文件上传漏洞防范手段(网络安全之对文件上传的思考)
文件上传漏洞防范手段(网络安全之对文件上传的思考)
2024-11-06 04:16:45  作者:武则天  网址:https://m.xinb2b.cn/sport/vmg514542.html

在web渗透中,最简单直接的方式就是文件上传但是不做任何检测,直接getshell的现在已经很少了.我在平时的授权测试中,遇到的大多数都是对上传的文件内容,格式等检测的比较多的,我来为大家科普一下关于文件上传漏洞防范手段?下面希望有你要的答案,我们一起来看看吧!


文件上传漏洞防范手段

在web渗透中,最简单直接的方式就是文件上传。但是不做任何检测,直接getshell的现在已经很少了.我在平时的授权测试中,遇到的大多数都是对上传的文件内容,格式等检测的比较多的

按前端到后端绕过顺序分为:前端js检验、代码防护检测(比如waf)、服务端检测

一、文件上传安全配置

二、绕过服务端的代码检测

服务端的代码常检测request包中的三个点:

1)MIME类型

2)文件后缀

3)文件内容

理论上请求包的任何参数都可以作为检测点,但是对于文件上传功能来说,用户提交的请求包中这三个

地方,是辨别是否为恶意文件的重要的三个点,服务端检测基本都是检测这三个地方

1)MIME类型检测

代码中只校验了http头中的MIME类型。

request包中content-type字段改为image/jpeg)

这个逻辑适用于很多情况,这也是安全的基础:不信任任何客户端提交的数据。

2)文件后缀检测

文件名后缀检测分两种情况:白名单和黑名单。

绕过白名单或黑名单有诸多姿势:“服务器解析漏洞” 、 “文件命名规则”、“截断”、“长度

截断”、“条件竞争”、“双文件上传”、“可解析后缀”、“.htacees和user.ini”、“误用函数”

等等。

1、服务器解析漏洞

1.1、apache解析漏洞

对于Apache服务器来说,哪些后缀可以被解析是由什么决定呢?

apache中有一个关于php的默认配置文件,其中用正则指定了哪些后缀使用哪些解析器。

apache解析一个特点,解析文件时是从右往左判断,遇到不认识的后缀时,就跳过,于是就有了类似于

“.php.123”这种绕过方式。大多情况下,我们遇到apache解析漏洞的是配置错误导致的

1.2、nginx和iis7.5/7.0解析漏洞

此解析漏洞其实是php的配置错误导致。

php为了支持path info模式创造了fix_pathinfo这个选项,当它被打开时,fpm就会判断请求的文件是

否存在,如果不存在就去掉最后一个\开始的内容,再次查看文件是否存在,不存在再去掉从\开的内容

,循环往复。所以当请求http://192.168.1.100/admin/upload/shell.jpg/.php这么个文件时,fpm会

把/.php去掉把shell.jpg当作php执行。

后来出现了seccurity.limit_extensions选项,这个选项默认配置.php文件才能被fpm执行。

利用条件:

1、fast-cgi模式运行

2、Fix_pathinfo为1 (默认为1)

3、seccurity.limit_extensions选项允许(默认只解析.php)

1.3、iis5.x- iis6.x解析漏洞

使用iis5--iis6的基本都是Windows server 2003这种老服务器了。

这种老服务器默认一般只解析asp。

这个解析漏洞很简单,就两条:

1、以*.asp命名的文件夹下所有文件都以asp文件执行

2、.asp;.jpg这种形式的命名方式会自动会忽略掉;后的内容。

2、文件命名规则

2.1、windows命名规则

1、文件名长度最大为255个英文字符。(或者是127个中文字符 1个英文字符)

2、全路径最大长度最大为260个字符。

3、访问文件不区分大小写(部分应用程序使用时除外),显示文件时有大小写。

4、开头不能使用空格,其他地方可以。

5、文件名不能包含:< > | / \ * ? :

2.2、linux命名规则

1、文件名最大长度为255

2、全路径长度最大为4096(16级最大文件长度)

3、区分大小写

4、除“/”之外所有字符都可以使用

5、linux不以文件扩展名区分文件类型,对linux来说一切皆文件。

linux下通过命名规则绕过的话,可以尝试 \ 或者 && ; 等命令分割符号绕过

3、00截断

00截断常见的有、0x00等,他们都是表示ascii字符表中的保留字符chr(0)。

不管表示编码方式有啥区别,只要能让服务器正确解析为chr(0)就行。

00截断的原理:chr(0)表示结束。

限制条件:

小于php5.3.4 小于jdk1.7.0_40

未过滤chr(0),例如magicquoesgpc为off

4、长度截断

当文件名的长度超过系统允许的最大长度时,会将超出部分进行截断。

(部分系统不会进行截断,无法创建)

测试中可以使用二分法,不断尝试最大长度,然后进行截断。

5、条件竞争上传

当代码中的逻辑是先保存上传的文件,然后再判断上传文件是否合法时,便存在时间竞争条件漏洞。

首先写个生成马儿的马儿。

上传马儿,同时使用burpsuit不断请求马儿,或者写个脚本跑,

6、双文件上传

当代码中只对一处文件名做校验时,便存在双上传的漏洞。

使用burpsuit抓包改包或者F12修改前端代码都可以。

7、可解析后缀

不常见的可解析后缀:

1、ph(p[1-7]?|t(ml)?) ,shtml,pwml

2、asa ,asax, cer, cdx ,aspx,ascx,ashx,asmx,asp,

3、jspx,jspf,jspa,jsw,jsv,jtml

8、.htacces和user.ini

利用方式差不多,都是先上传配置文件,然后上传图片马之类的。

唯一不同是,user.ini是把图片内容附加在php脚本前面或者后面,类似于require()函数;

