upload-labs通关笔记-第20关 文件上传之杠点绕过

news2025/6/9 13:00:38

系列目录

upload-labs通关笔记-第1关 文件上传之前端绕过（3种渗透方法）

upload-labs通关笔记-第2关 文件上传之MIME绕过-CSDN博客

upload-labs通关笔记-第3关 文件上传之黑名单绕过-CSDN博客

upload-labs通关笔记-第4关 文件上传之.htacess绕过-CSDN博客

upload-labs通关笔记-第5关 文件上传之.ini绕过-CSDN博客

upload-labs通关笔记-第6关 文件上传之大小写绕过-CSDN博客

upload-labs通关笔记-第7关 文件上传之空格绕过-CSDN博客

upload-labs通关笔记-第8关 文件上传之点绕过-CSDN博客

upload-labs通关笔记-第9关 文件上传之::$data绕过-CSDN博客

upload-labs通关笔记-第10关 文件上传之点多重过滤（空格点绕过）

upload-labs通关笔记-第11关 文件上传之双写绕过-CSDN博客

upload-labs通关笔记-第12关 文件上传之白名单GET法绕过

upload-labs通关笔记-第13关 文件上传之白名单POST法绕过

upload-labs通关笔记-第14关 文件上传之图片马文件头绕过

upload-labs通关笔记-第15关 文件上传之图片马getimagesize绕过

upload-labs通关笔记-第16关 文件上传之图片马exif_imagetype绕过

upload-labs通关笔记-第17关文件上传之二次渲染-CSDN博客

upload-labs通关笔记-第18关文件上传之条件竞争-CSDN博客

upload-labs通关笔记-第19关文件上传之条件竞争-CSDN博客

upload-labs通关笔记-第20关 文件上传之杠点绕过-CSDN博客

upload-labs通关笔记-第21关 文件上传之数组绕过-CSDN博客

目录

一、pathinfo函数

二、move_uploaded_file函数

三、代码审计

1、流程分析

2、渗透思路

（1）方法一

（2）方法二

A.类 Unix 系统示例

B.Windows 系统示例

四、渗透实战

1、制作脚本test20.php

2、浏览图片

3、bp开启拦截

4、点击上传

5、bp拦截

6、save_name文件名修改

7、发包并获取脚本地址

8、访问脚本

本文通过《upload-labs靶场通关笔记系列》来进行upload-labs靶场的渗透实战，本文讲解upload-labs靶场第20关图片马之杠点绕过渗透实战。

一、pathinfo函数

pathinfo是 PHP 中的一个内置函数，其作用是返回文件路径的信息。借助这个函数，你能够提取出文件路径里的不同部分，像目录名、文件名、扩展名等。

pathinfo(string $path, int $options = PATHINFO_ALL): mixed

 （1）参数说明

参数类型说明
$pathstring要解析的文件路径
$optionsint可选参数，指定返回的信息部分

（2）返回值

  • 当不指定 $options 时，返回包含所有信息的关联数组

  • 当指定 $options 时，返回指定部分的字符串

（3）使用示例

假设path为/var/html/www/test20.php，那么使用示例如下所示。

// 只获取目录名
echo pathinfo($path, PATHINFO_DIRNAME);  // 输出：/var/html/www/

// 只获取文件名（带扩展名）
echo pathinfo($path, PATHINFO_BASENAME); // 输出：test20.php

// 只获取文件扩展名
echo pathinfo($path, PATHINFO_EXTENSION); // 输出：php

// 只获取文件名（不带扩展名）
echo pathinfo($path, PATHINFO_FILENAME);  // 输出：test20

二、move_uploaded_file函数

move_uploaded_file是 PHP 中的一个重要函数，主要用于将通过 HTTP POST 上传的临时文件移动到指定的目标位置。在处理文件上传时，它起到了关键作用。

move_uploaded_file ( string $from , string $to ) : bool

（1）参数说明

  • $from：这是必需的参数，代表上传文件在服务器上的临时存储路径。通常，我们可以从 $_FILES 数组中获取这个临时文件的路径，例如 $_FILES['upload_file']['tmp_name']。
  • $to：同样是必需参数，指定了文件要被移动到的目标路径，也就是文件最终保存的位置。这个路径需要包含文件名。

