当前位置：网站首页>渗透测试-文件上传/下载/包含

渗透测试-文件上传/下载/包含

2022-06-27 03:58:00 【amingMM】

渗透测试-文件上传/下载/包含

概述
一.常见校验上传文件的方法
二.对应校验的绕过方法
文件包含基本操作
- 利用目录穿越反弹SHELL
- 实战测试
上传漏洞原理利用
上传漏洞挖掘分析
02 文件上传漏洞原理与利用

概述

文件上传漏洞是指用户上传了一个可执行的脚本文件，

并通过此脚本文件获得了执行服务器端命令的能力。

常见场景是web服务器允许用户上传图片或者普通文本文件保存，
而用户绕过上传机制上传恶意代码并执行从而控制服务器。

这种漏洞是getshell最快最直接的方法之一
上传文件操作本身是没有问题的，问题在于文件上传到服务器后，服务器怎么处理和解释文件。

一.常见校验上传文件的方法

客户端校验

1.通过javascript来校验上传文件的后缀是否合法，可以采用白名单，也可以采用黑名单的方式

判断方式：在浏览加载文件，但还未点击上传按钮时便弹出对话框，内容如：只允许上传.jpg/.jpeg/.png后缀名的文件，而此时并没有发送数据包。

服务器端校验

1.校验请求头 content-type字段

用PHP检测

2. 正则匹配来判断文件幻数(文件头)内容是否符合要求

一般来说属于白名单的检测，常见的文件头（文件头标志位）如下

（1）.JPEG;.JPE;.JPG，”JPGGraphicFile”（FFD8FFFE00）

（2）.gif，”GIF89A”（474946383961）

（3）.zip，”ZipCompressed”（504B0304）

（4）.doc;.xls;.xlt;.ppt;.apr，”MSCompoundDocumentv1orLotusApproachAPRfile”（D0CF11E0A1B11AE1）