.htaccess是把图片内容用php来解析。

9、误用函数

empty()、isset()、strpos()、rename()、iconv()、copy()

3)文件内容检测

1、图片马

一般情况下检测文件相关信息、文件渲染都可以通过制作的图片马进行绕过。

文件渲染顾名思义,就是对上传的文件进行加载渲染,例如加载图片检测是否能正常使用。

绕过方式:burpsuit改包 或者 copy 1.jpg /b 2.php /a 3.jpg 生成图片马

2、二次渲染

二次渲染就不好过了,因为它会把图片中多余的语句去除,包括你的代码。

关于怎么制作过二次渲染的图片马,建议直接用别人做好的图片马

  • 唐朝李世民的皇后简介(唐太宗李世民顶级三美)
  • 2024-11-06唐太宗李世民顶级三美现在的古装剧,清一色僵尸脸,丧葬风,清汤寡水,锥子脸排骨胸,丫鬟小姐傻傻分不清;而在《唐太宗李世民》剧中,却全员绝色美女:皇后,公主,妃子,丫鬟,个个都很有辨识度,且身材匀称,顶得了花,戴得起冠在这剧。
  • 歌手臧天朔现在什么情况(著名歌手臧天朔因肝癌去世)
  • 2024-11-06著名歌手臧天朔因肝癌去世臧天朔是中国内地摇滚乐歌手,他最著名的代表作莫过于那首《朋友》了,得到了很多人的共鸣,遗憾的是,2018年9月28日,臧天朔因肝癌去世,享年54岁说起原发性肝癌,很多人都有话要说,我国是世界上肝癌人数。
  • 四种大蒜不能吃(但这几种人不适合吃)
  • 2024-11-06但这几种人不适合吃大蒜作为一道饭桌上的必备食料,很多人都特别喜欢吃一道食物中如果加入了大蒜的话,闻起来会更加香,吃起来味道也会更好另外,大蒜还可以促进肠胃的蠕动,排出体内的废弃的气体在我国北方,有些人如果不吃大蒜就难以。
  • 苹果iphone13国行全系降价(不香了iPhone13再次翻车)
  • 2024-11-06不香了iPhone13再次翻车随着苹果秋季发布会上发布了新一代的iPhone13之后,苹果开始重新回到大家的视线中来,毕竟苹果旗下的iPhone往往会经过一年才会更新迭代,因此苹果的秋季发布会也被称为手机圈的年度春晚但是,我又要说。
  • 谢娜和赵丽颖为什么成为好友(谢娜与赵丽颖的感情体现)
  • 2024-11-06谢娜与赵丽颖的感情体现雪中送炭是朋友,有福同享有难同当是兄弟,心有灵犀一点通的是知己,一生当中,能够当知己的人,其实并不多前言有很多人都说,在娱乐圈里面,很少会有纯友谊,有的明星之间的关系,虽然表面上看起来很好,但实际上都。
  • 梦见医生寓意(梦见医生有什么寓意)
  • 2024-11-06梦见医生有什么寓意梦见医生,一方面可能仅仅表达你对自己或家人的身体有些担心的情绪;另一方面可能暗示你会生病,或者你需要得到帮助有时梦里充满关心你的温文尔雅的医生形象,还可能是幼年时代父母形象的反映梦见医生,家人会接连生。
  • 芥末是用啥做的(是用什么做成的)
  • 2024-11-06是用什么做成的各位读者朋友们大家好,感谢阅读我分享的美食文章,经验和大家一起共享,今天我要和大家分享的内容是:『“芥末”是用什么做成的?为什么叫芥末?吃了几十年,总算弄明白了!』人们常说“五味”,指的是“酸、甜、苦。
  • 华为回应孟晚舟获释信息(孟晚舟引渡案审理结束)
  • 2024-11-06孟晚舟引渡案审理结束【环球网快讯】加拿大当地时间8月18日下午,孟晚舟引渡案在不列颠哥伦比亚省高等法院的审理全部结束,法官没有立即宣布判决结果法官决定,10月21日举行会议,商定宣布判决结果的日期北京时间8月19日上午,。
  • 云顶之弈s5武器大师阵容(云顶之弈S6.5自爆式)
  • 2024-11-06云顶之弈S6.5自爆式前言:《霓虹之夜》版本将会在近日登陆游戏,作为测试服先锋,小嗨从今日起给大家分享测试服的上分阵容同时考虑到各位水友的需求点不一样,从本次开始小嗨也会将内容进行重新排版:第一部分(基础):阵容站位、海克。
  • 儿童绘画重要关键点(教你选儿童绘画班时)
  • 2024-11-06教你选儿童绘画班时伴随着“双减”政策的出台,语数外的课外辅导班出现了落寞,各种兴趣班更加火爆,其中绘画是许多家长的选择,那么给孩子选择绘画班要注意什么?首先是父母一定要明确学画的目的!审美教育是儿童素质教育的一个重要环。
  • 糖尿病人吃什么食物控制血糖(糖尿病人如何吃)
  • 2024-11-06糖尿病人如何吃饮食是治疗糖尿病的“五驾马车”之一,糖尿病患者想要控制血糖,必须要控制饮食但对于糖尿病患者而言,饮食比“天”还大,不仅关系到是否能填饱肚子,还会直接影响到病情的发展因此,科学饮食对糖尿病患者尤为重要为。