正文
任意文件上传漏洞syr
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
任意文件上传漏洞
先来几个一句话木马看看
<%execute(request("value"))%> #asp木马
<?php eval($_POST["value"]);?> #php木马
<%@ Page Language="Jscript"%> <%eval(Request.Item["value"])%> #aspx木马
<?php echo file_get_contents('/path/to/target/file'); ?> #读取服务器中的敏感文件
<?php echo system($_GET['command']); ?> #利用command参数执行系统命令
漏洞原理
web应用程序没有对可上传的文件类型，文件内容等作严格过滤，或者web服务器的解析漏洞没有及时修复，导致攻击者可上传恶意的脚本文件，获得执行服务端命令的能力。
漏洞利用
1.如果没有对上传的文件名进行严格验证，或者对上传的文件进行重命名，攻击者就可以上传同名文件，对原有文件进行覆盖。
2.未验证上传文件的大小，攻击者可以上传巨大的文件，占用可利用磁盘空间。
3.上传一句话木马，利用蚁箭等工具进行远程连接，从而控制服务器。
检测机制
客户端js验证：这种不可靠，可以用来提示用户可上传的文件类型，攻击者可以直接通过抓包工具进行绕过。
MIME类型检测：通过检测MIME类型，判断用户上传的文件是否合法，但是攻击者可以抓包修改Content-Type:字段来绕过。
文件后缀检测：检测文件的后缀名，如果不是合法的后缀，禁止上传，最好用白名单进行过滤可上传的文件后缀。如果是黑名单检测，就有很多绕过方式：00截断；大小写绕过 ；双写绕过，如果后端验证时，直接将检测到的不合法后缀去掉，我们就可以双写来绕过；.htaccess文件上传，首先上传一个.htaccess文件，让服务器可以解析我们上传的指定文件名，之后将我们的木马文件名设置为.htaccess中指定的文件名，上传以后，就可以在服务端执行。
文件内容检测：服务端检测文件的内容，通常会检查文件头，可以构造图片码绕过。
绕过方式黑名单绕过
1. 00截断：
抓包我们上传的文件，将请求包中的文件名修改为test.php%00.jpg，在许多语言的函数中，字符串处理函数中会将0x00识别为终止符，会将00后的.jpg去掉，导致攻击者上传成功木马文件。
如果文件名是get方式传输的，直接在文件名中加%00，如果是post方式提交数据的，需要在16进制中加00 ，因为post中直接加%00不会被自动url解码。
2. 黑名单过滤不全：
上传.php3、.php5、index.html、等文件，这种情况发生在，如果黑名单对可执行的文件过滤不全的情况下，可以上传。
3. 特殊文件名绕过：
在文件的后缀名后加点或者空格，Windows系统会自动将最后面的点或者空格去掉，导致上传成功，但是Linux系统这种方法不行。
4. 大小写、双写绕过、url编码绕过：
将文件名中的点、斜杠、反斜杠url编码或者二次url编码，如果验证文件扩展名时没有进行url解码，但是在服务器端进行url解码了，我们就可以绕过限制。例如上传 test%2Ephp
5. .htaccess文件攻击：
只在apache服务中，存在该文件。这种方法可以绕过白名单检测。
<FilesMatch "aa">
SetHandler application/x-httpd-php
</FilesMatch>
我们首先上传一个.htaccess文件，文件中指定任意的文件名当做代码文件来解析，之后上传指定文件名的文件，就可以执行文件中的代码。
白名单绕过
1.htaccess文件攻击
2. 00截断
3. 寻找其他测试的上传文件接口：
如果可上传的文件是白名单验证的，我们就可以找一些其他的上传接口，通常一些测试接口是没有做限制的，可上传任意文件。
MIME类型检测绕过
通过指定MIME类型，让浏览器遇到该扩展名的文件时，知道使用指定的应用程序来打开该文件。
如果上传时提示文件类型不正确，我们可以抓包修改Content-Type字段值，修改为对应的值，就可以上传木马文件。
服务器解析漏洞
1. Apache解析漏洞：apache 2.0-2.2版本可能存在该漏洞。
Apache解析文件的顺序是从右往左进行的，如果后面不存在能够解析的后缀，默认会向前解析，直至遇到能够解析的后缀。
文件名设置为 test.php.abo.ddd.eee，当我们成功上传这个文件后，访问它，服务器就会把它当做php文件来执行。
只有php5.3以下和apache联动才会有module模式，会出现这种漏洞
1）如果在Apache的conf里有这样一行配置AddHandler php5-script.php，这时只要文件名里包含.php，即使文件名是test2.php.jpg也会以PHP来执行。
2）如果在Apache的conf里有这样一行配置AddType application/x-httpd-php.jpg，即使扩展名是jpg，一样能以PHP方式执行。
2.IIS 6.0解析漏洞
(1). 目录解析：
创建一个.asp的文件夹，IIS 5.x-6.x版本的服务器，会将该文件夹下的所有文件（不管文件后缀是什么）都会当做asp文件来解析。
(2). 文件解析：
服务器默认不解析分号；后面的内容，我们将需要上传的木马文件名修改为 test.asp;.jpg ，上传以后，就会保存为test.asp文件，从而进行解析，拿到webshell 。
(3). IIS 6.0 默认的可执行文件后缀除了 .asp ，还有 .asa .cer .cdx
3. nginx解析漏洞
当url中有不存在的文件时，php默认向前解析，并且是以不存在的文件后缀去解析前一个文件的。
我们访问www.213.com/test.jpg/1.php ,当不存在1.php时，会向前解析，解析test.php。
文件内容检测绕过
把代码文件和图片合成二进制文件，保存为新的图片，但是上传时，还要上传为.php的后缀，才能够被解析。
Windows系统中，打开cmd命令框，输入：
copy /b 1.png+test.php = 2.png
或者利用ExifTool工具来制做图片码
exiftool -Comment="<?php echo 'START ' . file_get_contents('/home/carlos/secret') . ' END'; ?>" <YOUR-INPUT-IMAGE>.jpg -o polyglot.php
PUT方法写入文件
某些web服务器配置支持PUT方法来提交数据。如果没有防御措施，那么攻击者就可以利用PUT方法来向服务器写入恶意文件。
PUT /images/exploit.php HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-httpd-php
Content-Length: 49<?php echo file_get_contents('/path/to/file'); ?>
防御方法
1.上传文件的存储目录，不给执行权限。（但是也要防止将源代码回显到前端页面，这样会造成信息泄露）也要防止攻击者通过目录遍历../ 将恶意文件上传到上一级目录，有可能上一级目录有执行权限。
2. 上传的文件进行重命名。
3. 对可上传的文件类型进行白名单校验，只允许上传可靠的文件类型。
4.及时更新web应用软件，防止解析漏洞的发生。
5.不能存在本地文件包含漏洞：如果存在本地文件包含漏洞，攻击者就可以上传任意的文件，再结合本地文件包含漏洞，去执行上传的文件。
