DVWA通过教程之文件上传File Upload |
您所在的位置:网站首页 › jpg一句话木马 › DVWA通过教程之文件上传File Upload |
文件上传漏洞原理可参考:浅谈“文件上传漏洞”
测试File Upload,要求能够上传一个一句话木马文件,一名话木马文件的文件名为zhangsan,连接参数为zs,并使用“中国菜刀”工具进行连接,遍历网站目录。
服务器端核心代码 basename(path,suffix) 函数返回路径中的文件名部分,如果可选参数suffix为空,则返回的文件名包含后缀名,反之不包含后缀名。 可以看到,服务器对上传文件的类型、内容没有做任何的检查、过滤,存在明显的文件上传漏洞,生成上传路径后,服务器会检查是否上传成功并返回相应提示信息。 漏洞利用文件上传漏洞的利用是有限制条件的,首先当然是要能够成功上传木马文件,其次上传文件必须能够被执行,最后就是上传文件的路径必须可知。不幸的是,这里三个条件全都满足。 上传文件123.php(一句话木马) 上传成功,并且返回了上传路径 打开中国菜刀,右键添加, 地址栏填入上传文件所在路径http://192.168.33.1/dvwa/hackable/uploads/123.php 参数名(一句话木马口令)为liu。 然后菜刀就会通过向服务器发送包含liu参数的post请求,在服务器上执行任意命令,获取webshell权限。 可以下载、修改服务器的所有文件。 服务器端核心代码 可以看到,Medium级别的代码对上传文件的类型、大小做了限制,要求文件类型必须是jpeg或者png,大小不能超过100000B(约为97.6KB)。 漏洞利用:1.更改文件名后缀 这里采用的是一句话木马,所以文件大小不会有问题,至于文件类型的检查,尝试修改文件名为123.png。 上传成功。 启用中国菜刀。 http://192.168.33.1/dvwa/hackable/uploads/123.png 不幸的是,虽然成功上传了文件,但是并不能成功获取webshell权限,在菜刀上无论进行什么操作都会返回如下信息. 中国菜刀的原理是向上传文件发送包含liu参数的post请求,通过控制liu参数来执行不同的命令,而这里服务器将木马文件解析成了图片文件,因此向其发送post请求时,服务器只会返回这个“图片”文件,并不会执行相应命令。 所以我们可以抓包修改文件名: 可以看到文件类型为image/png,尝试修改filename为123.php。 上传成功。 上菜刀,获取webshell权限。 http://192.168.33.1/dvwa/hackable/uploads/123.php 2.更改文件content-type 就是上传123.php文件,然后修改content-type为image/png,过程同上类似。 3.%00截断 在php版本小于5.3.4的服务器中,当Magic_quote_gpc选项为off时,可以在文件名中使用%00截断。 可选方法举例如下: 更改文件后缀为123.php.jpg,设置代理并上传。抓包并将php.jpg中的字符“.”(十六进制0x2e)更改为00。更改文件后缀为123.php.jpg,设置代理并上传。抓包并在php.jpg中的字符“.”(十六进制0x2e)前右键选择insert byte,增加一个0x00字节。更改文件后缀为123.php%00.jpg,设置代理并上传。抓包并选中%00,右键url-decode。4.组合拳(文件包含+文件上传) 上传123.png 如何让服务器将其解析为php文件呢?我们想到文件包含漏洞(详见文件包含漏洞教程)。 这里可以借助Medium级别的文件包含漏洞来获取webshell权限,打开中国菜刀,右键添加,在地址栏中输入 http://192.168.33.1/dvwa/vulnerabilities/fi/?page=?page=htthttp://p://192.168.33.2/dvwa/hackable/uploads/123.png 点击添加,输入参数liu 成功获取webshell权限。 High 服务器端核心代码 strrpos(string,find,start) 函数返回字符串find在另一字符串string中最后一次出现的位置,如果没有找到字符串则返回false,可选参数start规定在何处开始搜索。 getimagesize(string filename) 函数会通过读取文件头,返回图片的长、宽等信息,如果没有相关的图片文件头,函数会报错。 可以看到,High级别的代码读取文件名中最后一个”.”后的字符串,期望通过文件名来限制文件类型,因此要求上传文件名形式必须是”*.jpg”、”*.jpeg” 、”*.png”之一。同时,getimagesize函数更是限制了上传文件的文件头必须为图像类型。 漏洞利用:采用%00截断的方法可以轻松绕过文件名的检查,但是需要将上传文件的文件头伪装成图片由于实验环境的php版本原因,这里只演示如何借助High级别的文件包含漏洞来完成攻击。 首先利用copy将一句话木马文件123.php与图片文件1.jpg合并成hack.jpg 生成的文件hack.jpg 打开可以看到,一句话木马藏到了最后。 顺利通过文件头检查,可以成功上传。 上菜刀,右键添加shell,地址栏填入 http://192.168.33.1/dvwa/vulnerabilities/fi/?page=file:///C:/phpStudy/WWW/dvwa/hackable/uploads/hack.jpg 在菜刀之前先用浏览器访问该地址进行解析,不解析php代码将不会被执行(注意!!!)参数名填liu, 脚本语言选择php。 成功拿到webshell。 服务端核心源代码: 1.上传文件进行重命名(md5值,导致%00截断无法绕过过滤规则)。 2.加入Anti-CSRF token防护CSRF攻击 3.对文件的内容进行严格的检查,让攻击者无法上传含有恶意脚本的文件。
|
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |