Dvwa之文件上传漏洞
2017-11-16 23:06
351 查看
今天到了比较有意思的地方,一句话我们要传木马啦!这个就比较有意思了,毕竟我们查找漏洞最想要的效果之一就是传马成功,获得我们想要的权限。
攻击原理:
1.web容器的解析漏洞
2.配合解析漏洞进行waf绕过和上传木马。
因为我用的web容器是Apache,所以暂且只介绍Apache的文件解析漏洞。
比如现在我们有一个1.php.rar.xx.kk的文件,那么服务器会报错吗?答案是否定的,Apache有自己的一套文件处理方式,
它会从后往前进行文件解析,到遇见认识的后缀为止,最终会解析成1.php。那么,它都认识什么呢?这个在Apaceh的安装目录/conf/mime.types文件中有详细介绍。
文件上传漏洞的利用是有限制条件的,首先当然是要能够成功上传木马文件,其次上传文件必须能够被执行,最后就是上传文件的路径必须可知。不幸的是,这里三个条件全都满足。
测试:
Low级别
看源码
经过分析源代码,我们可以知道服务器并未对上传的文件进行任何的过滤,并且对文件路径进行了回显。问题来了,我们上传什么文件。当然是我们钟爱的木马,接下来以最简单的一句话木马为例,进行我们的测试。
首先上传木马
![](https://oscdn.geek-share.com/Uploads/Images/Content/201711/16/ce1d472c64e6805cf282100a12a23266)
密码123456,上传以后我们发现文件路径是
![](https://oscdn.geek-share.com/Uploads/Images/Content/201711/16/317634fb890708469e98c6e03eeec6eb)
“`
http://192.168.0.104/DVWA-master/hackable/uploads/a.php.
copy a1.png/b+a.php/a hack.png
“`
可以看到,Impossible级别的代码对上传文件进行了重命名(为md5值,导致%00截断无法绕过过滤规则),加入Anti-CSRF token防护CSRF攻击,同时对文件的内容作了严格的检查,导致攻击者无法上传含有恶意脚本的文件。
攻击原理:
1.web容器的解析漏洞
2.配合解析漏洞进行waf绕过和上传木马。
因为我用的web容器是Apache,所以暂且只介绍Apache的文件解析漏洞。
比如现在我们有一个1.php.rar.xx.kk的文件,那么服务器会报错吗?答案是否定的,Apache有自己的一套文件处理方式,
它会从后往前进行文件解析,到遇见认识的后缀为止,最终会解析成1.php。那么,它都认识什么呢?这个在Apaceh的安装目录/conf/mime.types文件中有详细介绍。
文件上传漏洞的利用是有限制条件的,首先当然是要能够成功上传木马文件,其次上传文件必须能够被执行,最后就是上传文件的路径必须可知。不幸的是,这里三个条件全都满足。
测试:
Low级别
看源码
<?php if( isset( $_POST[ 'Upload' ] ) ) { // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // Can we move the file to the upload folder? if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // No echo '<pre>Your image was not uploaded.</pre>'; } else { // Yes! echo "<pre>{$target_path} succesfully uploaded!</pre>"; } } ?>
经过分析源代码,我们可以知道服务器并未对上传的文件进行任何的过滤,并且对文件路径进行了回显。问题来了,我们上传什么文件。当然是我们钟爱的木马,接下来以最简单的一句话木马为例,进行我们的测试。
首先上传木马
密码123456,上传以后我们发现文件路径是
“`
http://192.168.0.104/DVWA-master/hackable/uploads/a.php.
