2. 程式人生 > 其它 >upload-labs(11-15)

upload-labs(11-15)

阿新 • • 發佈：2021-08-07

pass-11 黑名單-%00截斷-get

黑盒測試

1.php上傳失敗,只允許上傳如下格式,看來這次採用白名單了

前端沒有js指令碼

改Content-Type: image/png,上傳失敗

沒有頭緒,看看提示吧,說上傳路徑可控?

果然url欄寫著路徑,但是不知道有什麼用

原始碼分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上傳出錯！';
        }
    } else{
        $msg = "只允許上傳.jpg|.png|.gif型別檔案！";
    }
}

1.strrpos() 函式查詢字串在另一字串中最後一次出現的位置。

  • 原始碼中是查詢.在檔名中最後出現的位置

2.substr() 函式 返回其中一部分的字串。

  • substr(string,start,length):start為開始擷取部分

3.將字尾名給$file_ext

4.如果$file_ext在白名單內,就上傳到規定的路徑,檔案命名為上傳路徑+10-99+年月日時分秒+$file_ext

看著無懈可擊,有沒有突破路徑呢?

百度了一下,這道題要用00截斷

%00截斷

繞過原理

move_uploaded_file函式的底層實現類似於C語言，遇到0x00會截斷,把後面部分刪掉

截斷條件：

1、php版本小於5.3.4

,(現在php版本都8了)

2、php.ini的magic_quotes_gpc為OFF狀態

注意

POST和GET不一樣

%00 截斷在 GET 中被 url 解碼之後是空字元。

但是在 POST 中 %00 不會自動被 url 解碼，用bp先對%00進行解碼

這也是為什麼上傳後沒有截斷,因為是post上傳

白盒測試

因為重新命名是上傳路徑+10-99+年月日時分秒+$file_ext

在上傳路徑處進行修改

上傳1.php,burpsuite進行修改

表面上重新命名成了:1.php%EF%BF%BD/6120210806180147.gif

儲存的時候由於截斷,變成了1.php

連線成功

pass-12 黑名單-%00截斷-post

黑盒測試

同樣只允許上傳圖片型別

抓包發現檔案路徑變成post上傳了

進行修改,同時將%00先解碼

檔案名錶面上是123.php%EF%BF%BD/3020210806184837.jpg

但是由於截斷作用,實際上是123.php

連線成功

原始碼分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳失敗";
        }
    } else {
        $msg = "只允許上傳.jpg|.png|.gif型別檔案！";
    }
}

除了改成POST上傳,和pass-11沒什麼區別

pass-13白名單-檔案包含漏洞-上傳圖片馬-讀檔案前兩個位元組

黑盒測試

看看要求:

意思是說這個系統有檔案包含漏洞,讓我們上傳三種格式的圖片馬並連線成功

做圖片馬

做一個圖片馬的四種方法詳細步驟

此外,在檔案頭加GIF89A也能繞過,目前還不清楚原理

/etc/shadow爆出絕對路徑

上傳,連線shell

php版本要高一點,5.3以上,不然報錯很難受

原始碼分析

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只讀2位元組
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "檔案未知，上傳失敗！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯！";
        }
    }
}

1.fopen( )函式以二進位制只讀的方式開啟檔案

2.fread() 函式讀取檔案,只讀兩個位元組,賦值給$bin

3.關閉檔案

4.unpack() 函式是將二進位制解包成其他形式,unpack("C2chars", $bin)是輸出為兩個無符號字元型

5.intval() 函式將兩個字元轉成10進位制(預設)

6.比較10進位制數來確定檔案字尾$file_type

7.重新命名為10-99+年月日時分秒+$file_type

因為存在檔案包含漏洞,所以做一個圖片馬可以輕鬆繞過

pass-14 白名單-檔案包含漏洞-上傳圖片馬-getimagesize( )

黑盒測試

上傳GIF成功繞過,連線成功

但是jpg和和png檔案包含時報錯

原始碼分析

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "檔案未知，上傳失敗！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯！";
        }
    }
}

1.getimagesize( )函式將測定任何 GIF，JPG，PNG，SWF，SWC，PSD，TIFF，BMP，IFF，JP2，JPX，JB2，JPC，XBM 或 WBMP 影象檔案的大小並返回影象的尺寸以及檔案型別和一個可以用於普通 HTML 檔案中 IMG 標記中的 height/width 文字字串。

比如上傳的gif檔案(只加了個檔案頭GIF89A)

0=>2573;
1=>16188;
2=>1;
3=>width="2573" height="16188";
channels=>3;
mime=>image/gif;

上傳的png影象

0=>473;
1=>406;
2=>3;
3=>width="473" height="406";
bits=>8;
mime=>image/png;

上傳的jpg影象

0=>1920;
1=>1080;
2=>2;
3=>width="1920" height="1080";
bits=>8;
channels=>3;
mime=>image/jpeg;

2.image_type_to_extension根據指定的影象型別返回對應的字尾名。

  • 1 = GIF
  • 2 = JPG
  • 3 = PNG
  • 4 = SWF

3.stripos() 函式查詢字串在另一字串中第一次出現的位置（不區分大小寫）,此處是查詢字尾名在白名單中的位置

4.如果在白名單中,就保留副檔名,進行重新命名:10-99+年月日時分秒+副檔名上傳

pass-15 白名單-檔案包含漏洞-上傳圖片馬-exif_imagetype()