（2）返回值

如果文件成功从临时位置移动到指定的目标位置，函数返回 true；反之，如果移动过程中出现问题，比如目标路径不可写、临时文件不存在等，函数将返回 false。

（3）安全性

move_uploaded_file是 PHP 中用于处理文件上传的函数，其安全性主要体现验证文件是否为合法上传文件，move_uploaded_file会检查指定的文件是否是通过 HTTP POST 上传的合法文件，这可以防止攻击者尝试移动服务器上已有的文件（如 /etc/passwd）或通过其他方式创建的文件。

三、代码审计

打开靶场第20关，本关卡又恢复为通过后缀过滤黑名单的检测方法，具体源码如下所示。

这段代码实现了一个简单的文件上传功能，并且对上传的文件类型进行了限制，详细版注释如下所示。

​
// 初始化上传状态标志，默认设置为 false，表示文件未成功上传
$is_upload = false;
// 初始化消息变量，用于存储上传过程中的提示信息，初始值为 null
$msg = null;

// 检查是否通过 POST 方式提交了名为 submit 的表单数据
if (isset($_POST['submit'])) {
    // 检查指定的上传目录是否存在
    if (file_exists(UPLOAD_PATH)) {
        // 定义一个数组，包含不允许上传的文件扩展名
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        // 从 POST 数据中获取用户指定的保存文件名
        $file_name = $_POST['save_name'];
        // 使用 pathinfo 函数提取文件名中的扩展名
        $file_ext = pathinfo($file_name, PATHINFO_EXTENSION);

        // 检查提取的文件扩展名是否不在禁止上传的扩展名数组中
        if (!in_array($file_ext, $deny_ext)) {
            // 获取上传文件在服务器上的临时存储路径
            $temp_file = $_FILES['upload_file']['tmp_name'];
            // 拼接上传文件的完整保存路径，包括上传目录和文件名
            $img_path = UPLOAD_PATH . '/' . $file_name;
            // 尝试将临时文件移动到指定的保存路径
            if (move_uploaded_file($temp_file, $img_path)) {
                // 如果移动成功，将上传状态标志设置为 true
                $is_upload = true;
            } else {
                // 如果移动失败，设置提示消息，表明上传出错
                $msg = '上传出错！';
            }
        } else {
            // 如果文件扩展名在禁止上传的数组中，设置提示消息，禁止保存该类型文件
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        // 如果上传目录不存在，设置提示消息，告知用户手动创建该目录
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

​

1、流程分析

  • 初始化变量：设置上传状态标志 $is_upload 为 false，并初始化消息变量 $msg 为 null。
  • 检查表单提交：当用户通过 POST 方式提交名为 submit 的表单时，开始处理上传逻辑。
  • 检查上传目录：检查指定的上传目录 UPLOAD_PATH 是否存在。如果不存在，提示用户手动创建该目录。
  • 文件类型检查：定义一个包含不允许上传的文件扩展名的数组 $deny_ext。从用户指定的保存文件名中通过pathinfo($path, PATHINFO_EXTENSION)函数提取扩展名，并检查该扩展名是否在禁止列表中。如果在禁止列表中，提示用户禁止保存该类型文件。
$file_name = $_POST['save_name'];
$file_ext = pathinfo($file_name, PATHINFO_EXTENSION);
  • 文件上传：如果文件扩展名不在禁止列表中，获取上传文件的临时存储路径，并使用move_uploaded_file函数将其移动到指定的保存路径。如果移动成功，将上传状态标志设置为 true；否则，提示用户上传出错。
$temp_file = $_FILES['upload_file']['tmp_name'];// 获取上传文件在服务器上的临时存储路径
$img_path = UPLOAD_PATH . '/' . $file_name; // 拼接上传文件完整保存路径，包括上传目录和文件名     
if (move_uploaded_file($temp_file, $img_path)){// 尝试将临时文件移动到指定的保存路径
     $is_upload = true;// 如果移动成功，将上传状态标志设置为 true
} else {
     $msg = '上传出错！';// 如果移动失败，设置提示消息，表明上传出错
}

2、渗透思路

（1）方法一

黑名单未检查大小写、没有尾部去空，没有尾部去点，也没有尾部去::$data等处理逻辑，故而可以使用upload-labs靶场的第6关卡、第7关卡、第8关卡和第九关的渗透方法绕过。假设计划上次脚本test.php，那么渗透方法包括如下方法