3. 文件加载检测：

一般是调用API或函数去进行文件加载测试，例如图像渲染测试，当测试结果正常的时候才允许上传

一次渲染（代码注入）
二次渲染

4. 后缀名黑名单、白名单后缀名校验

5. 自定义

6. WAF校验

即使用不同的WAF产品来进行过滤，通常是独立与服务程序的一段中间程序或者硬件

二.对应校验的绕过方法

文件包含基本操作

 https://www.hetianlab.com/expc.do?ec=ECIDef72-03b9-4edc-8626-d1e623989ecb

在这里插入图片描述

利用目录穿越反弹SHELL

在这里插入图片描述

实战测试

在这里插入图片描述

一句话不行

在这里插入图片描述
---- 开机启动

在这里插入图片描述

windows 10 的启动目录
注意免杀的问题就可以

上传漏洞原理利用

在这里插入图片描述

上传漏洞挖掘分析

在这里插入图片描述

# 废话没有直接干货

# PHP $_FILES 函数

在这里插入图片描述

测试下

在这里插入图片描述

PHP move_uploaded_file() 函数

——将上传的文件移动到新位置。

若成功，则返回 true，否则返回 false。在这里插入图片描述

在这里插入图片描述

上传 MIME 文件头/后缀是否存在

在这里插入图片描述

02 文件上传漏洞原理与利用

在这里插入图片描述

第一章：文件上传漏洞原理与流程

在这里插入图片描述

1.1 文件上传漏洞原理

在这里插入图片描述

在这里插入图片描述
post urldecode发送报文
上传文件 multipart

在这里插入图片描述

编码形式为 multipart/form-data 报文

放过

在这里插入图片描述

上传报文
php 生命周期之后删除几秒特有将文件内容写入临时文件

利用phpinfo信息LFI临时文件高级利用

在这里插入图片描述

本地文件包含上传漏洞利用

1.2 文件上传检测流程

绕过检测点

文件名
文件内容检测

恶意代码 webshell 检测

隔离区

*（跟解析漏洞 00截断配合）

读取文件内容 ----未知位置

在这里插入图片描述


答案：
1、正确答案：A
2、正确答案：B
3、正确答案：B
4、正确答案：A
5、正确答案：A

第二章：前端检测绕过

第一节客户端检测绕过

在这里插入图片描述

提交包校验 app 签名

在这里插入图片描述
ajax 检测

删除检测函数审查元素

在这里插入图片描述

ctrl + U
在这里插入图片描述

2.2 提交报文修改检测

在这里插入图片描述

打开代理
选择白名单类型文件

可以对历史进行重放

在这里插入图片描述

APP 下 burp 抓包

在这里插入图片描述

安卓进行代理抓包

在这里插入图片描述




答案：
1、正确答案：D
2、正确答案：D
3、正确答案：B
4、正确答案：A
5、正确答案：A

第三章：服务端检测绕过

3.1 MIME类型检测绕过

服务端绕过需要我们去猜程序员的检测方法
不像前端很简单操作就绕过去

在这里插入图片描述

扩展名黑白名单
MIME/type 浏览器生成的也是根据拓展名
文件内容图片文本 evel system phpinfo 不是很正常内容的

找到盲点
组合上传

在这里插入图片描述
w3school

关注白名单的 mime 类型

php里的 $_FILES数组文件参数 MIMEtype

判断是否为图像类型

在这里插入图片描述

MIMEtype 浏览器自动生成

可以修改不影响上传内容

在这里插入图片描述

3.2 文件内容检测绕过

在这里插入图片描述

检测文件中是否有恶意内容

开头有魔术标记

在这里插入图片描述
GIF89a

在这里插入图片描述

三位的 16进制 3个字节

JPG
在这里插入图片描述
%ff %d8%ff
url 编码形式

完整文件结构检测

在这里插入图片描述

动态混淆

在这里插入图片描述

测试被匹配的关键字
替换关键字

第三节文件上传小技巧

在这里插入图片描述

小技巧

filename 多个

目录可控穿越

禁止访问 php

在这里插入图片描述

查看目录是否被禁止
在这里插入图片描述

在这里插入图片描述

文件夹验证避免路径要打全

绕过 waf …/ …/
在这里插入图片描述
…/./…/

在这里插入图片描述

在这里插入图片描述
拿到后台之后的操作白名单

允许上传的参数提示

在这里插入图片描述


答案
1、正确答案：A
2、正确答案：B
3、正确答案：A
4、正确答案：A
5、正确答案：B

第四章：解析漏洞

第一节常见解析漏洞

服务器访问静态文件非动态文件 --解析成–> 动态文件一种错误

iis/nginx + php fastcgi 取值错误解析漏洞（配置错误）

在这里插入图片描述
伪静态

默认配置

新版的fastcgi 默认只有默认 php 可以解析

在这里插入图片描述
环境 php7

在这里插入图片描述
图片里有 phpinfo 检测了图片内容

在这里插入图片描述

新版的 fastcgi 不会出现。

nginx 文件名逻辑漏洞 CVE-2013-4547

在这里插入图片描述
看版本可以看响应报文

在这里插入图片描述
加一个空格

C+S+U url解码

在这里插入图片描述

apache 解析漏洞

在这里插入图片描述
配置错误

也是留后门的方法

在这里插入图片描述

IIS 5.x/6.0 解析漏洞

在这里插入图片描述
FckEditor

在这里插入图片描述

加 ;.jpg

在这里插入图片描述

可进行修改

第五章：文件上传高级利用

5.1 图片重绘

在这里插入图片描述

取到 temp_name

img_info 文件检测

在这里插入图片描述

清洗掉了转换脚本

在这里插入图片描述

在上面加上了 phpinfo

php 是字节流机械
unicode 合并还是可以解析

在这里插入图片描述

5.2 PHPINFO与文件包含的利用

没有找到上传点

在这里插入图片描述

多线程
垃圾数据

在这里插入图片描述
构造上传报文和包含报文

在这里插入图片描述

5.3 在线解压缩漏洞利用

在这里插入图片描述

模板上传等解压上传到固定文件夹
可以在模板的基础上进行修改

在这里插入图片描述

zip 目录穿越
安卓库可以写入文件替换关键系统文件命令执行

ios zip解压漏洞

在这里插入图片描述

软连接
当前文件指向一个绝对路径类似于快捷方式
在这里插入图片描述

symlinks 进行将软连接压缩

在这里插入图片描述

原网站

版权声明
本文为[amingMM]所创，转载请带上原文链接，感谢
https://blog.csdn.net/qq_33608000/article/details/125476982

当前位置：网站首页>渗透测试-文件上传/下载/包含

渗透测试-文件上传/下载/包含