upload_libs通关教程

Pass-01-js检查

在这里插入图片描述

只能上传jpg|png|gif

js验证

在这里插入图片描述

上传php文件被拦截

在这里插入图片描述

删除js验证,上传成功

在这里插入图片描述

Pass-02-MIME-Type验证

在这里插入图片描述

文件有MIME-Type验证，可以用burpsuit抓包，修改Content-Type为image/jpeg

在这里插入图片描述

上传成功

在这里插入图片描述

Pass-03-黑名单验证

在这里插入图片描述

文件有黑名单需要绕过

用黑名单不允许上传.asp,.aspx,.php,.jsp后缀的文件

但可以上传.phtml .phps .php5 .pht

前提是apache的httpd.conf中有如下配置代码

AddType application/x-httpd-php .php .phtml .phps .php5 .pht

在这里插入图片描述

修改文件后缀名phtml，上传文件成功

在这里插入图片描述

Pass-04-黑名单验证（.htaccess）

在这里插入图片描述

黑名单拒绝了几乎所有有问题的后缀名，除了.htaccess
前提条件（1.mod_rewrite模块开启。2.AllowOverride All）

在这里插入图片描述

因此先上传一个.htaccess文件，内容如下：

SetHandler application/x-httpd-php

这样所有文件都会当成php来解析

上传.htaccess

在这里插入图片描述

将php文件后缀名改为.gif，上传成功

在这里插入图片描述

Pass-05-黑名单验证（路径拼接绕过）

在这里插入图片描述

查看源码发现过滤了几乎所有后缀名，但没有对上传的文件进行重命名。

上传文件后缀名为.php. .

deldot删除最后一个点之后，不再进行删除，trim删除空格，那么最终上传的文件名为 1.php.。利用Windows自动去除最后一个点，导致成功上传1.php

使用bp修改后缀名上传成功

在这里插入图片描述

Pass-06-黑名单验证（大小写）

在这里插入图片描述

源码没有进行大小写后缀名过滤，可以将文件后缀名大小写绕过

在这里插入图片描述

Pass-07-黑名单验证（空格绕过）

在这里插入图片描述

源码没有去空格，可以在后缀名加空格绕过 php+

在这里插入图片描述

Pass-08-黑名单验证（点绕过）

在这里插入图片描述

源码没有去除点，可以通过点绕过

在这里插入图片描述

Pass-09-黑名单验证（特殊符号）

在这里插入图片描述

源码没有去除:: $D A T A ，可以通过 : :$ DATA绕过

Windows系统下，如果上传的文件名中test.php::$DATA会在服务器上生成一个test.php的文件，其中内容和所上传文件内容相同，并被解析。

在这里插入图片描述

文件路径删除::$DATA访问

在这里插入图片描述

Pass-10-黑名单验证（路径拼接绕过）

在这里插入图片描述

查看源码发现过滤了几乎所有后缀名，但没有对上传的文件进行重命名。

上传文件后缀名为.php. .

deldot删除最后一个点之后，不再进行删除，trim删除空格，那么最终上传的文件名为 1.php.。利用Windows自动去除最后一个点，导致成功上传1.php

使用bp修改后缀名上传成功

在这里插入图片描述

Pass-11-黑名单验证（双写绕过）

在这里插入图片描述

str_ireplace() 函数替换字符串中的一些字符（不区分大小写），只替换一次。

可以进行双写绕过1.pphphp

在这里插入图片描述

Pass-12-白名单验证（GET00截断）

在这里插入图片描述

0x00是十六进制表示方法，是ascii码为0的字符，在有些函数处理时，会把这个字符当做结束符。系统在对文件名的读取时，如果遇到0x00，就会认为读取已结束。

GET型提交的内容会被自动进行URL解码。

使用00截断绕过

截断条件：php版本小于5.3.4，php的magic_quotes_gpc为OFF状态

在抓包头save_path.../upload/1.php%00

在这里插入图片描述

使用bp，将php文件后缀名改为1.png，并且GET路径后面添加2.php%00，上传

在这里插入图片描述

Pass-13-白名单验证（POST00截断）

在这里插入图片描述

在POST请求中，%00不会被自动解码，需要在16进制中进行修改00

./upload/2.php空格-》转到hex找到2.php-》把2.php后面的2020改为0000

在这里插入图片描述

Pass-14-图片马绕过

在这里插入图片描述

通过源码可知，服务器打开文件读取前两个字节，判断文件类型

针对这种情况可以直接新建文件改名1.jpg,其中代码内容如下 
GIF98A 
<?php
     phpinfo(); 
?>
或
Windows制作webshell 
copy 1.png/b+1.php/a shell.png

将图片上传

直接访问图片并不能把图片当做PHP解析，因此还需要利用文件包含漏洞

##include.php
<?php
/*
本页面存在文件包含漏洞，用于测试图片马是否能正常运行！
*/
header("Content-Type:text/html;charset=utf-8");
$file = $_GET['file'];
if(isset($file)){
    include $file;
}else{
    show_source(__file__);
}
?>

在这里插入图片描述