浅谈文件解析及上传漏洞-创新互联
中国菜刀
在web***中，我最期待两种漏洞，一种是任意命令执行漏洞，如struct2漏洞等；另一种是文件上传漏洞，因为这两种漏洞都是获取服务器权限最快最直接的方法。而对于任意命令执行漏洞，如果是通过内网映射出来的，那么可能还需要使用不同的手段进行***文件上传，从而获取webshell，通过webshell进行端口转发或者权限提升。
本文主要是介绍文件上传中的个人利用技巧经验汇总，讲解分为两部分：一部份是文件解析漏洞，另一部份是文件上传漏洞。
文件解析漏洞
解析漏洞主要是一些特殊文件被iis、Apache、Nginx等服务在某种情况下解释成脚本文件格式并得以执行而产生的漏洞。
iis 5.x/6.0解析漏洞
iis6.0解析漏洞主要有以下三种：
1. 目录解析漏洞 /xx.asp/xx.jpg
在网站下创建文件夹名字为.asp、.asa的文件夹，其目录内的任何扩展名的文件都被iis当做asp文件来解析并执行。因此只要***者可以通过该漏洞直接上传图片马，并且可以不需要改后缀名！
2. 文件解析 xx.asp;.jpg
在iis6.0下，分号后面的不被解析，所以xx.asp;.jpg被解析为asp脚本得以执行。
3. 文件类型解析 asa/cer/cdx
iis6.0 默认的可执行文件除了asp还包含这三种asa、cer、cdx。
Apache解析漏洞
Apache对文件的解析主要是从右到左开始判断并进行解析，如果判断为不能解析的类型，则继续向左进行解析，如xx.php.wer.xxxxx将被解析为PHP类型。
IIS 7.0/ Nginx <8.03畸形解析漏洞
在默认Fast-CGI开启状况下上传名字为xx.jpg,内容为:');?>
然后访问xx.jpg/.php,在这个目录下就会生成一句话***shell.php。
Nginx<8.03空字节代码执行漏洞
nginx如下版本：0.5., 0.6., 0.7 <= 0.7.65, 0.8 <= 0.8.37在使用PHP-FastCGI执行php的时候，URL里面在遇到%00空字节时与FastCGI处理不一致，导致可以在图片中嵌入PHP代码然后通过访问xxx.jpg%00.php来执行其中的代码。
另一种Nginx文件漏洞是从左到右进行解析，既可绕过对后缀名的限制，又可上传***文件，因此可以上传XXX.jpg.php（可能是运气，也可能是代码本身问题，但在其他都不能成功的条件下可以试试）。如下：Content-Disposition: form-data; name="userfiles"; filename="XXX.jpg.php"
htaccess文件解析
如果Apache中.htaccess可被执行并可被上传，那么可以尝试在.htaccess中写入：
然后再上传shell.jpg的***，这样shell.jpg就可被解析为PHP文件了。
操作系统特性解析
由于windows会将文件的后缀中的空格以及点进行过滤，如果遇到是黑名单校验的，如限制不允许上传PHP文件，而系统又是windows系统，那么我们可以上传xx.php ，或者xx.php.，通过这种方式就可以绕过黑名单检验的文件上传！
文件上传漏洞
前端上传限制
有的网站由于对文件上传的地方只做前端的一个校验，导致可轻易绕过，因为前端的一切限制都是不安全的！
如下是一个只对前端进行校验的一个上传测试点：
在这里我是开启了burp抓包的，但是我一点击上传就提示无法上传，而burp未抓到任何数据库，这说明这是一个前端校验的一个上传，在这里我们通过禁用js来直接上传php的webshell，我们也可以先将我们的php的webshell进行后缀名更改，如更改为jpg，然后上传，通过burp抓包，然后发往repeater中进行测试，如图：
此时我们在将我们上传的文件更改为我们的原本后缀名php，即可成功上传！
文件头欺骗漏洞
在一句话***前面加入GIF89a，然后将***保存为图片格式，可以欺骗简单的waf。
从左到右解析
我们在上传文件的时候，还有遇到服务器是从左到右进行解析的漏洞，也就是说服务器只检查文件名的第一个后缀，如果满足验证要求即可成功上传，但是我们都知道，只有最后一层的后缀才是有效的，如1.jpg.php，那么真正的后缀应该是PHP文件，根据这个我们可绕过相关验证进行上传。
我们上传通过burp抓包并在repeater中进行尝试上传：
此时我们将后缀改为php试试：
发现上传失败，这是我们可以试试上传一个.jpg.php的PHP文件：
我们可以发现，文件成功上传！
filepath漏洞
filepath漏洞主要用来突破服务器自动命名规则，主要有以下两种利用方式：
1、改变文件上传后路径(filepath)，可以结合目录解析漏洞，路径/x.asp/
2、直接改变文件名称(都是在filepath下进行修改)，路径/x.asp;.
