小迪安全32WEB 攻防-通用漏洞&文件上传&二次渲染&.htaccess&变异免杀

#���识点：

1、文件上传-二次渲染

2、文件上传-简单免杀变异

3、文件上传-.htaccess 妙用

4、文件上传-PHP 语言特性

#详细点：

1、检测层面：前端，后端等

2、检测内容：文件头，完整性，二次渲染等

3、检测后缀：黑名单，白名单，MIME 检测等

4、绕过技巧：多后缀解析，截断，中间件特性，条件竞争等

#本章课程内容：

1、文件上传-CTF 赛题知识点

2、文件上传-中间件解析&编辑器安全

3、文件上传-实例 CMS 文件上传安全分析

#前置：

后门代码需要用特定格式后缀解析，不能以图片后缀解析脚本后门代码(解析漏洞除外)

如：jpg 图片里面有 php 后门代码，不能被触发，所以连接不上后门

如果要图片后缀解析脚本代码，一般会利用包含漏洞或解析漏洞，还有.user.ini&.htaccess

文件二次渲染：

1、判断上传前和上传后的文件大小及内容

2、判断上传后的文件返回数据包内容

162 突破.过滤

过滤 . () {} ;等关键字符，使无法使用.user.ini配置文件上传木马图

参考：https://www.bejson.com/convert/ip2int/

利用远程包含 IP 转换地址后门调用执行

原理：首先是因为网站中对关键字符的过滤，使我们不能以正常的payload填入进去(也就是eval等)，为此我们利用include函数，去包含一个地址，此地址中的文件里是包含着payload的，由于地址的表达被过滤，所以需要IP地址转换进行绕过

.user.ini   auto_prepend_file=png

png     */?>

对其进行上传

get 0=system

post 1=tac flag.php

分析：查看路径得知是.php的文件中执行的，这样就解释通之前的“前置”问题，如果路径是/upload/等这样的，就触发不了，需用.user.ini等文件进行触发，这里就包含了一个php文件——文件包含漏洞

165 jpg 二次渲染

发现也是一个文件包含

1. 先上传 jpg 正常，返回包发现渲染

除了一般的属性改变以外，有些二次渲染会在图片添加一些字符信息

   2.利用脚本生成木马图，上传 jpg 渲染后保存，生成带代码图片

调用执行：php jpg.php 1.jpg

在php的目录调用脚本对11.jpg进行加工

对其进行上传

166 zip 调用包含

直接上传 zip 后修改代码

将下载文件的地址拉过来，同理即可

167 .htaccess 妙用 htpd

.htaccess 默认不支持 nginx，设置后支持

.htaccess 可以通过设置实现文件解析配置 ，将.png 后缀的文件解析成 php

AddType application/x-httpd-php .png

将.png 后缀的文件解析成 php

这里的nginx是支持的。

168 免杀（脚本免杀）后门

允许上传php文件，但会对关键字进行过滤

169 170 日志包含

条件：

1.构造.user.ini 利用条件：上传 index.php 内容随意

即当构建出.user.ini和对应的.png，必须要有index.php才能有payload代码执行且内容可随便定义

2.PHP条件7版本

分析：之前的关卡，一个有索引，一个没有索引，说明一个可以利用一个不可以利用.user.ini

上传.user.ini 包含日志：auto_prepend_file=/var/log/nginx/access.log

上传.zip

修改后缀和类型，发现可以上传php

且发现文件在upload里，但没有索引

那创建个索引index.php出来，来满足.user.ini的条件

此时有索引了

包含日志文件，进行访问

读到

在UA上写入payload

上线成功

填入参数