1. 项目概述从靶场到实战的文件上传漏洞攻防演练最近在整理OSCP认证相关的研习笔记发现“文件上传漏洞”这个老生常谈的议题在实战和考试中依然是高频考点也是许多WEB应用安全评估的突破口。很多人觉得它简单无非就是传个Webshell但真到了复杂环境比如面对各种前端校验、MIME类型检测、内容检查、黑名单过滤甚至代码审计时就容易卡壳。这个“WEB应用攻击▸文件上传漏洞-B”的研记主题正是要深入这个看似基础实则千变万化的领域。它不仅仅是教你如何在DVWA靶场里点几下按钮更是要构建一套从信息收集、漏洞探测、绕过技巧到最终利用的完整思维框架。无论是应对OSCP考试中的模拟场景还是处理真实世界里的CMS如热词中提到的74cms、自定义应用如im即时通讯系统这套方法论都至关重要。文件上传漏洞的本质是应用在处理用户上传的文件时未能对文件的“身份”如扩展名、类型、“内容”如文件头、特定字符串以及“存储”如路径、权限进行充分且有效的安全校验导致攻击者能够上传并执行恶意代码从而获取服务器控制权。本次研记将聚焦于“B”面即那些超越基础、需要组合利用多种技术的进阶攻击手法与深度防御绕过策略。我们会结合热词中提到的DVWA靶场中等难度的三种方法、74cms的详细步骤思路以及preview.php这类特定点的漏洞原理拆解出一个从业者视角下的实战指南。2. 漏洞原理深度解析为什么文件上传如此危险要有效攻击或防御必须先理解漏洞产生的根源。文件上传功能本身是业务刚需从用户头像、文档分享到图片库无处不在。危险并非来自功能本身而源于开发者在实现这一功能链路上的每一个信任假设。2.1 不安全的信任链从客户端到服务器端一个典型的文件上传流程涉及多个环节用户选择文件 - 浏览器/客户端初步处理 - HTTP请求发送 - 服务器端接收 - 临时存储 - 安全校验 - 永久存储 - 返回访问路径。漏洞就潜伏在“安全校验”环节的缺失或薄弱点。客户端校验这是最薄弱的一环通常指通过JavaScript在浏览器端检查文件扩展名或大小。例如一个表单可能只允许选择.jpg,.png,.gif文件。攻击者可以轻松绕过——禁用浏览器JavaScript、使用Burp Suite等代理工具拦截并修改HTTP请求或者直接使用curl命令发送构造好的请求。核心要点永远不要信任客户端提交的任何数据包括客户端校验的结果。服务器端必须进行独立的、彻底的验证。服务器端校验这是防御的主战场但实现方式五花八门且容易出错。常见的校验点包括扩展名黑名单/白名单黑名单禁止如.php,.asp,.jsp等极易被绕过如.php5,.phtml,.phps, 甚至利用大小写.PHP。白名单只允许如.jpg,.png,.pdf相对安全但实现不严谨如只检查字符串结尾也可能被绕过如shell.php.jpg。MIME类型检查检查HTTP请求头中的Content-Type字段如image/jpeg。同样可被代理工具轻易篡改。文件内容检查这是更深入的防御。包括文件头Magic Bytes检查验证文件起始的几个字节是否符合预期类型如JPEG文件头为FF D8 FF E0。绕过需在恶意代码前添加合法的文件头。图像二次渲染/重采样对于图片服务器可能会对其进行压缩、裁剪或重新生成。这通常会破坏植入在图片像素数据中的恶意代码。绕过难度极高通常需要结合图像处理库的漏洞如GD库、ImageMagick的历史漏洞。内容安全扫描检查文件中是否包含?php,%,eval(等危险字符串。可通过编码、混淆、拆分等方式绕过。文件存储与访问即使文件成功上传如何触发执行也是关键。这涉及到存储路径是否可预测是否可被遍历上传到非Web可访问目录是理想情况。文件名是否使用用户控制的原始文件名这可能导致覆盖重要文件或利用解析漏洞。安全的做法是使用随机生成的文件名如UUID并保留原始扩展名在白名单内。Web服务器解析这是利用的最后一环。即使文件扩展名是.jpg如果服务器配置错误如Apache的AddType指令、mod_rewrite规则或Nginx的错误配置也可能将其中的PHP代码解析执行。经典的解析漏洞如shell.php.jpg在某些配置下被解析为PHP、shell.php%00.jpg利用旧版PHP的截断漏洞等。2.2 攻击者的视角利用链的构建理解了防御点攻击思路就清晰了寻找校验链中最薄弱的环节并构造载荷绕过它。一次成功的攻击往往是多种绕过技术的组合。 例如面对一个同时检查扩展名黑名单、MIME类型和文件头的应用攻击者可能需要将Webshell代码插入到一个合法JPEG文件的注释区域或之后保持文件头完好。将文件命名为shell.php.jpg尝试触发解析漏洞。上传时使用Burp Suite将Content-Type修改为image/jpeg。如果应用还检查文件内容中的?php标签则可能需要使用短标签?、script language”php”或利用php://filter进行编码。3. 靶场实战DVWA中等难度三种攻击方法拆解DVWADamn Vulnerable Web Application的文件上传模块是绝佳的练习场。