对于第一种我们使用较多，如下是一个上传测试页面：
我们使用burp进行抓包并且发往repeater里面，如图：
此时我们上传是不成功的，而请求的头里面显示了上传后的目录，此时我们在此目录下新增一个eth20.php的目录，然后将filename改为图片格式，如jpg，但是如果直接这样的话还是上传不成功，于是我们可以结合00截断来进行上传，在新建的目录后面使用00截断，如图上传成功：
另外有一种情况我们我们在原目录下新建一个eth20.php的文件，然后直接使用00截断，这样我们依旧可以上传php文件，因为上传是使用filepath以及filename来控制的，filename白名单，那么我们就可以从filepath入手！利用手法和上面一样，唯一的区别是在00截断前不加最后一个斜杠（/），
00截断
00截断的两种利用方式：
1、更改filename，xx.php .jpg，在burpsuit中将空格对应的hex 20改为00
2、更改filename，xx.php%00.jpg，在burpsuit中将%00进行右键转换-url-urldecoder
filetype漏洞
filetype漏洞主要是针对content-type字段，主要有两种利用方式：
1、先上传一个图片，然后将content-type:p_w_picpath/jpeg改为content-type:text/asp，然后对filename进行00截断，将图片内容替换为一句话***。
2、直接使用burp抓包，得到post上传数据后，将Content-Type: text/plain改成 Content-Type: p_w_picpath/gif。
我们经常使用的一般是第二种，主要是将conten-type改为服务器accept的类型。如下图是一个简单的上传测试页面：
我们直接上传一个PHP的文件，使用burp进行抓包，然后发往repeater里，如图：
此时显示的是非图片文件，此时我们将conten-type改为服务器accept的图片类型，即可成功上传php文件，图中显示的flag你可以当成是实战中生成成功后的路径，从而getshell，如图：
iconv函数限制上传
如果某天你上传文件发现，不管你上传什么文件，上传后的文件都会自动添加一个.jpg的后缀，那么我们可以怀疑是否是使用iconv这个函数进行了上传的限制，此时我们可以使用类似00截断的方法，但是这里不是00截断，二是80-EF截断，也就是说我们可以修改HEX为80到EF中的某一个来进行截断，如果真是使用这个函数的话，那么恭喜你上传任意文件成功！如上传一个xx.php ，然后截断抓包将后面的空格对应的十六进制改为80到EF中的任意一个！
双文件上传
再一个文件上传的地方，右键审查元素，首先修改action为完整路径，然后复制粘贴上传浏览文件（
表单提交按钮
我们有时扫描发现上传路径，可是只有一个浏览文件，却没有提交按钮，此时我们就需要写入提交按钮。
写入表单：
F12审查元素，在选择文件表单下面添加提交按钮代码。
另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。
本文标题：浅谈文件解析及上传漏洞-创新互联
文章源于：http://6mz.cn/article/dppghi.html