文件上传漏洞攻击思路及绕过技巧

66 阅读 0 评论 44 点赞

我是靠谱客的博主欢呼黑裤，最近开发中收集的这篇文章主要介绍文件上传漏洞攻击思路及绕过技巧，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

1.客户端JS检验（后缀名）

2.服务器端检测：

文件类型content-type
文件内容头(cookie、HTTP认证、会话等)
目录路径
文件扩展名检测
黑名单or白名单
自定义正则校验
3.WAF

IIS服务器
.asp;.jpg 这种文件名在“；”后面的内容会被直接忽略，文件会被解析为.asp

两种漏洞

.asp、.asa会被解析为asp
*.asp;1.jpg会被解析为asp
WebDav通信协议

开启WebDav扩展，如果支持Delete、Put、Move、Copy，则可能存在漏洞

如何利用WebDav进行攻击？

option/ /URL 判断服务器支持的http方法
put /abc.txt URL 给服务器上传文件
COPY /abc.txt URL 用COPY或MOVE改名
DELETE /abc.txt URL delete服务器上的任何文件
apache服务器
解析扩展名：从后向前，当遇到不认识的扩展名时将从后向前进行解析，直到遇到认识的扩展名为止。

如何查看apache能识别的文件扩展名？

/private/etc/apache2/mime.types

绕过上传漏洞

防止上传漏洞主要有两种方式：

客户端检测：在文件未上传时，通过JS代码判断文件类型是否合法

服务器检测：在文件上传到服务器时，通过服务器脚本检测文件类型是否合法，有时会检测文件内容是否合法

1.绕过客户端检测——JS检测绕过

Firebug或开发者工具 shift+command+J
将JS检测文件后缀名代码删去

firebug需要Firefox45版本

中间人攻击
上传文件前将文件后缀改为jpg，在用burpsuite抓包，将文件后缀再改为php，但是要修改注意 content length（实体正文长度）,否则就会失败

2.绕过服务器端检测

a. 黑名单过滤：

使用开发者未过滤的扩展名
如果未对扩展名进行大小写转换在进行过滤，则可以通过大小写过滤
在windows上，如果文件名以”.”或空格结尾，会自动忽略”.”及空格，则可上传等进行绕过
b. 白名单过滤：

只允许上传特定的文件扩展名

若web的容器是IIS 6.0，可以通过修改扩展名1.asp;1.jsp绕过，此时php识别的扩展名为jsp，但浏览器会将其解释为asp脚本文件

c. MIME类型：

用来设定某种扩展名文件（jpg、mp4、mp3等）的打开方式，若该种文件允许上传，浏览器就会使用特定的程序打开。

文件类型绕过攻击
通过抓包修改content-type的值绕过客户端检测

HTTP content-type

PHP类型文件：application/octet-stream

jpeg/image类型文件：image/jpeg

二进制文件：binary (application/octet-stream)

mp4文件:video/mpeg4

PDF文件：application/pdf

目录验证
关键代码：如果文件夹不存在，就新建文件夹

if(!is_dir($Extention))

{

mkdir($Extention)

}
mkdir：新建文件夹函数

HTML关键代码：默认文件上传路径

则可以使用：

firebug或火狐的开发者工具或burp修改默认上传路径（asp）
然后上传一句话图片木马文件
如果Web容器为IIS6.0，网页代码会被解析

截断上传攻击
举例：输入文件名

username=request(“username”)

Response.write username

%>
当访问http://www.scsjsudh.com:80/text.asp?username=abc%00admin时，相当于访问username=abc

如何使用00截断？
上传文件名时，asp空格cde.jpg
用burp抓包，打开HEX选项，将“空格”的十六进制编码20改为00，即NULL
asp后的jpg被截断
文件编辑器上传漏洞
利用文件编辑器处理文件扩展名时的缺陷，例如：没有对上传文件重命名、文件扩展名过滤不严、编码漏洞等

FCKeditor 2.4.2及其以下版本中，在处理上传文件时，首先判断文件类型，是不是在设置的file、image、flash、media中的一种，如果文件满足条件，就会进行进一步处理，对文件的扩展名进行判断是否为允许上传的类型，然后重命名，但是没有对media类型的文件进行处理，所以就可以通过上传一个文件，然后抓包或者用火狐的开发者工具修改文件类型，从而进行攻击。

“没有绝对安全的网站”，所以在看似毫无漏洞的网页中，查看页面源代码，说不定会有所收获哦～

竞争条件攻击
有一些网站就比较猥琐了，上传文件时并不会做任何限制，但是在上传后检查上传的文件是否包含WebShell脚本，若检查为阳性，删除。

但是聪明的黑客意识到，就算他会删除我的脚本，但是在检查和删除时会有一定的时间差，只要我好好利用这段时间差重新生成一个WebShell，那就嘿嘿嘿

漏洞修复建议
采用白名单

上传的文件先放在临时上传路径中

将上传文件扩展名改为小写并判断是否符合上传条件

对文件进行随机命名