upload-labs-master-文件上传靶场学习笔记 - JunMo博客

JunMo的博客

2019
记录生活
首页 » 学习笔记 » upload-labs-master-文件上传靶场学习笔记

upload-labs-master-文件上传靶场学习笔记

upload-labs介绍

upload-labs是一个使用php语言编写的,专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共20关,每一关都包含着不同上传方式。

项目地址 https://github.com/c0ny1/upload-labs

环境要求

配置项     配置     描述
操作系统     Window or Linux     推荐使用Windows,除了Pass-19必须在linux下,其余Pass都可以在Windows上运行
PHP版本     推荐5.2.17     其他版本可能会导致部分Pass无法突破
PHP组件     php_gd2,php_exif     部分Pass依赖这两个组件
中间件     设置Apache以moudel方式连接

Windows快速搭建

项目提供了一个Windows下,按照以上配置要求配置好的集成环境

下载地址:https://github.com/c0ny1/upload-labs/releases

集成环境绿色免安装,解压即可使用。

第一关

上传文件发现是js限制

禁用js上传,上传成功。

访问页面

第二关

查看提示,验证MIME。

上传抓包修改,将Content-Type:修改内容修改为 image/gif

第三关

查看提示,黑名单判断

上传php3或者phtml绕过

上传成功。

访问文件。

第四关

查看提示,黑名单但是几乎过滤所有有问题的后缀名。

但是没有过滤.htaccess,上传一个.htaccess内容 SetHandler application/x-httpd-php 这样所有文件都会解析为php。

然后随便上传个允许的后缀名

然后访问

第五关

查看提示发现禁止了.htaccess

查看源代码发现没有做大小写判断,使用大小写绕过。

上传phpinfo.phP

访问

第六关

查看提示,还是黑名单

查看源码发现没有对首尾去除空格。

上传抓包在文件后缀加个空格即可绕过

访问

 

第七关

查看源码还是黑名单没有对后缀名进行去.操作利用Windows特性会自动去掉后缀名中最后的.可在后缀名中加 . 绕过。

上传

访问

 

第八关

查看源代码,还是黑名单,但是没有对后缀名进行去”::$DATA”处理,利用windows特性,可在后缀名中加” ::$DATA”绕过:

上传

访问

第九关

查看源码

黑名单过滤,注意第15行和之前不太一样,路径拼接的是处理后的文件名,于是构造phpinfo.php. .

(点+空格+点),经过处理后,文件名变成phpinfo.php.,即可绕过。

访问

第十关

查看提示,双写绕过

上传

访问

第十一关

查看代码,看到是白名单判断,但是$img_path直接拼接,因此可以利用%00截断绕过:

上传

访问

第十二关

查看源码,和十一关不同的是这次的save_path是通过post传进来的,还是利用00截断,但这次需要在二进制中进行修改,因为post不会像get对%00进行自动解码。

上传

访问

 

第十三关

查看源码,本关要求上传图片马即可,查看代码:

通过读文件的前2个字节判断文件类型,因此直接上传图片马即可,制作方法:
copy 1.jpg /b + phpinfo.php  phpinfo.jpg

上传 接下来利用的话,还需要结合文件包含漏洞。

第十四关

本关还是要上传一个图片马

这里用getimagesize获取文件类型,还是直接就可以利用图片马就可进行绕过:

第十五关

这里用到php_exif模块来判断文件类型,还是直接就可以利用图片马就可进行绕过:

第十六关

上传一个图片马

本关综合判断了后缀名、content-type,以及利用imagecreatefromgif判断是否为gif图片,最后再做了一次二次渲染,绕过方法:

第十七关

查看代码

1.上传的文件会从临时路径被移动到一个永久路径(upload/文件名)

2.如果文件后缀格式是白名单内的(jpg、png、gif)格式,那么进行文件重命名(新文件名规则为:10~99随机数+现在时间+文件后缀)

3.如果上传的文件不属于白名单匹配的格式,那么会删除文件

绕过方式:

在后台对文件进行rename和unlink时会有一个时间差,利用这个中间间隙的时间去访问上传的webshell会有机会执行。

首先在burp中不断发送上传webshell的数据包:

然后不断在浏览器中访问,可以访问到:

 

第十八关

查看源码 本关对文件后缀名做了白名单判断,然后会一步一步检查文件大小、文件是否存在等等,将文件上传后,对文件重新命名,同样存在条件竞争的漏洞。可以不断利用burp发送上传图片马的数据包,由于条件竞争,程序会出现来不及rename的问题,从而上传成功:

这里我测试没有成功

第十九关

上传webshell,同时自定义保存名称,直接保存为php是不行的

查看代码:发现move_uploaded_file()函数中的img_path是由post参数save_name控制的,因此可以在save_name利用00截断绕过 记得要Url编码

 

文章如无特别注明均为原创!
本文作者: JunMo
转载或复制请带上本文地址 http://mo60.cn/post-42.html
并注明出处 JunMo博客
原文地址《 upload-labs-master-文件上传靶场学习笔记
发布于2019-7-22
收录状态: [百度已收录][360未收录]

分享到:


打赏

评论

游客

看不清楚?点图切换

切换注册

登录

您也可以使用第三方帐号快捷登录

切换登录

注册