  • 大小写变体：将文件save_name名重命名为"test.pHP"
  • 文件名尾部增加空格：bp改包，将save_name文件名改为"test.php "
  • 文件名尾部增加点：bp改包，将save_name文件名改为"test.php."
  • 文件名尾部增加::$data：bp改包，将save_name文件名改为"test.php::$data"

（2）方法二

  • 修改save_name为test.php/.此时调用pathinfo会认为后缀名为空，非黑名单后缀，绕过了黑名单检查，具体如下所示。
$file_name = $_POST['save_name'];
$file_ext = pathinfo($file_name, PATHINFO_EXTENSION);
  • 文件名为test.php/.由于函数move_uploaded_file会忽略/.故而上传后的文件名为test.php从而渗透成功
     // 获取上传文件在服务器上的临时存储路径
     $temp_file = $_FILES['upload_file']['tmp_name'];
     // 拼接上传文件的完整保存路径，包括上传目录和文件名
     $img_path = UPLOAD_PATH . '/' . $file_name;
     // 尝试将临时文件移动到指定的保存路径
     if (move_uploaded_file($temp_file, $img_path)){
                $is_upload = true;// 如果移动成功，将上传状态标志设置为 true
     } else {
                $msg = '上传出错！';// 如果移动失败，设置提示消息，表明上传出错
     }
A.类 Unix 系统示例

在类 Unix 系统（如 Linux、macOS）和 Windows 系统中，都存在特定的路径解析规则。单个点号（.）在路径中代表当前目录。所以当路径里包含 /. 时，系统会把它理解为当前目录，从而在路径解析过程中 “忽略” 它。 在类 Unix 系统的 shell 中，下面这些路径是等价的：

/path/to/dir/.
/path/to/dir

当你使用 cd /path/to/dir/. 和 cd /path/to/dir 时，效果是一样的，都会进入 /path/to/dir 目录。

B.Windows 系统示例

Windows 系统在路径解析上也有类似规则。例如，在命令提示符中输入 cd C:\Users\Admin\. 和 cd C:\Users\Admin ，最终都会进入 C:\Users\Admin 目录。

四、渗透实战

1、制作脚本test20.php

<?
phpphpinfo();
?>

2、浏览图片

进入靶场20关，选择test20.php，注意下面保存名称默认为upload-19.jpg，具体如下所示。

3、bp开启拦截

4、点击上传

5、bp拦截

bp捕获到上传报文，下图红框的部分涉及到两个文件名，其中根据源码分析我们指导save_name即为需要修改的文件名upload-19.jpg，需要将"upload-19.jpg"后缀改为"upload-20.php/."，修改之前文件名为"upload-19.jpg",如下所示

6、save_name文件名修改

upload-19.jpg改为"upload-20.php/."，修改后效果如下所示。

7、发包并获取脚本地址

将bp的inception设置为off，此时修改后的报文发送成功。

回到靶场的Pass20关卡，图片已经上传成功，在图片处右键复制图片地址。

 右键图片获取图片地址，如下所示获取到图片URL。 

http://127.0.0.1/upload-labs/upload/upload-20.php/

8、访问脚本

 如下所示访问上传脚本获取到服务器的php信息，证明文件上传成功。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2386299.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Vscode +Keil Assistant编译报错处理

Vscode +Keil Assistant编译报错处理

Vscode Keil Assistant编译报错处理 1.报错图片内容 所在位置 行:1 字符: 25 chcp.com 65001 -Command & c:\Users\92170.vscode\extensions\cl.keil-a … ~ 不允许使用与号(&)。& 运算符是为将来使用而保留的&#xff1b;请用双引号将与号引起来(“&”)&…
阅读更多...
VSCode C/C++ 开发环境完整配置及一些扩展用途（自用）update:2025/3/31

VSCode C/C++ 开发环境完整配置及一些扩展用途（自用）update:2025/3/31

这里主要记录了一些与配置相关的内容。由于网上教程众多&#xff0c;部分解决方法并不能完全契合我遇到的问题&#xff0c;因此我选择以自己偏好的方式&#xff0c;对 VSCode 进行完整的配置&#xff0c;并记录在使用过程中遇到的问题及解决方案。后续内容也会持续更新和完善。…
阅读更多...
Docker系列（二）：开机自启动与基础配置、镜像加速器优化与疑难排查指南