其“中等Medium”难度模拟了简单的服务器端校验非常适合演示基础的绕过技术。这里详细拆解三种经典方法并解释其背后的原理。环境准备确保DVWA安全级别设置为“Medium”。准备好攻击工具浏览器用于正常交互、Burp Suite Community/Professional用于拦截和修改请求、一个简单的PHP Webshell如?php system($_GET[‘cmd’]); ?保存为shell.php。3.1 方法一前端绕过与MIME类型篡改这是最直观的方法针对的是同时存在客户端JS校验和简单服务器端MIME检查的场景。操作步骤与原理观察在DVWA Medium级别上传一个.php文件页面会直接提示“Your image was not uploaded.”。查看网页源代码会发现存在一段JavaScript代码检查文件扩展名。同时服务器端可能检查Content-Type。绕过客户端校验有两种主流方式。禁用浏览器JS在浏览器设置中禁用JavaScript然后直接选择shell.php上传。此时前端校验失效。代理拦截修改更通用先选择一个合法的图片文件如test.jpg在上传按钮点击前打开Burp Suite的代理拦截功能Proxy - Intercept is on。点击上传Burp会拦截到HTTP POST请求。篡改请求在Burp的拦截界面找到代表文件内容的multipart/form-data部分。这里有两个关键点需要修改文件名将filename”test.jpg”修改为filename”shell.php”。Content-Type将Content-Type: image/jpeg修改为Content-Type: text/php或application/x-php。对于DVWA Medium它主要检查这个类型是否属于图像类image/jpeg,image/png,image/gif。我们可以直接将其改为image/jpeg来通过校验。Forward与利用修改完成后点击“Forward”发送请求。如果成功页面会显示文件路径如…/hackable/uploads/shell.php。访问该路径并附加参数?cmdwhoami即可执行系统命令。注意这种方法成功的前提是服务器端只依赖MIME类型进行校验且没有严格的扩展名黑名单或内容检查。在实际应用中这种单一的防御措施已很少见。3.2 方法二扩展名黑名单绕过DVWA Medium的服务器端代码可查看源码学习使用了一个简单的黑名单数组array(‘.php’, ‘.php4’, ‘.php5’, ‘.phtml’)。我们的目标是找到一个不在黑名单中但依然能被Web服务器解析执行的扩展名。操作步骤与原理信息收集首先需要知道目标服务器支持哪些PHP处理器扩展名。这可以通过错误信息、默认配置文件、或旁站推测。常见可解析的扩展名除了黑名单里的还有.phps(通常用于显示源码但错误配置下可能执行).phar(PHP归档文件可包含可执行代码).inc(有时被配置为关联PHP解析器)大小写变体.PHP,.Php在黑名单为小写时可能绕过双扩展名shell.php.jpg依赖服务器解析漏洞见方法三特殊后缀在特定Apache配置下.php7,.php8等也可能被解析。尝试绕过对于DVWA一个经典的绕过是使用.pht或.phpt在某些古老或特定配置的Apache中可解析但更普遍有效的是利用大小写。将Webshell保存为shell.PHP并上传。原理分析DVWA的校验代码很可能是使用strtolower()或类似函数将文件名转为小写后再与黑名单比较。如果我们直接上传.PHP它被转为.php后命中黑名单上传失败。但是关键在于校验逻辑和重命名逻辑是否一致。如果校验后服务器存储文件时使用了原始文件名未转小写那么shell.PHP就能被保存。而Apache/PHP在解析时对文件扩展名的大小写通常是不敏感的在Linux系统上文件系统大小写敏感但Apache的匹配规则可能不敏感。这需要具体测试。更可靠的绕过使用黑名单之外的扩展名如.php3如果服务器安装了PHP3模块但极罕见或.phar。在DVWA环境中可以尝试上传shell.phar。成功率取决于服务器配置。实操与验证使用Burp拦截上传shell.phar的请求确保MIME类型也伪装成图像类。上传成功后尝试访问…/uploads/shell.phar。如果返回空白页或非下载提示可能意味着它被尝试解析了虽然可能因为代码错误而失败。真正的命令执行需要服务器正确配置了.phar的处理器。实操心得黑名单绕过的核心是“信息差”。你需要比防御者更了解运行环境。查看服务器报错信息、扫描目录下的其他文件扩展名、研究中间件Apache/Nginx的配置文件都是获取这些信息的手段。在OSCP考试中环境通常是标准化的记住几个常见的可解析扩展名如.phtml,.phps并逐一尝试是有效策略。3.3 方法三解析漏洞与双扩展名攻击这是利用Web服务器或后端语言自身特性将非执行文件解析为可执行文件的漏洞。