如何评估UPLOAD_LABS中的文件上传漏洞靶场效果？

本文共计2270个文字，预计阅读时间需要10分钟。

UPLOAD_LABS 文件上传漏洞测试场 + 全通关 + 代码审计 + 绕过方法 + 防御方法总结 + 文件上传漏洞测试场（作者前言） + 文件上传漏洞产生原理 + PASS 1 + function checkFile() { + var file=document.getElementsByName('uplo' + ...)

UPLOAD_LABS 文件上传漏洞靶场 全通关 代码审计+绕过方法+防御方法总结 文件上传漏洞靶场（作者前言）

文件上传漏洞 产生原理

---

PASS 1)

function checkFile() { var file = document.getElementsByName('upload_file')[0].value; if (file == null || file == "") { alert("请选择要上传的文件!"); return false; } //定义允许上传的文件类型 var allow_ext = ".jpg|.png|.gif"; //提取上传文件的类型 var ext_name = file.substring(file.lastIndexOf(".")); //判断上传文件类型是否允许上传 if (allow_ext.indexOf(ext_name + "|") == -1) { var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name; alert(errMsg); return false; } } 源码分析

这是一串JS前端语言编写的文件上传 这边限制上传的文件类型为JPG;PNG;GIF三种
通过file.substring（file.lastIndexof(".")); #获取文件后缀名 并判断文件的后缀名是否等于允许的文件类型
没有对文件名后缀做过滤限制

绕过方法

*JS是前端开发语言
1.更改php文件后缀名，上传图片文件时可以通过Burpsuite 进行拦截请求数据包并更改文件后缀名
2.F12查看前端代码 并复制 程序执行的过滤，按需求对其进行删改操作
3.修改form表单 定义action 进行直接上传的操作

防御方法

1. 验证文件真实性
2. 过滤空格、点、大小写、双写、流文件

---

PASS 2）

$is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(UPLOAD_PATH)) { if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) { $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name'] if (move_uploaded_file($temp_file, $img_path)) { $is_upload = true; } else { $msg = '上传出错！'; } } else { $msg = '文件类型不正确，请重新上传！'; } } else { $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！'; } } 源码分析

if
(($_FILES['upload_file']['type'] == 'image/jpeg') ||
($_FILES['upload_file']['type'] == 'image/png') ||
($_FILES['upload_file']['type'] == 'image/gif'))
这边仅对上传的文件类型做了过滤 没有对上传的文件后缀做过滤 且请求方式为POST

绕过方法

1. 上传php文件时使用Burpsuite 更改请求头中的内容类型（content-type:image/jpeg:png:gif） 任意一种允许的文件类型。
2. 上传转格式的包含php执行程序的图片文件，使用Burpsuite 更改后缀名

防御方法

1.验证图片文件的真实性
2.过滤上传文件的后缀名

---

PASS 3）

$is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(UPLOAD_PATH)) { $deny_ext = array('.asp','.aspx','.php','.jsp'); $file_name = trim($_FILES['upload_file']['name']); $file_name = deldot($file_name);//删除文件名末尾的点 $file_ext = strrchr($file_name, '.'); $file_ext = strtolower($file_ext); //转换为小写 $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA $file_ext = trim($file_ext); //收尾去空 if(!in_array($file_ext, $deny_ext)) { $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext; if (move_uploaded_file($temp_file,$img_path)) { $is_upload = true; } else { $msg = '上传出错！'; } } else { $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！'; } } else { $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！'; } } 源码分析

$deny_ext = array('.asp','.aspx','.php','.jsp');
这边使用黑名单防御方法 不允许 后缀为.asp ; .aspx ; .php ; .jsp 的后端语言文件
if(!in_array($file_ext, $deny_ext))
取出用户后缀名，如果不存在限制的后缀名 则执行接下来的操作

绕过方法

1. 使用php文件时 可以使用其他的php语言支持的后缀名 比如php3 phtml

通过查阅apache配置文件 wwe.lanzoui.com/iFSwwn53jaf
使用特殊的gif，找到在渲染前后不会改变的文件位置，使用webshell链接

防御方法

---

PASS 17）

$is_upload = false; $msg = null; if(isset($_POST['submit'])){ $ext_arr = array('jpg','png','gif'); $file_name = $_FILES['upload_file']['name']; $temp_file = $_FILES['upload_file']['tmp_name']; $file_ext = substr($file_name,strrpos($file_name,".")+1); $upload_file = UPLOAD_PATH . '/' . $file_name; if(move_uploaded_file($temp_file, $upload_file)){ if(in_array($file_ext,$ext_arr)){ $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext; rename($upload_file, $img_path); $is_upload = true; }else{ $msg = "只允许上传.jpg|.png|.gif类型文件！"; unlink($upload_file); } }else{ $msg = '上传出错！'; } } 源码分析

strrpos（）获取字符串最后一个位置
_substr_函数在oracle中使用表示被截取的字符串或字符串表达式

1. 取出文件得后缀名1.png

$file_ext = substr($file_name,strrpos($file_name,".")+1);

2. 上传文件 1.png 传到 upload/1.png

$upload_file = UPLOAD_PATH . '/' . $file_name;

