如何挖掘任意文件上传漏洞_蜗蜗侠's Blog-关注网络安全

如何挖掘任意文件上传漏洞

时间:2016-11-24 20:22 来源:转载作者:sqler 点击:次

如何挖掘任意文件上传漏洞

0x01  前言
   不想说其他的，发这篇文章就是看坏蛋不爽。

0x02  什么是任意文件上传漏洞
由于文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，导致允许攻击者向某个可通过 Web 访问的目录上传任意PHP文件，并能够将这些文件传递给 PHP 解释器，就可以在远程服务器上执行任意PHP脚本。

0x03  任意文件上传漏洞的危害
   允许用户上传任意文件可能会让攻击者注入危险内容或恶意代码，并在服务器上运行。

0x04  实战的案例（白盒测试）
PHPEMS V3.1 （喷子喷之前请下载看看，如果有问题，欢迎指点）
phpems3.1/app/document/api.php

public function uploadfile()
{
$fn = $this->ev->get('CKEditorFuncNum');
$upfile = $this->ev->getFile('upload');
$path = 'files/attach/files/content/'.date('Ymd').'/';
if($upfile)
$fileurl = $this->files->uploadFile($upfile,$path,NULL,NULL,$this->allowexts);
if($fileurl)
{
$message = '上传成功!';
$args = array();
$args['attpath'] = $fileurl;
$args['atttitle'] = $upfile['name'];
$args['attext'] = $this->files->getFileExtName($upfile['name']);
$args['attsize'] = $upfile['size'];
$args['attuserid'] = $this->_user['sessionuserid'];
$args['attcntype'] = $upfile['type'];
$this->attach->addAttach($args);
$str = '<script type="text/javascript">window.parent.CKEDITOR.tools.callFunction('.$fn.', \''.WP.'/'.$fileurl.'\', \''.$message.'\');</script>';
}
else
{
$message = '上传失败，附件类型不符!';
$str = '<script type="text/javascript">window.parent.CKEDITOR.tools.callFunction('.$fn.',false, \''.$message.'\');</script>';
}
echo $str;
}
public function swfupload()
{
$path = 'files/attach/images/content/'.date('Ymd').'/';
$upfile = $this->ev->getFile('Filedata');
if($upfile)
$fileurl = $this->files->uploadFile($upfile,$path,NULL,NULL,$this->allowexts);
if($fileurl)
{
$args = array();
$args['attpath'] = $fileurl;
$args['atttitle'] = $upfile['name'];
$args['attext'] = $this->files->getFileExtName($upfile['name']);
$args['attsize'] = $upfile['size'];
$args['attuserid'] = $this->_user['sessionuserid'];
$args['attcntype'] = $upfile['type'];
$this->attach->addAttach($args);
if($this->ev->get('imgwidth') || $this->ev->get('imgheight'))
{
if($this->files->thumb($fileurl,$fileurl.'.png',$this->ev->get('imgwidth'),$this->ev->get('imgheight')))
$thumb = $fileurl.'.png';
else
$thumb = $fileurl;
}
else
$thumb = $fileurl;
exit(json_encode(array('status' => 'succ','thumb' => $thumb)));
}
else
{
exit(json_encode(array('status' => 'fail')));
}
}
上传的时候，调用uploadfile函数
public function uploadFile($file,$updir,$**tension = NULL,$name = NULL)
{
if(!$**tension)$**tension = $this->getFileExtName($file['name']);
if(!$name)$name = time().rand(1000,9999);
if(!file_exists($updir))$this->mdir($updir);
$url = $updir.$name.'.'.$**tension;
if(file_exists($url))unlink($url);
move_uploaded_file( $file['tmp_name'], $url ) ;
if (file_exists($url))
{
$oldumask = umask(0) ;
chmod( $url, 0777 ) ;
umask( $oldumask ) ;
}
return $url;
}