最著名的莫过于IIS的;截断、旧版PHP的%00空字节截断以及Apache对多扩展名的解析逻辑。针对DVWA Medium的实操假设其为Apache环境构造Payload将Webshell保存为shell.php.jpg。文件内容开头可以是合法的JPEG文件头FF D8 FF E0后面跟上PHP代码。也可以简单地在PHP代码前加一行GIF89a;GIF文件头来绕过简单的文件头检查。上传直接通过页面上传此文件或使用Burp确保MIME类型为image/jpeg。由于扩展名以.jpg结尾它很可能通过基于扩展名黑名单的校验因为黑名单检查的是.php而不是.php.jpg。利用解析漏洞关键点在于Apache的解析行为。Apache有一个特性当遇到一个不认识的多扩展名文件时它会从右向左尝试解析直到找到一个它认识的扩展名。常见的配置中.php是认识的处理器。因此对于shell.php.jpg如果服务器配置了AddHandler application/x-httpd-php .phpApache看到.jpg不认识向左看找到.php于是将整个文件交给PHP解析器。但是现代Apache的默认配置通常不会这样。更常见的利用是基于mod_rewrite规则、特定的AddType指令或者存在Options Multiviews配置。Multiviews选项允许Apache通过内容协商来服务文件如果请求shell.php但该文件不存在而shell.php.jpg存在Apache可能会返回shell.php.jpg的内容并且如果.jpg被错误地关联给了PHP处理器代码就会被执行。DVWA环境测试在DVWA中直接上传shell.php.jpg可能不会成功执行因为其环境可能未配置易受攻击的解析规则。这种方法更常用于对特定目标的信息收集和测试之后。一个更可行的变种是使用空字节截断需PHP版本5.3.4在Burp中将文件名修改为shell.php%00.jpg。当PHP的旧版本move_uploaded_file()等函数处理文件名时%00会被解释为字符串结束符空字节导致.jpg被截断最终保存的文件名为shell.php。不过DVWA Medium的环境可能已修复此漏洞。扩展案例74cms文件上传漏洞热词中提到的74cms漏洞往往是上述多种技术的结合。例如某个版本可能允许用户上传“简历”或“公司logo”校验逻辑可能存在缺陷前端检查扩展名但可被绕过。服务器端使用黑名单但遗漏了.phtml或.phps。上传路径可预测或者文件名未重命名。最关键的是上传后的文件被存储在Web可访问目录并且应用程序自身存在某些功能如“预览”会以动态方式如include()或require()加载这些上传文件从而触发代码执行即使扩展名不是.php。这属于“二次注入”或“本地文件包含”LFI与文件上传的组合漏洞危害更大。4. 进阶绕过技术内容检查与组合拳当应用实施了更严格的文件内容检查时我们需要更高级的技巧。4.1 绕过文件头Magic Bytes检查许多应用会检查文件的前几个字节文件头以确保是真实的图片。JPEG:FF D8 FF E0或FF D8 FF E1PNG:89 50 4E 47 0D 0A 1A 0AGIF:47 49 46 38 39 61(GIF89a) 或47 49 46 38 37 61(GIF87a)绕过方法直接添加文件头使用十六进制编辑器如hexedit或在Kali中使用echo和重定向在Webshell代码前添加正确的文件头。# 创建一个包含GIF文件头和PHP代码的文件 echo -e ‘GIF89a\n?php system($_GET[\”cmd\”]); ?’ shell.gif注意这种方法可能会破坏GIF格式导致图片无法正常显示但可能通过文件头检查。 2.使用图片马将PHP代码写入图片的元数据如EXIF信息中。可以使用exiftool工具。exiftool -Comment’?php system($_GET[“cmd”]); ?’ legitimate.jpg -o webshell.jpg生成的webshell.jpg看起来是正常图片但注释区包含了恶意代码。如果应用在后续使用include等函数包含这张图片极罕见代码可能执行。更常见的利用场景是结合文件包含漏洞LFI服务器将图片文件当作PHP代码来解析。4.2 绕过内容关键字过滤如果应用扫描文件内容寻找?php、eval、system等字符串可以尝试以下方法使用短标签?是?php echo的简写前提是short_open_tag配置开启。也可以尝试%ASP风格标签需配置开启。使用其他语言标签script language”php”echo “test”;/scriptPHP 7.0后已移除但在旧环境可能有效。编码与混淆Base64编码?php eval(base64_decode(‘c3lzdGVtKCRfR0VUWydjbWQnXSk7’)); ?其中解码后是system($_GET[‘cmd’]);。字符串拼接/变形?php $a”s”.”y”.”s”.”t”.”e”.”m”; $a($_GET[‘cmd’]); ?