然后用菜刀进行连接。 这样菜刀就成功连接到了目标主机,并可以在进行下载,删除文件等操作,还可以获取对方shell。 中级 看源码 <?php if( isset( $_POST[ 'Upload' ] ) ) { // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // Is it an image? if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && ( $uploaded_size < 100000 ) ) { // Can we move the file to the upload folder? if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // No echo '<pre>Your image was not uploaded.</pre>'; } else { // Yes! echo "<pre>{$target_path} succesfully uploaded!</pre>"; } } else { // Invalid file echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; } } ?> 分析中级代码可知,服务器对上传进行了限制,后缀必须是png和jpeg,并且大小必须小于10000b大约是97kb。那么我们便不能这么明目张胆的上传木马了。主要有以下三种姿势: 1.配合文件包含漏洞 把a.php改为a.png,配合文件上传进行绕过,当然别忘了绕过文件包含的waf。由于环境问题,这个实验就不做了,举个梨子。 在地址栏中输入 http://192.168.0.104/dvwa/vulnerabilities/fi/?page=hthttp://tp://192.168.0.104/dvwa/hackable/uploads/a.png 2.抓包修改文件类型 用bp抓包,修改文件类型。 3.通过00截断绕过 在php版本小于5.3.4的版本中,当Magic_quote_gpc选项为off时,可以在文件名中使用%00截断,所以可以把上传文件命名a1.php%00.png进行绕过,我们用bp抓包检测一下文件类型。 可以发现文件类型是png成功绕过前端,并且到服务器文件会被解析成php文件,因为00后面的被截断了,服务器不解析。 高级代码 <?php if( isset( $_POST[ 'Upload' ] ) ) { // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // Is it an image? if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) && ( $uploaded_size < 100000 ) && getimagesize( $uploaded_tmp ) ) { // Can we move the file to the upload folder? if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { // No echo '<pre>Your image was not uploaded.</pre>'; } else { // Yes! echo "<pre>{$target_path} succesfully uploaded!</pre>"; } } else { // Invalid file echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; } } ?> 高级代码主要应用了getimagesize(string filename)函数对图片进行辨别,该函数会通过读取文件头,返回图片的长、宽等信息,如果没有相关的图片文件头,函数会报错。并且代码通过读取文件最后一个“.”希望来限制文件类型必须是jpg,jpeg,png。高级代码看来已经非常严格了,但是我们还可以绕过,文件名的限制我们可以通过00截断绕过而图片限制,我们可以把木马放进图片里。 在windows下我们可以通过copy命令合成图片木马。
copy a1.png/b+a.php/a hack.png
我们把合成的木马图片丢进16进制编辑器看看。 我们可以发现木马语句就在最后面。 接下来我们构造图片名为hack.php%00.png即可,当然也可以采用文件包含和改包的方式进行绕过文件类型的waf,具体方法参照中级代码尝试。 安全代码
<?php if( isset( $_POST[ 'Upload' ] ) ) { // Check Anti-CSRF token checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; //$target_file = basename( $uploaded_name, '.' . $uploaded_ext ) . '-'; $target_file = md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; $temp_file = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); $temp_file .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // Is it an image? if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) && ( $uploaded_size < 100000 ) && ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && getimagesize( $uploaded_tmp ) ) { // Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD) if( $uploaded_type == 'image/jpeg' ) { $img = imagecreatefromjpeg( $uploaded_tmp ); imagejpeg( $img, $temp_file, 100); } else { $img = imagecreatefrompng( $uploaded_tmp ); imagepng( $img, $temp_file, 9); } imagedestroy( $img ); // Can we move the file to the web root from the temp folder? if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { // Yes! echo "<pre><a href='${target_path}${target_file}'>${target_file}</a> succesfully uploaded!</pre>"; } else { // No echo '<pre>Your image was not uploaded.</pre>'; } // Delete any temp files if( file_exists( $temp_file ) ) unlink( $temp_file ); } else { // Invalid file echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; } } // Generate Anti-CSRF token generateSessionToken(); ?>
“`
可以看到,Impossible级别的代码对上传文件进行了重命名(为md5值,导致%00截断无法绕过过滤规则),加入Anti-CSRF token防护CSRF攻击,同时对文件的内容作了严格的检查,导致攻击者无法上传含有恶意脚本的文件。
相关文章推荐
- DVWA之PHP文件上传漏洞(File Upload)
- 文件上传漏洞是什么?要怎样防御文件上传的漏洞攻击?
- 文件上传漏洞原理与实例测试
- F2blog XMLRPC 上传任意文件漏洞
- 文件 4000 上传漏洞
- 文件上传漏洞常见利用方式分析
- 突破文件上传漏洞
- 攻防:文件上传漏洞的攻击与防御
- php 上传文件类型判断函数(避免上传漏洞 )
- Discuz NT 多个版本文件上传漏洞
- ASP.NET杜绝文件上传漏洞的代码(通过检测文件的头部编码)
- 文件上传漏洞练习笔记(1)
- 突破上传之文件包含漏洞以及修复方案
- 解析导致的文件上传漏洞
- Fckeditor 2.4.2 php任意上传文件漏洞
- Discuz NT多个版本文件上传漏洞
- 文件上传漏洞演示脚本之js验证
- PHP漏洞全解(九)-文件上传漏洞
- 网站常见漏洞 -- 文件上传漏洞