打靶归来

2023-11-25 18:49| 来源: 网络整理| 查看: 265

一、环境准备 ① - 靶场的搭建下载地址：upload-labsupload-labs靶场曾有过一次更新，更新新添加了一道Pass-05，有一些以前的教程的题号与这篇教程不符合，请各位自行分辨本篇作者所用到的PHP版本为5.4.45，只有在做部分题目时需要修改Pass03的绕过需要配置apache的httpd.conf文件

在这里插入图片描述作者在小皮面板上配置均失败，只在phpstudy上配置成功，且版本限制在5.4.45

Pass05的绕过需要服务器脚本语言为PHP，且服务器使用CGI／FastCGI模式（在phpstudy中配置nts即可，用完之后记得设置回来）在这里插入图片描述

Pass12与Pass13的绕过需要配置php版本小于5.3.29，且php.ini中的magic_quotes_gpc为OFF状态

注意：更改配置之后记得重启服务器

② - 准备webshell 测试用webshell # shell.php → 测试所用的phpinfo 一句话木马 # webshell.php → 一句话木马 ③ - 说明确认webshell上传成功的演示只在Pass01演示一遍本题使用的webshell均为最简单的phpinfo()，一句话木马getshell会在Pass02演示一遍，之后将不再演示webshell最好设置不同名，或者在每次上传成功后删除，避免出现绕过失败但测试成功的情况Pass14~Pass21的题解见：打靶归来 - 详解upload-labs靶场（下）二、题解【Pass01 - 前端Javascript过滤】

题目：在这里插入图片描述

绕过方法：

本题使用Javascript代码进行过滤，禁用网站的Javascript权限即可完成绕过

第一步：禁用网站权限在这里插入图片描述第二步：上传webshell，出现无法显示的图片说明上传成功第三步：上传成功后，通过浏览器的返回结果得到webshell的存储位置，访问webshell

在这里插入图片描述出现php版本信息代表上传成功！

【Pass02 - MIME类型过滤】

题目：在这里插入图片描述

绕过方法：

通过抓包修改请求头的MIME类型绕过过滤

第一步：上传webshell 第二步：抓包，修改MIME类型在这里插入图片描述第三步：上传后，访问webshell 第四步：使用蚁剑进行getshell 出现2操作说明webshell能够连接，接下来可以测试命令的执行执行成功，可以进行getshell

— Pass03 ~ Pass05 黑名单检测使用特殊方法绕过【Pass03 - 使用其它后缀名绕过】

题目：在这里插入图片描述

绕过方法：

本题使用黑名单过滤，且只过滤原始的后缀，所以可以使用不在其黑名单中的后缀进行绕过，Pass04和Pass05的方法可以在这一题使用，也可以使用其它的后缀名进行绕过。但前提是apache的http.conf文件做了如此配置

第一步：上传后缀名为.phtml（根据配置尝试）的webshell 第二步：确认webshell是否上传成功在这里插入图片描述

【Pass04 - 利用.htaccess绕过】

题目：在这里插入图片描述

绕过方法：

本题没有过滤.htaccess文件，可以通过上传.htaccess文件来为一个webshell文件更改后缀，来帮助webshell进行绕过

第一步：构造一个.htaccess文件

setHandler application/x-httpd-php

第二步：将.htaccess文件上传到服务器在这里插入图片描述第三步：将WebShell文件修改为指定的名字与后缀（1.png），上传到服务器

第四步：直接访问更改了后缀的WebShell文件即可执行该文件（1.png）在这里插入图片描述

【Pass05 - 利用.user.ini文件包含】

题目：在这里插入图片描述

绕过方法

本题没有过滤.user.data文件，且在目录下存在一个已知的php文件，可以通过.user.data文件配置使原有的php文件包含webshell

第一步：构造.user.php文件并上传

auto_prepend_file=1.png

在这里插入图片描述第二步：上传指定文件名的webshell 上传后等待五分钟（默认配置），使文件生效第三步：打开已知的php文件，即可执行webshell

— Pass06 ~ Pass11 黑名单检测修改后缀名绕过

这些类型过于简单，就不再按步骤讲解了，只会简单的分析源码和说明原理

# 以下代码是较为完整的放防御姿势，但还是有绕过方法，可以对比这个来判断有哪些最简单的绕过姿势 $file_name = trim($_FILES['upload_file']['name']);//提取文件名 $file_name = deldot($file_name);//删除文件名末尾的点 $file_ext = strrchr($file_name, '.');//从文件名中提取后缀名 $file_ext = strtolower($file_ext); //转换为小写 $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA $file_ext = trim($file_ext); //首尾去空【Pass06 - 利用大小写绕过】

题目：在这里插入图片描述

绕过方法

缺少大小写转换，可以通过修改后缀的大小写来绕过原理：Windows中对大小写是不敏感的

在这里插入图片描述

【Pass07 - 利用空格绕过】

题目：在这里插入图片描述

绕过方法

缺少末尾去空格，可以给文件名后缀末添加空格来绕过原理：Windows在保存文件时，会自动去除末尾的空格

在这里插入图片描述

【Pass08 - 利用.绕过】

题目：在这里插入图片描述

绕过方法

缺少末尾去.，可以给文件名后缀末添加.来绕过原理：Windows在保存文件时，会自动去除末尾的.

在这里插入图片描述

【Pass09 - 利用::$DATA绕过】

题目：在这里插入图片描述

绕过方法

缺少去除字符串::$DATA，利用在后缀名之后添加字符串::$DATA绕过

在这里插入图片描述

【Pass10 - 后缀名绕过的综合利用】

题目：在这里插入图片描述

绕过方法

仔细看一下，这题的代码就是之前写出来的较为完整的防御姿势，可以说把之前出现的所有情况都考虑完全了，但仍然存在绕过方法。这一题可以使用点+空格+点绕过，我们来分析以下这种方法的可行性

# 假设上传的文件为[shell.php. .] $file_name = trim($_FILES['upload_file']['name']); //获取文件名[shell.php. .] $file_name = deldot($file_name); //获取文件名[shell.php. ] $file_ext = strrchr($file_name, '.'); //获取后缀名[.php. ] $file_ext = strtolower($file_ext); $file_ext = str_ireplace('::$DATA', '', $file_ext); $file_ext = trim($file_ext); //获取后缀名[.php.]，最终可以实现绕过

在这里插入图片描述