DVWA通过教程之文件上传File Upload
文件上传漏洞原理可参考:浅谈“文件上传漏洞”
测试File Upload,要求能够上传一个一句话木马文件,一名话木马文件的文件名为zhangsan,连接参数为zs,并使用“中国菜刀”工具进行连接,遍历网站目录。
Low
服务器端核心代码
分析:
basename(path,suffix)
函数返回路径中的文件名部分,如果可选参数suffix为空,则返回的文件名包含后缀名,反之不包含后缀名。
可以看到,服务器对上传文件的类型、内容没有做任何的检查、过滤,存在明显的文件上传漏洞,生成上传路径后,服务器会检查是否上传成功并返回相应提示信息。
漏洞利用
文件上传漏洞的利用是有限制条件的,首先当然是要能够成功上传木马文件,其次上传文件必须能够被执行,最后就是上传文件的路径必须可知。不幸的是,这里三个条件全都满足。
上传文件123.php(一句话木马)
上传成功,并且返回了上传路径
打开中国菜刀,右键添加,
地址栏填入上传文件所在路径http://192.168.33.1/dvwa/hackable/uploads/123.php
参数名(一句话木马口令)为liu。
然后菜刀就会通过向服务器发送包含liu参数的post请求,在服务器上执行任意命令,获取webshell权限。
可以下载、修改服务器的所有文件。
Medium
服务器端核心代码
分析:
可以看到,Medium级别的代码对上传文件的类型、大小做了限制,要求文件类型必须是jpeg或者png,大小不能超过100000B(约为97.6KB)。
漏洞利用:
1.组合拳(文件包含+文件上传)
因为采用的是一句话木马,所以文件大小不会有问题,至于文件类型的检查,尝试修改文件名为123.png。
上传成功。
启用中国菜刀。
http://192.168.33.1/dvwa/hackable/uploads/123.png
不幸的是,虽然成功上传了文件,但是并不能成功获取webshell权限,在菜刀上无论进行什么操作都会返回如下信息.
中国菜刀的原理是向上传文件发送包含liu参数的post请求,通过控制liu参数来执行不同的命令,而这里服务器将木马文件解析成了图片文件,因此向其发送post请求时,服务器只会返回这个“图片”文件,并不会执行相应命令。
所以我们可以抓包修改文件名:
可以看到文件类型为image/png,尝试修改filename为123.php。
上传成功。
上菜刀,获取webshell权限。
http://192.168.33.1/dvwa/hackable/uploads/123.php
High
服务器端核心代码
分析:
strrpos(string,find,start)
函数返回字符串find在另一字符串string中最后一次出现的位置,如果没有找到字符串则返回false,可选参数start规定在何处开始搜索。
getimagesize(string filename)
函数会通过读取文件头,返回图片的长、宽等信息,如果没有相关的图片文件头,函数会报错。
可以看到,High级别的代码读取文件名中最后一个”.”后的字符串,期望通过文件名来限制文件类型,因此要求上传文件名形式必须是”*.jpg”、”*.jpeg” 、”*.png”之一。同时,getimagesize函数更是限制了上传文件的文件头必须为图像类型。
漏洞利用:
采用%00截断的方法可以轻松绕过文件名的检查,但是需要将上传文件的文件头伪装成图片由于实验环境的php版本原因,这里只演示如何借助High级别的文件包含漏洞来完成攻击。
首先利用copy将一句话木马文件123.php与图片文件1.jpg合并成hack.jpg
生成的文件hack.jpg
打开可以看到,一句话木马藏到了最后。
顺利通过文件头检查,可以成功上传。
上菜刀,右键添加shell,地址栏填入
http://192.168.33.1/dvwa/vulnerabilities/fi/?page=file:///C:/phpStudy/WWW/dvwa/hackable/uploads/hack.jpg
在菜刀之前先用浏览器访问该地址进行解析(注意!!!)
参数名填liu,
脚本语言选择php。
成功拿到webshell。
Impossible
服务端核心源代码:
分析:
1.上传文件进行重命名(md5值,导致%00截断无法绕过过滤规则)。
2.加入Anti-CSRF token防护CSRF攻击
3.对文件的内容进行严格的检查,让攻击者无法上传含有恶意脚本的文件。