利用PHP过滤器在文件包含漏洞中可以使用php://filter/convert.base64-encode/resourceuploaded_file.jpg来读取经过编码的文件内容如果服务器错误地执行了编码后的内容可能触发漏洞。但这通常用于读取源码而非直接执行上传文件。拆分与隐藏将敏感代码拆分成多个部分放在文件的不同位置如图片数据块之间并用无害字符隔开。4.3 条件竞争攻击Race Condition在一些高安全性的场景中应用可能会先检查文件内容如图片重渲染检查通过后才将临时文件移动到最终的可访问目录。如果“检查”和“移动”这两个操作不是原子的即存在微小的时间差就可能存在条件竞争漏洞。攻击思路持续快速地上传一个包含Webshell代码的文件。同时使用脚本高速访问这个文件即将存在的路径。在某个瞬间文件通过了检查但尚未被清理或处理此时访问请求到达Webshell被执行。这种攻击对网络速度和时机要求高在实战和CTF中均有出现。工具如Turbo IntruderBurp Suite扩展可以用于发动高速并发请求。5. 防御视角与安全开发建议作为渗透测试者或安全研究员理解攻击手法是为了更好地提出防御建议。一个健壮的文件上传功能应遵循以下原则使用白名单而非黑名单只允许一组严格确定的、安全的扩展名如.jpg,.png,.pdf。校验应在服务器端进行。校验文件内容使用可靠的库如finfo_file()(PHP)或python-magic(Python)根据文件内容而不仅是扩展名或MIME类型判断文件类型。对于图片可以进行二次渲染压缩/缩放以破坏嵌入的代码。重命名文件不要使用用户提供的文件名。使用随机生成的字符串如UUID作为文件名并保留白名单内的扩展名。控制存储位置将上传的文件存储在Web根目录之外。通过一个专门的、有权限控制的脚本如download.php?idxxx来提供文件访问。如果必须存储在Web可访问目录请确保目录没有执行权限通过服务器配置禁止该目录解析脚本。设置严格权限上传目录的文件权限应设置为只读如644并且运行Web服务器的用户如www-data不应有写入其他目录的权限。限制文件大小防止DoS攻击。使用安全框架或库许多现代Web框架提供了成熟的文件上传处理组件应优先使用。进行安全扫描对上传的文件进行病毒/恶意代码扫描如果适用。6. 实战排查与问题记录在实际渗透测试或OSCP实验室中遇到文件上传点可以遵循以下排查清单步骤操作目的工具/方法1. 侦察尝试上传各种文件合法图片、文本、.php文件观察客户端/服务器端反应判断校验类型浏览器、Burp Suite2. 前端绕过禁用JS或使用Burp拦截修改请求绕过客户端校验浏览器设置、Burp Suite3. 扩展名测试尝试黑名单外扩展名.phtml,.phps,.php5,.php7,.phar,.inc等及大小写变体绕过黑名单校验Burp Intruder 或手工测试4. MIME类型测试修改HTTP请求中的Content-Type头绕过MIME类型检查Burp Suite Repeater5. 内容检查测试上传包含恶意代码但带有正确文件头的文件图片马绕过文件头检查exiftool,hexedit6. 解析漏洞测试尝试双扩展名.php.jpg、空字节截断%00利用服务器解析特性Burp Suite注意%00需URL编码7. 目录遍历在文件名中尝试../如../../../shell.php尝试将文件上传到非预期目录Burp Suite8. 检查返回信息仔细查看成功/失败时的响应包括HTML源码、HTTP头、可能的错误信息获取服务器路径、配置线索浏览器开发者工具、Burp Suite9. 组合利用如果单独步骤失败尝试组合如.phtml图片头修改MIME应对多层防御基于前面测试结果进行构造10. 寻找二次触发点上传成功后寻找应用中可能包含、引用、显示该文件的功能点利用LFI等漏洞触发代码执行手动浏览、目录扫描、参数FUZZ常见问题与解决上传成功但无法访问检查返回的路径是否正确文件是否被重命名目录是否有访问权限。尝试目录遍历或路径爆破。返回“文件类型不允许”说明存在服务器端校验。需系统性地测试扩展名、MIME类型和文件内容。文件被重命名且扩展名改变说明应用可能进行了白名单校验和重命名。需要找到一种方法使重命名后的文件依然能被解析如解析漏洞或者寻找其他漏洞点如文件包含来包含这个重命名后的文件。在OSCP考试中时间有限不要在一个点上钻牛角尖。如果基础绕过方法改扩展名、改MIME、双扩展名都无效先标记完成其他更有把握的目标后再回来尝试组合技巧或寻找其他入口点。文件上传漏洞的攻防是一场持续的博弈。作为安全从业者保持对新技术、新绕过方法的好奇心并深入理解每一层防御背后的原理才能在实战中快速找到突破口。这份研记的目的不仅是提供几个Payload更是希望构建起面对此类漏洞时的系统性思维方法。在真正的评估中耐心、细致和有条理的测试流程往往比知道一个“神奇”的EXP更重要。
