0x00 前言

文件上传是一个很常见的功能，文件上传漏洞也比较普遍，原理简单，造成的危害却很大，是一个入门级别的漏洞。这篇文章主要针对文件上传漏洞中的 黑名单检测绕过 这个点，结合upload-labs，做一个较为全面的总结。

upload-labs

upload-labs是一个使用php语言编写的，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共20关，每一关都包含着不同上传方式。

黑名单思想

利用黑名单的思想来防御文件上传漏洞是一种很常见的做法，比如upload-labs的第三关

但是黑名单思想很难把所有可能引发漏洞的威胁给过滤掉，而且随着时代发展还有可能有新的攻击方式产生，所以黑名单思想是一种不够安全的思想。

Secure By Default 原则

在设计安全方案时，最基本也就是最重要的原则就是“Secure by Default” 。在做任何安全设计时，都要牢牢记住这个原则。一个方案设计得是否足够安全，与有没有应用这个原则有很大的关系。实际上，“Secure by Default” 原则，也可归纳为白名单、黑名单的思想。如果更多地使用白名单，那么系统会变得更安全。

——《白帽子讲Web安全》

0x01 换用文件后缀(Pass-03)

能被Web容器解析的文件后缀(简单来说就是能被当做php文件来执行)，除了我们最常见的 .php以外还有很多，比如php1、php2、php3、php4、php5、phtml。

以 upload-labs 第3关为例：

本pass禁止上传.asp|.aspx|.php|.jsp后缀文件！可以看到这关禁用了4种文件，但是这是远远不够的......

可以看看 upload-labs 第4关，体会一下这两关的区别：

所以思路就很明确了，我们先创建一个文件，取名为phpinfo.php3(php1、php2、php3、php4、php5、phtml)，内容如下：

把这个文件上传，然后查看图像

可以看到我们上传的文件成功被当成php文件来解析，文件内容被成功执行

当然，如果文件内容是一句话木马，我们就可以成功地利用工具连接、控制目标网站。操作也比较简单，这里就不演示了。

0x02 .htaccess文件的利用(Pass-04)

.htaccess文件

htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。仅限于Apache服务器

简单来说，我们如果上传了 .htaccess 这样一个配置文件到了upload目录里，那么这个文件里的一些可以人为操作的指令就可以控制upload这个目录以及子目录的一些功能。

第4关和第3关的相比之下禁用了更多的后缀名，真是让人头疼，这时候我们灵光一闪，想到了.htaccess文件的利用，然后我们上传一个以下内容的.htaccess文件。它的作用是 让这个文件所在的目录里的所有文件都以php来解析

.htaccess

这时再上传一个内容为 <?php phpinfo(); ?> 的文件，文件名为 phpinfo.jpg，这时的文件名后缀就不用那么讲究了，就算是phpinfo.xxx 也是可行的，结果被成功执行。

0x03 大写绕过(Pass-05)

这关相比上一关增加了禁止 .htaccess 文件的上传

但是我们还有一个简单的小思路，那就是利用其过滤的不严谨性，没有顾及到后缀的大小写检测，以及windows对大小写不敏感，从而简单的绕过

上传一个文件名为 phpinfo.PHP的文件，内容为 <?php phpinfo(); ?>，结果被成功执行。

0x04 加空格绕过(Pass-06)

查看本关的源码可以看到没有对文件后缀进行去空操作

所以可以利用 BurpSuite 截断 给文件名 phpinfo.php 尾部加一个空格后，将绕过服务器端的检测

访问

0x05 加点绕过(Pass-07)

利用 BurpSuite 截断 给文件名 phpinfo.php 尾部加一个点后，可以绕过服务器端的检测

根据windows的特性，会自动去除文件尾部的点，从而让文件被web容器解析执行

0x06 ::$DATA绕过(Pass-08)

根据ntfs文件系统的特性，可以在后缀中加::$DATA绕过

查看图片发现禁止访问，原因我也说不上来。 ps：关于::$DATA绕过我还不是很懂，要是有dalao看到希望能教教我。

然后把URL框的::$DATA去掉就可以以php的形式解析执行了。

0x07 点空点绕过(Pass-09)

可以看一下这一关的源码，把之前讲的绕过方式都给禁用了

这时候我们给后缀加点加空再加点，去了一个点和去空之后就和前面加点绕过效果一样了

文件被成功解析执行：

0x08 双写绕过(Pass-10)

这关把所有和黑名单匹配的后缀名都替换为空，但是只替换一次，源码如下

遇到这种情况我们可以双写后缀来上传一个php文件，比如文件名为phpinfo.pphphp即可成功上传，最后访问的是info.php文件，文件内容成功被web容器解析

0x09 总结与心得

文件上传之黑名单检测绕过这个点就说完了，欢迎纠错、补充。当然，这只是文件上传漏洞非常小的一部分，文件上传漏洞还有很多姿势等着我去学习。一开始我用的是 buu 的 upload-labs，但是可能是环境问题(那里的php版本是7点多的，官方建议的是5.2.17)，导致一些关卡也存在问题。所以推荐大家自己动手搭一个环境，下载一个集成环境，只要7.7M，非常方便 https://github.com/c0ny1/upload-labs