码迷,mamicode.com
首页 > Web开发 > 详细

upload-labs-env文件上传漏洞 11-19关

时间:2019-11-12 00:16:49      阅读:174      评论:0      收藏:0      [点我收藏+]

标签:源码   类型   选择   nbsp   除了   array   过滤   class   pass   

Pass-11

源码:加上了本人的注释=。=

$is_upload = false;
$msg = null;
if(isset($_POST[submit])){
    $ext_arr = array(jpg,png,gif);//文件的后缀
    $file_ext = substr($_FILES[upload_file][name],strrpos($_FILES[upload_file][name],".")+1); //获取文件的后缀名 在.的位置+1
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES[upload_file][tmp_name]; //获取临时上传文件的名称
        $img_path = $_GET[save_path]."/".rand(10, 99).date("YmdHis").".".$file_ext; //获取上传文件最重要保存在哪个目录加了个/和随机数字和日期

在源码中可以看到,除了白名单的三种后缀别的后缀都不可以上传,然后这次用到的绕过方式为00绕过

00绕过的原理为: 00截断是16进制的00   当操作系统在读文件名的时候在读到00的时候他认为这个文件就结束了,后面有再多的东西也没有用

那么我们就上传一个木马文件,改为jpg格式,然后再路径里面添加一个php文件后面加%00

最上传的文件为1.php  然后连接就好

技术图片

 

 

Pass-12

源码:

$is_upload = false;
$msg = null;
if(isset($_POST[submit])){
    $ext_arr = array(jpg,png,gif);
    $file_ext = substr($_FILES[upload_file][name],strrpos($_FILES[upload_file][name],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES[upload_file][tmp_name];
        $img_path = $_POST[save_path]."/".rand(10, 99).date("YmdHis").".".$file_ext;

源码跟11关没有什么本质的区别,只不过就是这关采用了POST的形式上传

 同样是上传shell.jpg的文件,在文件路径添加一个1.php.jpg不写00

然后到HEX里面找到16进制的1.php.jpg,在.jpg的.这里把他的16进制改为00,然后上传就成功了。

 

Pass-13

源码

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo[chars1].$strInfo[chars2]);    
    $fileType = ‘‘;    
    switch($typeCode){      
        case 255216:            
            $fileType = jpg;
            break;
        case 13780:            
            $fileType = png;
            break;        
        case 7173:            
            $fileType = gif;
            break;
        default:            
            $fileType = unknown;
        }    
        return $fileType;
}

源码的整体大概意思就是只读取文件头的前两个字节,前两个字节符合上传的三种文件格式即可。

那么我们只需要上传shell.php在内容的头部加入三种格式的文件头即可。

GIF   GIF 89A

JPEG(JPG)    FFD8FF

PNG    89504E87

GIF    47494638

然后就上传成功了,你写的什么格式的文件头,上传的就是什么格式

那么这里就需要文件包含来进行连接了,然而我的靶机里面没有文件包含,所以我就自己写了一个

<?php
header("Content-Type:text/html;charset=utf-8");
$file=$_GET[file];
if(isset($file)){
    include $file;
}else{
    show_source(__file__);
}
?>

然后访问文件包含漏洞的文件:localhost/baohan.php?file=图片马路径    即可连接

 

Pass-14

源码于13大同小异,只不过判断的方式不同

这里我选择的是插入图片马

在dos里输入  copy 1.jpg/b+shell.php 2.jpg

然后生成了一个2.jpg的图片马

上传上去,用文件包含连接即可

 

Pass-15 使用了exif_imagetype的判断方式

  同13 14

 

Pass-16

源码

$is_upload = false;
$msg = null;
if (isset($_POST[submit])){
    // 获得上传文件的基本信息,文件名,类型,大小,临时文件路径
    $filename = $_FILES[upload_file][name];
    $filetype = $_FILES[upload_file][type];
    $tmpname = $_FILES[upload_file][tmp_name];

    $target_path=$UPLOAD_ADDR.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型,合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path))
        {
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片!";
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                $newimagepath = $UPLOAD_ADDR.$newfilename;
                imagejpeg($im,$newimagepath);
                //显示二次渲染后的图片(使用用户上传图片生成的新图片)
                $img_path = $UPLOAD_ADDR.$newfilename;
                unlink($target_path);
                $is_upload = true;

16关这里使用了一个二次渲染的过滤,也就是把你上传的图片打碎重组生成新的图片

这里如果我们用自己生成的图片马的话,会把你的恶意代码删除。

使用winhex工具,在中间随意位置写入16进制的恶意代码,然后上传。

 

Pass-17

 

upload-labs-env文件上传漏洞 11-19关

标签:源码   类型   选择   nbsp   除了   array   过滤   class   pass   

原文地址:https://www.cnblogs.com/liujizhou/p/11839108.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!