文件上传漏洞攻防实战：从DVWA靶场到74cms的进阶绕过技巧
1. 项目概述从靶场到实战的文件上传漏洞攻防演练最近在整理OSCP认证相关的研习笔记发现“文件上传漏洞”这个老生常谈的议题在实战和考试中依然是高频考点也是许多WEB应用安全评估的突破口。很多人觉得它简单无非就是传个Webshell但真到了复杂环境比如面对各种前端校验、MIME类型检测、内容检查、黑名单过滤甚至代码审计时就容易卡壳。这个“WEB应用攻击▸文件上传漏洞-B”的研记主题正是要深入这个看似基础实则千变万化的领域。它不仅仅是教你如何在DVWA靶场里点几下按钮更是要构建一套从信息收集、漏洞探测、绕过技巧到最终利用的完整思维框架。无论是应对OSCP考试中的模拟场景还是处理真实世界里的CMS如热词中提到的74cms、自定义应用如im即时通讯系统这套方法论都至关重要。文件上传漏洞的本质是应用在处理用户上传的文件时未能对文件的“身份”如扩展名、类型、“内容”如文件头、特定字符串以及“存储”如路径、权限进行充分且有效的安全校验导致攻击者能够上传并执行恶意代码从而获取服务器控制权。本次研记将聚焦于“B”面即那些超越基础、需要组合利用多种技术的进阶攻击手法与深度防御绕过策略。我们会结合热词中提到的DVWA靶场中等难度的三种方法、74cms的详细步骤思路以及preview.php这类特定点的漏洞原理拆解出一个从业者视角下的实战指南。2. 漏洞原理深度解析为什么文件上传如此危险要有效攻击或防御必须先理解漏洞产生的根源。文件上传功能本身是业务刚需从用户头像、文档分享到图片库无处不在。危险并非来自功能本身而源于开发者在实现这一功能链路上的每一个信任假设。2.1 不安全的信任链从客户端到服务器端一个典型的文件上传流程涉及多个环节用户选择文件 - 浏览器/客户端初步处理 - HTTP请求发送 - 服务器端接收 - 临时存储 - 安全校验 - 永久存储 - 返回访问路径。漏洞就潜伏在“安全校验”环节的缺失或薄弱点。客户端校验这是最薄弱的一环通常指通过JavaScript在浏览器端检查文件扩展名或大小。例如一个表单可能只允许选择.jpg,.png,.gif文件。攻击者可以轻松绕过——禁用浏览器JavaScript、使用Burp Suite等代理工具拦截并修改HTTP请求或者直接使用curl命令发送构造好的请求。核心要点永远不要信任客户端提交的任何数据包括客户端校验的结果。服务器端必须进行独立的、彻底的验证。服务器端校验这是防御的主战场但实现方式五花八门且容易出错。常见的校验点包括扩展名黑名单/白名单黑名单禁止如.php,.asp,.jsp等极易被绕过如.php5,.phtml,.phps, 甚至利用大小写.PHP。白名单只允许如.jpg,.png,.pdf相对安全但实现不严谨如只检查字符串结尾也可能被绕过如shell.php.jpg。MIME类型检查检查HTTP请求头中的Content-Type字段如image/jpeg。同样可被代理工具轻易篡改。文件内容检查这是更深入的防御。包括文件头Magic Bytes检查验证文件起始的几个字节是否符合预期类型如JPEG文件头为FF D8 FF E0。绕过需在恶意代码前添加合法的文件头。图像二次渲染/重采样对于图片服务器可能会对其进行压缩、裁剪或重新生成。这通常会破坏植入在图片像素数据中的恶意代码。绕过难度极高通常需要结合图像处理库的漏洞如GD库、ImageMagick的历史漏洞。内容安全扫描检查文件中是否包含?php,%,eval(等危险字符串。可通过编码、混淆、拆分等方式绕过。文件存储与访问即使文件成功上传如何触发执行也是关键。这涉及到存储路径是否可预测是否可被遍历上传到非Web可访问目录是理想情况。文件名是否使用用户控制的原始文件名这可能导致覆盖重要文件或利用解析漏洞。安全的做法是使用随机生成的文件名如UUID并保留原始扩展名在白名单内。Web服务器解析这是利用的最后一环。即使文件扩展名是.jpg如果服务器配置错误如Apache的AddType指令、mod_rewrite规则或Nginx的错误配置也可能将其中的PHP代码解析执行。经典的解析漏洞如shell.php.jpg在某些配置下被解析为PHP、shell.php%00.jpg利用旧版PHP的截断漏洞等。2.2 攻击者的视角利用链的构建理解了防御点攻击思路就清晰了寻找校验链中最薄弱的环节并构造载荷绕过它。一次成功的攻击往往是多种绕过技术的组合。 例如面对一个同时检查扩展名黑名单、MIME类型和文件头的应用攻击者可能需要将Webshell代码插入到一个合法JPEG文件的注释区域或之后保持文件头完好。将文件命名为shell.php.jpg尝试触发解析漏洞。上传时使用Burp Suite将Content-Type修改为image/jpeg。如果应用还检查文件内容中的?php标签则可能需要使用短标签?、script language”php”或利用php://filter进行编码。3. 靶场实战DVWA中等难度三种攻击方法拆解DVWADamn Vulnerable Web Application的文件上传模块是绝佳的练习场。