Docker系列（二）：开机自启动与基础配置、镜像加速器优化与疑难排查指南

引言 docker 的快速部署与高效运行依赖于两大核心环节&#xff1a;基础环境搭建与镜像生态优化。本期博文从零开始&#xff0c;系统讲解 docker 服务的管理配置与镜像加速实践。第一部分聚焦 docker 服务的安装、权限控制与自启动设置&#xff0c;确保环境稳定可用&#xff1b…
阅读更多...
a16z：AI带来了全新的9种开发软件的模式

a16z：AI带来了全新的9种开发软件的模式

非常有启发的9条新兴模式&#xff0c;推荐给已经上手 vibeCoding 的读者们。 开发者正在将 AI 从简单的工具转变为构建软件的新基础。许多核心概念&#xff0c;如版本控制、模板、文档&#xff0c;甚至用户的定义&#xff0c;都在被重新思考。代理&#xff08;Agent&#xff09…
阅读更多...
在 Excel 使用macro————仙盟创梦IDE

在 Excel 使用macro————仙盟创梦IDE

Dim filePath As StringDim fileContent As StringDim lines() As StringDim dataArray() As StringDim lineCount As LongDim maxCols As LongDim i As Long, j As Long 文件路径filePath "" 检查文件是否存在If Dir(filePath) "" ThenMsgBox "文件…
阅读更多...
鸿蒙devEco studio如何创建模拟器

鸿蒙devEco studio如何创建模拟器

官网原文链接&#xff1a;https://developer.huawei.com/consumer/cn/doc/harmonyos-guides/ide-emulator-create 操作步骤 点击菜单栏的Tools > Device Manager&#xff0c;点击右下角的Edit设置模拟器实例的存储路径Local Emulator Location&#xff0c;Mac默认存储在~/…
阅读更多...
鸿蒙路由参数传递

鸿蒙路由参数传递

页面test.ets 代码如下&#xff1a; import router from ohos.router Entry Component struct Test {State message: string Hello WorldState username: string huState password: string 1build() {Row() {Column() {Text(this.message).fontSize(50).fontWeight(FontWe…
阅读更多...
springboot 控制层调用业务逻辑层，注入报错，无法自动装配 解决办法

springboot 控制层调用业务逻辑层，注入报错，无法自动装配 解决办法

报错&#xff1a; 解决&#xff1a;愿意是业务逻辑层&#xff0c;即service层的具体实现类没有加注解Service导致的&#xff0c;加上解决了&#xff01;&#xff01;
阅读更多...
MySQL：11_事务

MySQL：11_事务

事务 一.CURD不加控制&#xff0c;会有什么问题&#xff1f; 二.什么是事务&#xff1f; 事务就是一组DML语句组成&#xff0c;这些语句在逻辑上存在相关性&#xff0c;这一组DML语句要么全部成功&#xff0c;要么全部失败&#xff0c;是一个整体。MySQL提供一种机制&#xf…
阅读更多...
Linux中的文件系统和软硬连接

Linux中的文件系统和软硬连接

磁盘的访问方式 CHS&#xff08;柱面&#xff0c;磁头&#xff0c;扇区&#xff09; 法&#xff08;磁盘硬件查找&#xff09;&#xff1a; 确定柱面&#xff08;C&#xff09; 磁头臂移动到对应的柱面位置。例如&#xff0c;柱面号为 5&#xff0c;则磁头移动到第 5 个磁道组…
阅读更多...
Spring AI：Java开发者的AI开发新利器

Spring AI：Java开发者的AI开发新利器

目录 一、引言 二、Spring AI 是什么 三、核心功能与特性 3.1 统一的 API 抽象 3.2 丰富的模型支持 3.3 低代码集成 3.4 结构化数据输出 3.5 流式数据响应 四、应用场景 4.1 智能客服系统 4.2 图像识别应用 4.3 数据分析与预测 五、快速上手 5.1 环境搭建 5.2 创…
阅读更多...
Spring Cloud Sleuth与Zipkin深度整合指南：微服务链路追踪实战

