DVWA靶场File Upload(文件上传) 漏洞全部级别通关教程及源码审计
文件上传文件上传漏洞是由于对上传文件的内、类型没有做严格的过滤、检查，使得攻击者可以通过上传木马文件获取服务器的webshell文件
low
上传一个php文件，上传成功，并且可以在WWW\DVWA\hackable\uploads目次下找到该文件
https://track123.oss-cn-beijing.aliyuncs.com/20241230133411927.png
此难度没有做任何过滤，全部文件都可以上传
源码审计
没有做任何过滤，很危险的行为
medium
先上传一个php文件
https://track123.oss-cn-beijing.aliyuncs.com/20241230133116922.png
只允许上传jpg/png图片，那么就上传这两种图片
https://track123.oss-cn-beijing.aliyuncs.com/20241230133255236.png
上传成功
源码审计
只允许上传文件类型jpg/png内容，以及文件大小小于10000字节，过滤并不严谨
high
根据提示只允许上传图片文件，上传一个jpg图片结果上传失败
https://track123.oss-cn-beijing.aliyuncs.com/20241230133555459.png
上传并抓包，发送到重放器
https://track123.oss-cn-beijing.aliyuncs.com/20241230135633541.png
添加文件头即可，GIF89a
https://track123.oss-cn-beijing.aliyuncs.com/20241230140025618.png
源码审计
限制了文件后缀及文件内容是否有效，对文件类型过滤不严谨，如果添加文件头，则会被解析为一个jpg文件，就可以正常上传
impossible
源码审计
非常严格的过滤，对上传的文件进行了重命名（搞了一个MD5的加密），还增加了token值的校验，对文件的内容也做了严格的检查。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]