其“中等Medium”难度模拟了简单的服务器端校验非常适合演示基础的绕过技术。这里详细拆解三种经典方法并解释其背后的原理。环境准备确保DVWA安全级别设置为“Medium”。准备好攻击工具浏览器用于正常交互、Burp Suite Community/Professional用于拦截和修改请求、一个简单的PHP Webshell如?php system($_GET[‘cmd’]); ?保存为shell.php。3.1 方法一前端绕过与MIME类型篡改这是最直观的方法针对的是同时存在客户端JS校验和简单服务器端MIME检查的场景。操作步骤与原理观察在DVWA Medium级别上传一个.php文件页面会直接提示“Your image was not uploaded.”。查看网页源代码会发现存在一段JavaScript代码检查文件扩展名。同时服务器端可能检查Content-Type。绕过客户端校验有两种主流方式。禁用浏览器JS在浏览器设置中禁用JavaScript然后直接选择shell.php上传。此时前端校验失效。代理拦截修改更通用先选择一个合法的图片文件如test.jpg在上传按钮点击前打开Burp Suite的代理拦截功能Proxy - Intercept is on。点击上传Burp会拦截到HTTP POST请求。篡改请求在Burp的拦截界面找到代表文件内容的multipart/form-data部分。这里有两个关键点需要修改文件名将filename”test.jpg”修改为filename”shell.php”。Content-Type将Content-Type: image/jpeg修改为Content-Type: text/php或application/x-php。对于DVWA Medium它主要检查这个类型是否属于图像类image/jpeg,image/png,image/gif。我们可以直接将其改为image/jpeg来通过校验。Forward与利用修改完成后点击“Forward”发送请求。如果成功页面会显示文件路径如…/hackable/uploads/shell.php。访问该路径并附加参数?cmdwhoami即可执行系统命令。注意这种方法成功的前提是服务器端只依赖MIME类型进行校验且没有严格的扩展名黑名单或内容检查。在实际应用中这种单一的防御措施已很少见。3.2 方法二扩展名黑名单绕过DVWA Medium的服务器端代码可查看源码学习使用了一个简单的黑名单数组array(‘.php’, ‘.php4’, ‘.php5’, ‘.phtml’)。我们的目标是找到一个不在黑名单中但依然能被Web服务器解析执行的扩展名。操作步骤与原理信息收集首先需要知道目标服务器支持哪些PHP处理器扩展名。这可以通过错误信息、默认配置文件、或旁站推测。常见可解析的扩展名除了黑名单里的还有.phps(通常用于显示源码但错误配置下可能执行).phar(PHP归档文件可包含可执行代码).inc(有时被配置为关联PHP解析器)大小写变体.PHP,.Php在黑名单为小写时可能绕过双扩展名shell.php.jpg依赖服务器解析漏洞见方法三特殊后缀在特定Apache配置下.php7,.php8等也可能被解析。尝试绕过对于DVWA一个经典的绕过是使用.pht或.phpt在某些古老或特定配置的Apache中可解析但更普遍有效的是利用大小写。将Webshell保存为shell.PHP并上传。原理分析DVWA的校验代码很可能是使用strtolower()或类似函数将文件名转为小写后再与黑名单比较。如果我们直接上传.PHP它被转为.php后命中黑名单上传失败。但是关键在于校验逻辑和重命名逻辑是否一致。如果校验后服务器存储文件时使用了原始文件名未转小写那么shell.PHP就能被保存。而Apache/PHP在解析时对文件扩展名的大小写通常是不敏感的在Linux系统上文件系统大小写敏感但Apache的匹配规则可能不敏感。这需要具体测试。更可靠的绕过使用黑名单之外的扩展名如.php3如果服务器安装了PHP3模块但极罕见或.phar。在DVWA环境中可以尝试上传shell.phar。成功率取决于服务器配置。实操与验证使用Burp拦截上传shell.phar的请求确保MIME类型也伪装成图像类。上传成功后尝试访问…/uploads/shell.phar。如果返回空白页或非下载提示可能意味着它被尝试解析了虽然可能因为代码错误而失败。真正的命令执行需要服务器正确配置了.phar的处理器。实操心得黑名单绕过的核心是“信息差”。你需要比防御者更了解运行环境。查看服务器报错信息、扫描目录下的其他文件扩展名、研究中间件Apache/Nginx的配置文件都是获取这些信息的手段。在OSCP考试中环境通常是标准化的记住几个常见的可解析扩展名如.phtml,.phps并逐一尝试是有效策略。3.3 方法三解析漏洞与双扩展名攻击这是利用Web服务器或后端语言自身特性将非执行文件解析为可执行文件的漏洞。