ， 最 终 成 功 实 现 了 远 程 代 码 执 行 。 事 情 是 这 样 的 。 当 时 我 正 在 测 试 该 网 站 上 是 否 存 在 s q l 注 入 漏 洞 ， 不 经 意 间 我 在 网 站 个 人 页 面 发 现 了 一 个 用 于 上 传 头 像 的 文 件 上 传 表 单 。 开 始 时 我 并 没 指 望 在 上 传 功 能 处 发 现 漏 洞 ， 但 我 决 定 试 试 。 我 上 传 了 一 个 图 片 文 件 ， 通 过 截 断 h t t p 数 据 包 ， 修 改 j p g 图 片 的 文 件 名 后 缀 为 p h p ， 然 后 继 续 上 传 。 我 惊 讶 的 居 然 上 传 成 功 了 ， 我 几 乎 不 敢 相 信 这 么 简 单 的 漏 洞 居 然 存 在 。 于 是 我 复 制 了 图 片 u r l 并 且 在 浏 览 器 上 打 开 。 进 入 我 眼 帘 的 是 图 片 的 二 进 制 代 码 ， 这 意 味 着 图 片 以 p h p 解 析 了 ， 并 根 据 响 应 包 里 的 c o n t e n t - t y p e 以 t e x t / h t m l 格 式 返 回 。 我 现 在 要 做 的 是 在 j p g 文 件 中 注 入 p h p 代 码 以 进 行 远 程 代 码 执 行 ， 于 是 我 尝 试 将 代 码 < ?   p h p i n f o ( ) ;   ? > 写 入 图 片 的 E X I F 头 里 ， 但 是 悲 剧 的 是 再 次 上 传 发 现 p h p 代 码 没 有 被 执 行 。 在 本 机 进 行 了 测 试 ， 结 果 仍 然 无 效 — — 代 码 没 有 被 执 行 在 上 传 到 服 务 器 后 ， E X I F 里 的 代 码 都 被 删 除 了 ， 应 用 通 过 i m a g e c r e a t e f r o m j p e g ( ) 函 数 调 用 了 P H P   G D 库 （ G D 库 ， 是 p h p 处 理 图 形 的 扩 展 库 ） ， 对 图 片 进 行 了 转 换 。 那 么 如 果 不 将 代 码 注 入 E X I F 头 而 是 注 入 到 图 片 里 呢 ？ 本 机 测 试 通 过 ， 但 当 我 上 传 “ 1 . j p g ” 到 服 务 器 上 ， 返 回 以 下 结 果 ：
报 错 上 写 着 “ 文 件 必 须 是 合 法 的 图 片 ( . g i f ,   . j p g ,   . j p e g ,   或 . p n g ) ” ， 我 惊 叹 于 应 用 是 怎 么 判 断 图 片 不 合 法 的 。 我 又 测 试 了 一 些 其 他 j p g 文 件 ， 结 果 发 现 修 改 任 何 一 个 图 片 字 符 都 会 引 起 p h p - g d 库 的 错 误 判 断 ， 进 而 造 成 上 传 失 败 。 接 下 来 我 又 使 用 g i f 图 片 进 行 了 同 样 的 操 作 ， 结 果 是 ： 图 片 上 传 成 功 了 ， 但 是 图 片 中 的 p h p 代 码 完 全 被 删 除 了 。 虽 然 这 看 起 来 不 可 思 议 ， 但 是 我 不 能 放 弃 ， 因 为 现 在 距 离 成 功 利 用 远 程 代 码 执 行 （ R C E ） 只 有 一 步 之 遥 ， 我 必 须 绕 过 i m a g e c r e a t e f r o m g i f ( ) 函 数 。 我 对 图 片 的 处 理 和 p h p   G D 库 的 运 行 知 之 甚 少 ， 可 是 这 不 影 响 我 使 用 一 些 传 统 渗 透 测 试 方 法 。 我 想 到 一 个 方 法 ： 对 比 两 张 经 过 p h p - g d 库 转 换 过 的 g i f 图 片 ， 如 果 其 中 存 在 相 同 之 处 ， 这 就 证 明 这 部 分 图 片 数 据 不 会 经 过 转 换 。 然 后 我 可 以 注 入 代 码 到 这 部 分 图 片 文 件 中 ， 最 终 实 现 远 程 代 码 执 行 。 连 我 自 己 都 佩 服 我 的 机 智 ！ 如 图 ， 我 用 十 六 进 制 编 辑 器 打 开 图 片 文 件 ， 找 到 了 p h p 转 换 前 后 仍 然 保 持 相 同 的 十 六 进 制 串 “ 3 b 4 5 d 0 0 c e a d e 0 c 1 a 3 f 0 e 1 8 a f f 1 ” 并 修 改 它 为 < ? p h p i n f o ( ) ? > 。
保 存 图 片 ， 上 传 到 服 务 器 ： 我 的 P H P 代 码 被 执 行 了 ， 我 最 终 成 功 实 现 了 远 程 代 码 执 行 。 P O C 图 片 下 载 地 址 ： h t t p : / / s t a t i c . 3 0 0 1 . n e t / u p l o a d / 2 0 1 4 1 2 1 2 / 1 4 1 8 3 6 2 8 6 2 7 9 4 8 . r a r
密 码 f r e e b u f [ 参 考 信 息 来 源 ： h t t p : / / w w w . s e c g e e k . n e t / b o o k f r e s h - v u l n e r a b i l i t y / ， ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理