3. if(in_array($file_ext,$ext_arr))

判断后缀名
4.$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
如果是'jpg','png','gif' 文件则上传成功 反之则unlink删除文件

总结上传原理：
条件竞争漏洞
因为PASS17 是先上传再判断，所以加快上传速度和访问速度，进行竞争访问，如果竞争访问速度快过php删除的速度，即可完成漏洞利用

绕过方法

1. BP爆破 空爆破

使用burpsuite爆破模块 高速 上传 webshell.php
使用burpsuite爆破模块 快速 访问 webshell.php

webshell玩法

1. 执行单一命令 利用漏洞在路径中生成新的webshell

<?php file_put_contents('a.php','eval($_REQUEST['kio'])',LOCK_EX); ?>

2. 执行单一命令 利用漏洞在路径中执行命令

<?php system('whoami'); ?> 防御方法

---

PASS 18）

//index.php $is_upload = false; $msg = null; if (isset($_POST['submit'])) { require_once("./myupload.php"); $imgFileName =time(); $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName); $status_code = $u->upload(UPLOAD_PATH); switch ($status_code) { case 1: $is_upload = true; $img_path = $u->cls_upload_dir . $u->cls_file_rename_to; break; case 2: $msg = '文件已经被上传，但没有重命名。'; break; case -1: $msg = '这个文件不能上传到服务器的临时文件存储目录。'; break; case -2: $msg = '上传失败，上传目录不可写。'; break; case -3: $msg = '上传失败，无法上传该类型文件。'; break; case -4: $msg = '上传失败，上传的文件过大。'; break; case -5: $msg = '上传失败，服务器已经存在相同名称文件。'; break; case -6: $msg = '文件无法上传，文件不能复制到目标目录。'; break; default: $msg = '未知错误！'; break; } } //myupload.php class MyUpload{ ...... ...... ...... var $cls_arr_ext_accepted = array( ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt", ".html", ".xml", ".tiff", ".jpeg", ".png" ); ...... ...... ...... /** upload() ** ** Method to upload the file. ** This is the only method to call outside the class. ** @para String name of directory we upload to ** @returns void **/ function upload( $dir ){ $ret = $this->isUploadedFile(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } $ret = $this->setDir( $dir ); if( $ret != 1 ){ return $this->resultUpload( $ret ); } $ret = $this->checkExtension(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } $ret = $this->checkSize(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } // if flag to check if the file exists is set to 1 if( $this->cls_file_exists == 1 ){ $ret = $this->checkFileExists(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } } // if we are here, we are ready to move the file to destination $ret = $this->move(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } // check if we need to rename the file if( $this->cls_rename_file == 1 ){ $ret = $this->renameFile(); if( $ret != 1 ){ return $this->resultUpload( $ret ); } } // if we are here, everything worked as planned :) return $this->resultUpload( "SUCCESS" ); } ...... ...... ...... }; 源码分析

对文件先上传再重命名
如果上传速度过快 php可能反应不过来

绕过方法

利用条件竞争漏洞批量上传文件

防御方法

---

PASS 19）

$is_upload = false; $msg = null; if (isset($_POST['submit'])) { if (file_exists(UPLOAD_PATH)) { $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess"); $file_name = $_POST['save_name']; $file_ext = pathinfo($file_name,PATHINFO_EXTENSION); if(!in_array($file_ext,$deny_ext)) { $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = UPLOAD_PATH . '/' .$file_name; if (move_uploaded_file($temp_file, $img_path)) { $is_upload = true; }else{ $msg = '上传出错！'; } }else{ $msg = '禁止保存为该类型文件！'; } } else { $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！'; } } 源码分析

CVE-2015-2348 00截断

绕过方法

使用00截断方法

防御方法

---

PASS 20）

$is_upload = false; $msg = null; if(!empty($_FILES['upload_file'])){ //检查MIME $allow_type = array('image/jpeg','image/png','image/gif'); if(!in_array($_FILES['upload_file']['type'],$allow_type)){ $msg = "禁止上传该类型文件!"; }else{ //检查文件名 $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name']; if (!is_array($file)) { $file = explode('.', strtolower($file)); } $ext = end($file); $allow_suffix = array('jpg','png','gif'); if (!in_array($ext, $allow_suffix)) { $msg = "禁止上传该后缀文件!"; }else{ $file_name = reset($file) . '.' . $file[count($file) - 1]; $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = UPLOAD_PATH . '/' .$file_name; if (move_uploaded_file($temp_file, $img_path)) { $msg = "文件上传成功！"; $is_upload = true; } else { $msg = "文件上传失败！"; } } } }else{ $msg = "请选择要上传的文件！"; } 源码分析 绕过方法 防御方法 总结防御方法（不考虑文件包含的存在）：

1. 对象存储服务器

（将用户上传的文件，放置专用的服务器，和网站本身服务器没有任何关系 大厂常用方法）

2. 检测content-type （如果是上传图片 检测是否为image/png;image/jpg;image/png）
3. 检测后缀名 (合规的后缀名检测是无法绕过的)
4. 二次渲染 （对上传的图片进行压缩或处理 合规的渲染可以防御）
5. 内容检测 （获取文件信息，判断目标不是允许的文件时会直接报错）