upload-labs通关笔记-第5关 文件上传之.ini绕过

目录

一、ini文件绕过原理

二、源码审计

三、渗透实战

1、查看提示

2、制作.user.ini文件

（1）首先创建一个文本文件

（2）保存文件名为.user.ini

2、制作jpg后缀脚本

（1）创建一个文本文件

（2）保存为文件名pass5.jpg

3、上传ini与jpg文件

（1）准备好待上传文件

（2）打开upload靶场第五关

 （3）上传ini与jpg文件

4、访问readme.php

---

本文通过《upload-labs靶场通关笔记系列》来进行upload-labs靶场的渗透实战，本文讲解upload-labs靶场第四关文件.ini渗透实战。

一、ini文件绕过原理

在 PHP 环境中，ini文件可以用于配置 PHP 的运行环境。.user.ini 是 PHP 中用于特定目录配置的特殊文件 ，类似 Apache 的.htaccess 文件，主要作用如下所示。

• 自定义配置：允许非管理员用户为特定目录定义 PHP 配置指令，这些指令在该目录及其子目录中的 PHP 脚本执行时生效。比如可修改 upload_max_filesize 调整上传文件大小限制、修改 memory_limit 改变脚本可用内存 ，而不影响整个服务器配置。
• 文件包含：借助配置项 auto_prepend_file（在执行 PHP 文件前自动包含指定文件）和 auto_append_file（在执行 PHP 文件后自动包含指定文件） ，可实现恶意代码注入或后门构造。攻击者上传恶意.user.ini 文件，指定包含恶意 PHP 代码文件，就能在用户访问目录下 PHP 文件时执行恶意代码。

   在文件上传关卡，具体利用方法如下所示。

• 编写.user.ini 文件：创建.user.ini，写入如下内容，意思是让服务器在每个 PHP 请求前自动包含名为pass5.jpg的文件。

auto_prepend_file = "pass5.jpg"

• 准备pass5.jpg的shell文件：创建pass5.jpg，内容为获取服务器php信息的PHP 代码，具体如下所示。

<?php
phpinfo();
?>

• 上传文件：当该关卡允许.ini和jpg后缀上传时，尝试将.user.ini 和pass5.jpg上传到服务器指定目录。
• 触发执行：上传成功后，访问目录下可执行的 PHP 文件（如关卡中提示的 readme.php ），服务器会根据.user.ini 配置，自动包含并执行pass5.jpg中的恶意代码。

二、源码审计

接下来对upload-labs 第 5 关的源码进行审计，如下为已经进行详细注释版的代码，很明显这段代码也是黑名单过滤来实现进行安全检查的。虽然包含多种变体（".php", ".php5", ".php4", ".php3", ".php2", ".php1", ".html", ".htm", ".phtml", ".pht", ".pHp", ".pHp5", ".pHp4", ".pHp3", ".pHp2", ".pHp1", ".Html", ".Htm", ".pHtml", ".jsp", ".jspa", ".jspx", ".jsw", ".jsv", ".jspf", ".jtml", ".jSp", ".jSpx", ".jSpa", ".jSw", ".jSv", ".jSpf", ".jHtml", ".asp", ".aspx", ".asa", ".asax", ".ascx", ".ashx", ".asmx", ".cer", ".aSp", ".aSpx", ".aSa", ".aSax", ".aScx", ".aShx", ".aSmx", ".cEr", ".sWf", ".swf", ".htaccess"），与第四关的区别是将“ini”变为了“htaccess”，所以很明显这一关卡遗漏新的危险扩展名（如.ini等），这也是我们渗透这一关卡的关键。

<?php
// 初始化上传状态变量
$is_upload = false;  // 布尔值，标记文件是否上传成功
$msg = null;         // 字符串，用于存储上传过程中的错误信息// 检查是否通过POST方法提交了表单（submit按钮被点击）
if (isset($_POST['submit'])) {// 检查上传目录是否存在if (file_exists(UPLOAD_PATH)) {// 定义禁止上传的文件扩展名黑名单（包含各种变体）$deny_ext = array(// PHP相关扩展名及变体".php", ".php5", ".php4", ".php3", ".php2", ".pHp", ".pHp5", ".pHp4", ".pHp3", ".pHp2",// HTML相关扩展名及变体".html", ".htm", ".phtml", ".pht",".Html", ".Htm", ".pHtml",// JSP相关扩展名及变体".jsp", ".jspa", ".jspx", ".jsw", ".jsv", ".jspf", ".jtml",".jSp", ".jSpx", ".jSpa", ".jSw", ".jSv", ".jSpf", ".jHtml",// ASP相关扩展名及变体".asp", ".aspx", ".asa", ".asax", ".ascx", ".ashx", ".asmx", ".cer",".aSp", ".aSpx", ".aSa", ".aSax", ".aScx", ".aShx", ".aSmx", ".cEr",// 其他危险文件类型".sWf", ".swf",  // Flash文件".htaccess"      // Apache配置文件);// 获取并处理上传文件名$file_name = trim($_FILES['upload_file']['name']);  // 去除首尾空格$file_name = deldot($file_name);    // 删除文件名末尾的点（防御file.php.攻击）$file_ext = strrchr($file_name, '.');  // 获取文件扩展名（从最后一个点开始）$file_ext = strtolower($file_ext);     // 统一转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext); // 去除NTFS备用数据流$file_ext = trim($file_ext);           // 去除扩展名首尾空格// 检查文件扩展名是否在黑名单中if (!in_array($file_ext, $deny_ext)) {// 获取上传的临时文件路径$temp_file = $_FILES['upload_file']['tmp_name'];// 构造目标文件路径（使用原始文件名，存在安全隐患）$img_path = UPLOAD_PATH.'/'.$file_name;// 将临时文件移动到目标位置if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;  // 标记上传成功} else {$msg = '上传出错！';  // 文件移动失败（可能权限不足或目录不可写）}} else {$msg = '此文件类型不允许上传！';  // 文件类型被禁止}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';  // 上传目录不存在}
}
?>

三、渗透实战

1、查看提示

进入靶场pass5，点击右上角的提示，得知上传目录存在readme.php文件，如下图所示。

2、制作.user.ini文件

（1）首先创建一个文本文件

创建文件并里面写入，该配置文件的效果是在.user.ini相同的目录下，所有的php文件都包含pass5.jpg这个文件。

auto_prepend_file=pass5.jpg

（2）保存文件名为.user.ini

将文件保存为.user.ini并将保存类型配置为所有文件

2、制作jpg后缀脚本

（1）创建一个文本文件

代码内容如下所示：

<?php
phpinfo();
?>

（2）保存为文件名pass5.jpg

点击文件另存为pass5.jpg,保存类型设置为所有文件。

3、上传ini与jpg文件

（1）准备好待上传文件

两个所需要的文件就创建完毕,图示如下。

（2）打开upload靶场第五关

http://127.0.0.1/upload-labs/Pass-05/index.php

 （3）上传ini与jpg文件

如下所示，上传user.ini与jpg文件，两者均上传成功。

4、访问readme.php

根据本关提示，在上传目录下是有一个readme.php文件的，所以直接访问url：http://127.0.0.1/upload-labs/upload/readme.php,如下所示，php版本号成功显示，证明文件上传成功。