最著名的莫过于IIS的;截断、旧版PHP的%00空字节截断以及Apache对多扩展名的解析逻辑。针对DVWA Medium的实操假设其为Apache环境构造Payload将Webshell保存为shell.php.jpg。文件内容开头可以是合法的JPEG文件头FF D8 FF E0后面跟上PHP代码。也可以简单地在PHP代码前加一行GIF89a;GIF文件头来绕过简单的文件头检查。上传直接通过页面上传此文件或使用Burp确保MIME类型为image/jpeg。由于扩展名以.jpg结尾它很可能通过基于扩展名黑名单的校验因为黑名单检查的是.php而不是.php.jpg。利用解析漏洞关键点在于Apache的解析行为。Apache有一个特性当遇到一个不认识的多扩展名文件时它会从右向左尝试解析直到找到一个它认识的扩展名。常见的配置中.php是认识的处理器。因此对于shell.php.jpg如果服务器配置了AddHandler application/x-httpd-php .phpApache看到.jpg不认识向左看找到.php于是将整个文件交给PHP解析器。但是现代Apache的默认配置通常不会这样。更常见的利用是基于mod_rewrite规则、特定的AddType指令或者存在Options Multiviews配置。Multiviews选项允许Apache通过内容协商来服务文件如果请求shell.php但该文件不存在而shell.php.jpg存在Apache可能会返回shell.php.jpg的内容并且如果.jpg被错误地关联给了PHP处理器代码就会被执行。DVWA环境测试在DVWA中直接上传shell.php.jpg可能不会成功执行因为其环境可能未配置易受攻击的解析规则。这种方法更常用于对特定目标的信息收集和测试之后。一个更可行的变种是使用空字节截断需PHP版本5.3.4在Burp中将文件名修改为shell.php%00.jpg。当PHP的旧版本move_uploaded_file()等函数处理文件名时%00会被解释为字符串结束符空字节导致.jpg被截断最终保存的文件名为shell.php。不过DVWA Medium的环境可能已修复此漏洞。扩展案例74cms文件上传漏洞热词中提到的74cms漏洞往往是上述多种技术的结合。例如某个版本可能允许用户上传“简历”或“公司logo”校验逻辑可能存在缺陷前端检查扩展名但可被绕过。服务器端使用黑名单但遗漏了.phtml或.phps。上传路径可预测或者文件名未重命名。最关键的是上传后的文件被存储在Web可访问目录并且应用程序自身存在某些功能如“预览”会以动态方式如include()或require()加载这些上传文件从而触发代码执行即使扩展名不是.php。这属于“二次注入”或“本地文件包含”LFI与文件上传的组合漏洞危害更大。4. 进阶绕过技术内容检查与组合拳当应用实施了更严格的文件内容检查时我们需要更高级的技巧。4.1 绕过文件头Magic Bytes检查许多应用会检查文件的前几个字节文件头以确保是真实的图片。JPEG:FF D8 FF E0或FF D8 FF E1PNG:89 50 4E 47 0D 0A 1A 0AGIF:47 49 46 38 39 61(GIF89a) 或47 49 46 38 37 61(GIF87a)绕过方法直接添加文件头使用十六进制编辑器如hexedit或在Kali中使用echo和重定向在Webshell代码前添加正确的文件头。# 创建一个包含GIF文件头和PHP代码的文件 echo -e ‘GIF89a\n?php system($_GET[\”cmd\”]); ?’ shell.gif注意这种方法可能会破坏GIF格式导致图片无法正常显示但可能通过文件头检查。 2.使用图片马将PHP代码写入图片的元数据如EXIF信息中。可以使用exiftool工具。exiftool -Comment’?php system($_GET[“cmd”]); ?’ legitimate.jpg -o webshell.jpg生成的webshell.jpg看起来是正常图片但注释区包含了恶意代码。如果应用在后续使用include等函数包含这张图片极罕见代码可能执行。更常见的利用场景是结合文件包含漏洞LFI服务器将图片文件当作PHP代码来解析。4.2 绕过内容关键字过滤如果应用扫描文件内容寻找?php、eval、system等字符串可以尝试以下方法使用短标签?是?php echo的简写前提是short_open_tag配置开启。也可以尝试%ASP风格标签需配置开启。使用其他语言标签script language”php”echo “test”;/scriptPHP 7.0后已移除但在旧环境可能有效。编码与混淆Base64编码?php eval(base64_decode(‘c3lzdGVtKCRfR0VUWydjbWQnXSk7’)); ?其中解码后是system($_GET[‘cmd’]);。