php安全攻防利用文件上传漏洞与绕过技巧详解
目录
前言文件上传漏洞的一些场景场景一：前端js代码白名单判断.jpg"0" cellpadding="0" cellspacing="0">AddType application/x-httpd-php .php .phtml .phps .php5 .pht说明可以通过上传.phtml|.phps|.php5|.pht这些后缀名的文件，且他们都会被解析称后缀为.php的文件。所以可以尝试使用上传xxx.php5这类的文件进行绕过
关于AddType命令的作用：
AddType 指令
作用：在给定的文件扩展名与特定的内容类型之间建立映射
语法：AddType MIME-type extension [extension] …
AddType指令在给定的文件扩展名与特定的内容类型之间建立映射关系。MIME-type指明了包含extension扩展名的文件的媒体类型。
AddType 是与类型表相关的，描述的是扩展名与文件类型之间的关系。AddType 是与类型表相关的，描述的是扩展名与文件类型之间的关系。
场景四：代码扩大黑名单判断
在该场景下，防御姿势是通过后台代码对上传的文件后缀进行判断，如果是
.php|.php5|.php4|.php3|.php2|.php1||.htm|.phtml|.pht|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|.pHp1|
.Html|.Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp|
.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|.swf
这些后缀的文件则不允许上传
绕过方式——htaccsess：
使用.htaccsess文件进行绕过
.htaccsess文件的作用：
.htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能IIS平台上不存在该文件，该文件默认开启，启用和关闭在httpd.conf文件中配置。
.htaccsess文件的使用条件：
?| 1 2 | mod_rewrite模块开启。AllowOverride All |
构造.htaccess文件，内容如下:
| 1 | AddType application/x-httpd-php .jpg"0" cellpadding="0" cellspacing="0"> |
此时move_uploaded_file函数遇到0x00会截断
可以将上传文件后缀改为xx.php%00进行绕过
%0a绕过
%0a绕过方式需要满足以下条件
?| 1 2 | Apache httpd 2.4.0至2.4.29FileMatch正则匹配.php|.php5等后缀 |
该版本apache会通过$匹配后缀，而$匹配时会正则匹配某字符串结尾或以换行符结尾的一个字符串，即php[换行符]会被匹配成php
可以将上传文件后缀改为xx.php%0a进行绕过
图片马绕过
window的cmd命令制作图片马
?| 1 | copy 1.jpg /b + shell.php /a shell.jpg |
或是利用其他图片马生成器生成
二次渲染绕过
判断图片格式后用image函数进行二次渲染
绕过方式：
抓包找到二次渲染中未被改动的地方，将一句话马插入该地方，.jpg|.png|.gif三种文件格式不同，所以构造马的方式也不同
注：gif文件最简单，直接用ue等16进制编辑器就可以改，但是jpg和png需要特殊的构造脚本
先将一张正常的jpg图片上传，上传后将服务器存储的二次渲染的图片保存下来。
将保存下来经过服务器二次渲染的那张jpg图片，用此脚本进行处理生成payload.jpg
然后再上传payload.jpg
条件竞争
当上传文件逻辑为：先move_uploaded_file函数将上传文件临时保存，再进行判断，如果不在白名单里则unlink删除，在的话就rename重命名。此时会存在条件竞争
绕过方法：
用burp开启两个intruder模块，一个用于重复上传，另一个用于重复访问。会有一定记录返回执行结果
/.绕过
当move_uploaded_file函数参数可控时，可以尝试/.绕过，因为该函数会忽略掉文件末尾的/.，所以可以构造save_path=1.php/.,这样file_ext值就为空，就能绕过黑名单，而move_uploaded_file函数忽略文件末尾的/.可以实现保存文件为.php
以上就是php安全攻防利用文件上传漏洞与绕过技巧详解的详细内容，更多关于php文件上传漏洞利用与绕过技巧的资料请关注服务器之家其它相关文章！
原文链接：blog.csdn/qq_37019068/article/details/120717342
免责声明：本文内容来自用户上传并发布，站点仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。请核实广告和内容真实性，谨慎使用。