黑盒測試

和pass-14,pass-13沒什麼不同,均繞過

原始碼分析

function isImage($filename){
    //需要開啟php_exif模組
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "檔案未知，上傳失敗！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯！";
        }
    }
}

1.使用exif_imagetype( )函式判斷一個影象的型別

  • exif_imagetype() 讀取一個影象的第一個位元組並檢查其簽名。
  • 如果發現了恰當的簽名則返回一個對應的常量，否則返回 false。
  • 返回值和 getimagesize() 返回的陣列中的索引 2 的值是一樣的，但本函式快得多。
  • 返回值是整型1,2,3等,不是IMAGETYPE_GIF,IMAGETYPE_JPEG

相關推薦

upload-labs(11-15)

pass-11 黑名單-%00截斷-get 黑盒測試 1.php上傳失敗,只允許上傳如下格式,看來這次採用白名單了

Upload-labs-11-20

0x11 pass-11 原始碼： $is_upload = false; $msg = null; if(isset($_POST[\'submit\'])){ $ext_arr = array(\'jpg\',\'png\',\'gif\');

xss-labs(11-15)

level-11 Http頭修改Refer 初次嘗試 主頁沒有什麼特別的 看看前端原始碼,發現四個隱藏框,且t_ref有值

upload-labs(11~12)通關筆記

upload-labs(11~12)通關筆記 環境準備 1、php版本 < 5.3.4 2、magic_quotes_gpc = Off php我用的是upload-labs官方推薦的5.2.17，搭建平臺用的是phpStudy2018。

檔案上傳 upload-labs Pass 11-1

Pass11 審計原始碼 $is_upload = false; $msg = null; if(isset($_POST[\'submit\'])){ $ext_arr = array(\'jpg\',\'png\',\'gif\');

upload - labs (上)

Pass - 01： 1.嘗試上傳一個php檔案：aaa.php，發現只允許上傳某些圖片型別，用bp抓包，發現http請求都沒通過burp就彈出了不允許上傳的提示框，這表明驗證點在前端，而不在服務端

upload - labs (下)

Pass - 11： 1.檢視原始碼，發現進行了一次對字尾名替換成空格，因此考慮雙寫繞過，

Upload-labs-master筆記

Upload-labs-master筆記 防禦方法： 白名單限制Content-type 黑名單限制少部分上傳的字尾

檔案上傳漏洞：upload-labs（二）

Pass-11 原始碼 $is_upload = false; $msg = null; if(isset($_POST[\'submit\'])){ $ext_arr = array(\'jpg\',\'png\',\'gif\');

Upload-Labs-Pass-03

Upload-Labs-Pass-03 我們首先嚐試直接注入在此提示不允許上傳.asp,.aspx,.php,.jsp字尾檔案。 通過提示我們可以得知在這裡我們需要使用檔案字尾繞過的方式來上傳。

Upload-Labs-Pass-02

Upload-Labs-Pass-02 首先我們還是嘗試直接上傳小馬在此提示檔案型別不正確 在這裡需要使用檔案型別繞過的方法：在客戶端上傳檔案時，通過burp進行抓包，將資料包中的Content-Type修改為所上傳檔案對應的值

Upload-Labs-Pass-01

Upload-Labs-Pass-01 我們嘗試直接上傳小馬， 建立一個木馬檔案進行上傳提示到該檔案不允許被上傳，在這裡我們可以知道這裡是利用了js檢測，此時上傳檔案的資料包並沒有上傳到服務端，只是在客戶端瀏覽器使

Upload-Labs-Pass-04

Upload-Labs-Pass-04 我們依然是直接嘗試上傳php檔案提示顯示此檔案不允許被上傳

2020/11//15 軟考複習題——1

考慮下述揹包問題的例項。有5件物品，揹包容量為100，每件物品的價值和重量如下表所示，並已經按照物品的單位重量價值從大到小排好序，根據物品單位重量價值大優先的策略裝入揹包中，則採用了(60)設計策略。

[2020.11.15]CCPC Final 2019

cf gym 連結 A. Kick Start 簡單簽到題。 code: #include<bits/stdc++.h> #define pi pair<int,int>

2020.11.15 天梯賽模擬賽

7-89 谷歌的招聘 (20分) 做法：參考了網上大佬的做法，用substr進行切片，再寫一個函式判斷素數即可

upload-labs學習記錄

upload-labs 第一關 前端JS校驗 第二關 content-type校驗 第三關 黑名單.php3 第四關 黑名單.htaccess繞過

upload-labs

less-1(前端js繞過) 建立一個一句話木馬 上傳 在前端有checkfile()函式，就是檢測上傳的檔案是否是jpg png gif格式，在前端刪掉即可上傳成功

upload-labs 1-21關通關記錄

0x01: 檢查原始碼，發現JS前端驗證，關閉JS即可連線，或者手動新增.php，或者上傳1.jpg，再抓包修改為php

upload-labs Pass-16(二次渲染)

原始碼 $is_upload = false; $msg = null; if (isset($_POST[\'submit\'])){ // 獲得上傳檔案的基本資訊，檔名，型別，大小，臨時檔案路徑