upload-labs靶场通关详解：第21关 数组绕过

一、分析源代码

// 初始化上传状态和消息变量
$is_upload = false;
$msg = null;

// 检查是否有文件上传
if(!empty($_FILES['upload_file'])){
    // 允许上传的MIME类型数组
    $allow_type = array('image/jpeg','image/png','image/gif');
    
    // 验证上传文件的MIME类型是否允许
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        // 获取保存的文件名，如果用户未指定则使用原文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        
        // 将文件名转换为小写并分割成数组（处理可能的多级扩展名）
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        // 获取文件扩展名
        $ext = end($file);
        
        // 允许的文件后缀名数组
        $allow_suffix = array('jpg','png','gif');
        
        // 验证文件后缀名是否允许
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            // 重新组合文件名（保留原始文件名和扩展名）
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            
            // 获取临时文件路径
            $temp_file = $_FILES['upload_file']['tmp_name'];
            
            // 构建上传后的文件完整路径
            $img_path = UPLOAD_PATH . '/' .$file_name;
            
            // 将临时文件移动到指定上传目录
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;  // 标记上传成功
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

这里首先做了一个MIME类型检测，然后将保存的文件名分割成数组，进行白名单验证。

explode（）函数将文件名拆分成数组，假设上传文件是xx.php.jpg，被拆分为：

Array
(
     [0] => xx
     [1] => php
     [2] => jpg
)

end（）函数用来获取最后一个元素的值，进行后缀名检查。这里获取是jpg，通过白名单验证，进入下一步。

重新组合文件名，reset（）函数返回第一个元素的值，"."用来拼接，count()函数是统计元素个数，file\[count(file) - 1]是获取最后一个元素。举例，这里文件名被拆分为包含三个元素的数组，所以count(file)为3，也就是file2，索引从0开始，$file2就是第三位的"jpg"。重新组合的文件名就成为"xx.jpg"。

接下来再构建路径并转移上传。

二、解题思路

缺陷存在于数组拆分重组这一步，因为数组中的元素是可以构造的。

Array
(
     [0] => xx.php
     [1] => （空）
     [2] => jpg
)

将第二个元素构造为空，end()函数获取第三个元素的值jpg，通过白名单验证。进入重新组合文件名：

file_name = reset(file) . '.' . file\[count(file) - 1];

这一步是关键所在，reset（）函数获取第一个元素的值xx.php，而count()函数计算数组中只有2个元素，所以file\[count(file) - 1]索引的位置是$file1，也就是第二个元素的值。最后拼接，变成了"xx.php.(空）"，由于windows系统的特性会删除文件名末尾的句点（.），最终文件被服务器保存为xx.php。

三、解题步骤

1.上传木马，利用bp抓包，先修改一下MIME类型，改成image/png。

2.构造数组。

3.提示文件上传成功，被保存为php文件。