文件上传漏洞基础/content-type绕过/黑名单绕过/-Toy模板网

这篇具有很好参考价值的文章主要介绍了文件上传漏洞基础/content-type绕过/黑名单绕过/。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

一、content-type绕过

contenent-type

源代码分析

绕过方式

尝试绕过

二、黑名单绕过

黑名单

代码分析

绕过方法

尝试绕过

一、content-type绕过

contenent-type

有些上传模块，会对http的类型头进行检测，如果是图片类型，允许上传文件到服务器，否则返回上传失败。因为服务器是通过ent-type判断类型，content-type在客户端可被修改，则此文件上传也有被绕过的风险！

源代码分析

upload-labs pass-02

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;

            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = $UPLOAD_ADDR.'文件夹不存在,请手工创建！';
    }
}

关键代码

if (($_FILES['upload_file']['type'] == 'image/jpeg') || 
($_FILES['upload_file']['type'] == 'image/png') || 
($_FILES['upload_file']['type'] == 'image/gif'))

在后端检测了上传文件的content-type是不是图片格式，也就是说，我们前面用的删掉前端函数，直接上传方式是用不了的，我们需要发送数据包中的content-type为image/png

绕过方式

①修改脚本后缀，上传，抓包中修改后缀（因为上传的就是图片，所以content-type就是image/png）

②直接上传脚本，抓包中直接修改conent-type

尝试绕过

还是先清空前面上传的文件

文件上传漏洞基础/content-type绕过/黑名单绕过/

尝试上传test.php

文件上传漏洞基础/content-type绕过/黑名单绕过/

①修改后缀上传

文件上传漏洞基础/content-type绕过/黑名单绕过/

可以看到content-type就是image/png，这时候我们直接修改后缀即可

文件上传漏洞基础/content-type绕过/黑名单绕过/

上传成功

②直接上传脚本修改content-type

文件上传漏洞基础/content-type绕过/黑名单绕过/ 修改content-type 为 image/png

文件上传漏洞基础/content-type绕过/黑名单绕过/ 上传成功

二、黑名单绕过

黑名单

上传模块，有时候会加入黑名单限制，在上传文件的时候获取后缀名，再把后缀名与程序中黑名单进行检测，如果后缀名在黑名单的列表内，将禁止文件上传

代码分析

upload-labs pass03

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR. '/' . $_FILES['upload_file']['name'])) {
                 $img_path = $UPLOAD_ADDR .'/'. $_FILES['upload_file']['name'];
                 $is_upload = true;
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

分析一下代码，其中$deny_ext是一个数组，里面存放着需要被检测的后缀名，即黑名单

$file_ext进行处理提取后缀名并转为小写

in_array($file_ext, $deny_ext)

判断$file_ext是否在$deny_ext中，即后缀名是否在黑名单中

后缀名不在黑名单中时，才进行上传操作