字符串拼接/变形?php $a”s”.”y”.”s”.”t”.”e”.”m”; $a($_GET[‘cmd’]); ?利用PHP过滤器在文件包含漏洞中可以使用php://filter/convert.base64-encode/resourceuploaded_file.jpg来读取经过编码的文件内容如果服务器错误地执行了编码后的内容可能触发漏洞。但这通常用于读取源码而非直接执行上传文件。拆分与隐藏将敏感代码拆分成多个部分放在文件的不同位置如图片数据块之间并用无害字符隔开。4.3 条件竞争攻击Race Condition在一些高安全性的场景中应用可能会先检查文件内容如图片重渲染检查通过后才将临时文件移动到最终的可访问目录。如果“检查”和“移动”这两个操作不是原子的即存在微小的时间差就可能存在条件竞争漏洞。攻击思路持续快速地上传一个包含Webshell代码的文件。同时使用脚本高速访问这个文件即将存在的路径。在某个瞬间文件通过了检查但尚未被清理或处理此时访问请求到达Webshell被执行。这种攻击对网络速度和时机要求高在实战和CTF中均有出现。工具如Turbo IntruderBurp Suite扩展可以用于发动高速并发请求。5. 防御视角与安全开发建议作为渗透测试者或安全研究员理解攻击手法是为了更好地提出防御建议。一个健壮的文件上传功能应遵循以下原则使用白名单而非黑名单只允许一组严格确定的、安全的扩展名如.jpg,.png,.pdf。校验应在服务器端进行。校验文件内容使用可靠的库如finfo_file()(PHP)或python-magic(Python)根据文件内容而不仅是扩展名或MIME类型判断文件类型。对于图片可以进行二次渲染压缩/缩放以破坏嵌入的代码。重命名文件不要使用用户提供的文件名。使用随机生成的字符串如UUID作为文件名并保留白名单内的扩展名。控制存储位置将上传的文件存储在Web根目录之外。通过一个专门的、有权限控制的脚本如download.php?idxxx来提供文件访问。如果必须存储在Web可访问目录请确保目录没有执行权限通过服务器配置禁止该目录解析脚本。设置严格权限上传目录的文件权限应设置为只读如644并且运行Web服务器的用户如www-data不应有写入其他目录的权限。限制文件大小防止DoS攻击。使用安全框架或库许多现代Web框架提供了成熟的文件上传处理组件应优先使用。进行安全扫描对上传的文件进行病毒/恶意代码扫描如果适用。6. 实战排查与问题记录在实际渗透测试或OSCP实验室中遇到文件上传点可以遵循以下排查清单步骤操作目的工具/方法1. 侦察尝试上传各种文件合法图片、文本、.php文件观察客户端/服务器端反应判断校验类型浏览器、Burp Suite2. 前端绕过禁用JS或使用Burp拦截修改请求绕过客户端校验浏览器设置、Burp Suite3. 扩展名测试尝试黑名单外扩展名.phtml,.phps,.php5,.php7,.phar,.inc等及大小写变体绕过黑名单校验Burp Intruder 或手工测试4. MIME类型测试修改HTTP请求中的Content-Type头绕过MIME类型检查Burp Suite Repeater5. 内容检查测试上传包含恶意代码但带有正确文件头的文件图片马绕过文件头检查exiftool,hexedit6. 解析漏洞测试尝试双扩展名.php.jpg、空字节截断%00利用服务器解析特性Burp Suite注意%00需URL编码7. 目录遍历在文件名中尝试../如../../../shell.php尝试将文件上传到非预期目录Burp Suite8. 检查返回信息仔细查看成功/失败时的响应包括HTML源码、HTTP头、可能的错误信息获取服务器路径、配置线索浏览器开发者工具、Burp Suite9. 组合利用如果单独步骤失败尝试组合如.phtml图片头修改MIME应对多层防御基于前面测试结果进行构造10. 寻找二次触发点上传成功后寻找应用中可能包含、引用、显示该文件的功能点利用LFI等漏洞触发代码执行手动浏览、目录扫描、参数FUZZ常见问题与解决上传成功但无法访问检查返回的路径是否正确文件是否被重命名目录是否有访问权限。尝试目录遍历或路径爆破。返回“文件类型不允许”说明存在服务器端校验。需系统性地测试扩展名、MIME类型和文件内容。文件被重命名且扩展名改变说明应用可能进行了白名单校验和重命名。需要找到一种方法使重命名后的文件依然能被解析如解析漏洞或者寻找其他漏洞点如文件包含来包含这个重命名后的文件。在OSCP考试中时间有限不要在一个点上钻牛角尖。如果基础绕过方法改扩展名、改MIME、双扩展名都无效先标记完成其他更有把握的目标后再回来尝试组合技巧或寻找其他入口点。文件上传漏洞的攻防是一场持续的博弈。作为安全从业者保持对新技术、新绕过方法的好奇心并深入理解每一层防御背后的原理才能在实战中快速找到突破口。这份研记的目的不仅是提供几个Payload更是希望构建起面对此类漏洞时的系统性思维方法。在真正的评估中耐心、细致和有条理的测试流程往往比知道一个“神奇”的EXP更重要。