Spring Cloud Sleuth与Zipkin深度整合指南：微服务链路追踪实战

上篇文章简单介绍了SpringCloud系列熔断器&#xff1a;Sentinel的搭建及基本用法&#xff0c;今天继续讲解下SpringCloud的微服务链路追踪&#xff1a;Zipkin的使用&#xff01;在分享之前继续回顾下本次SpringCloud的专题要讲的内容&#xff1a; 前置知识说明 在开始本教程前…
阅读更多...
spring-ai 集成 mcp 之投机取巧

spring-ai 集成 mcp 之投机取巧

主旨 这篇文章主旨就一点&#xff0c;罗列spring-ai对mcp集成导致出现的一系列问题 分析 由于mcp未问世之前&#xff0c;就早就已经有了工具调用&#xff0c;源码如下&#xff1a; public interface ToolCallback {/*** Definition used by the AI model to determine when a…
阅读更多...
大语言模型的完整训练周期从0到1的体系化拆解

大语言模型的完整训练周期从0到1的体系化拆解

以下部分内容参考了AI。 要真正理解大语言模型&#xff08;LLM&#xff09;的创生过程&#xff0c;我们需要将其拆解为一个完整的生命周期&#xff0c;每个阶段的关键技术相互关联&#xff0c;共同支撑最终模型的涌现能力。以下是体系化的训练流程框架&#xff1a; 阶段一&am…
阅读更多...
历年北京邮电大学保研上机真题

历年北京邮电大学保研上机真题

2025北京邮电大学保研上机真题 2024北京邮电大学保研上机真题 2023北京邮电大学保研上机真题 在线测评链接&#xff1a;https://pgcode.cn/problem?classification1 32位二进制串加法 题目描述 输入一个32位的二进制01串&#xff0c;输出这个数1和3后的32位二进制串。 输入…
阅读更多...
《仿盒马》app开发技术分享-- 定位获取（端云一体）

《仿盒马》app开发技术分享-- 定位获取（端云一体）

开发准备 上一节我们实现了地址管理页面的数据查询和展示&#xff0c;接下来我们要实现的功能是地址添加相关的&#xff0c;我们想实现的功能是地图选点&#xff0c;那么在地图选点之前我们要做的就是先获取用户当前的定位。获取定位后我们拿到经纬度和其他信息&#xff0c;然…
阅读更多...
黑马点评--基于Redis实现共享session登录

黑马点评--基于Redis实现共享session登录

集群的session共享问题分析 session共享问题&#xff1a;多台Tomcat无法共享session存储空间&#xff0c;当请求切换到不同Tomcat服务时&#xff0c;原来存储在一台Tomcat服务中的数据&#xff0c;在其他Tomcat中是看不到的&#xff0c;这就导致了导致数据丢失的问题。 虽然系…
阅读更多...
Mujoco 学习系列（二）基础功能与xml使用

Mujoco 学习系列（二）基础功能与xml使用

这篇文章是 Mujoco 学习系列第二篇&#xff0c;主要介绍一些基础功能与 xmI 使用&#xff0c;重点在于如何编写与读懂 xml 文件。 运行这篇博客前请先确保正确安装 Mujoco 并通过了基本功能与GUI的验证&#xff0c;即至少完整下面这个博客的 第二章节 内容&#xff1a; Mujoc…
阅读更多...
比特授权云外壳加密支持Android 15！

比特授权云外壳加密支持Android 15！

在信息化时代&#xff0c;多数软件供应商需要适配安卓系统&#xff0c;以扩大市场、满足用户需求并提升竞争力。APK作为Android应用的安装包&#xff0c;包含代码、资源、配置文件等运行所需组件&#xff0c;用于在设备端分发和安装应用。企业在分发软件时&#xff0c;需要通过…
阅读更多...
uniapp使用sse连接后端，接收后端推过来的消息（app不支持！！）

uniapp使用sse连接后端，接收后端推过来的消息（app不支持！！）

小白终成大白 文章目录 小白终成大白前言一、什么是SSE呢&#xff1f;和websocket的异同点有什么&#xff1f;相同点不同点 二、直接上实现代码总结 前言 一般的请求就是前端发 后端回复 你一下我一下 如果需要有什么实时性的 后端可以主动告诉前端的技术 我首先会想到 webso…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023