张小白的渗透之路（五）——上传漏洞及解析漏洞详解

前言

web应用程序通常会有文件上传的功能，例如在BBS发布图片、在个人网站发布压缩包，只要web应用程序允许上传文件，就有可能存在文件上传漏洞。
上传漏洞与sql注射相比，风险更大，如果web应用程序存在上传漏洞，攻击者甚至可以直接上传一个webshell到服务器上。
那么如何确认web应用程序是否存在上传漏洞呢？比如，我的CSDN博客，由php编写，允许上传头像，但是文件上传时并没有对图片格式做验证，导致用户可以上传任意文件，那么这就是一个上传漏洞。

解析漏洞

攻击者在利用上传漏洞时，通常会与web容器的解析漏洞配合在一起。所以我们首先来了解一下解析漏洞，这样才能更深入地了解上传漏洞，并加以防范。
常见的web容器有IIS、Ngnix、Apache、Tomcat等，下面以Apache容器为例讲解。（IIS6.0也是解析漏洞比较经典的一个容器实例，大家可以自行学习，小白比较喜欢敲命令，不喜欢点来点去找，就没咋研究……）
Apache解析漏洞
在Apache 1.x 和Apache 2.x中存在解析漏洞，但他们与IIS解析漏洞不同。比如，一下就是典型的Apache解析漏洞。（别盯了，看url……）

可以看到，上图的url中的文件名为1.php.rar，正常情况下，应该会弹出一个文件下载的提示框，但此时却没有，而是显示了phpinfo()的内容，这就是Apache的解析漏洞。1.php.rar的内容如下：

Apache在解析文件时有一个原则：当碰上不认识的扩展名时，将会从后向前解析，直到碰到认识的扩展名为止，如果都不认识，则会暴露其源代码。比如：

1.php.rar.xs.aa

Apache首先会解析aa扩展名，如果不认识，将会解析xs扩展名，这样一直遍历到认识的扩展名为止，然后再将其进行解析。
ps:Apache支持的扩展名可以在Apache的安装目录“/conf/mime.types”文件中有详细的扩展名列表，如下图所示。

有些程序开发人员在上传文件的设计时，要判断文件名是否是php、asp、aspx、asa、cer等脚本扩展名，如果是，则不允许上传，这时攻击者就有可能上传1.php.rar等扩展名来绕过程序检测，并配合解析漏洞，获取到webshell。

解析漏洞之PHP CGI解析漏洞
Nginx是一款高性能的web服务器，通常用来作为php的解析容器，Nginx也曾经被曝光过两个“解析漏洞”，比如访问

http://www.litbai.com/1.jpg/1.php

此时的1.php是不存在的，却可以看到1.jpg已经按照php脚本来解析了，问题就出现在这个“1.php”上。这就意味着攻击者可以上传合法的“图片”（图片木马），然后在URL后面加上“/xxx.php”，就可以获得网站的Webshell。
在2008年5月，国内著名的安全团队80SEC发现了此漏洞，，漏洞描述网址为： http://www.80sec.com/nginx-securit-securit.html
但是后来人们却发现，这不是Nginx特有的漏洞，在IIS7.0、IIS7.5、Lighttpd等Web容器中也经常会出现这样的解析漏洞。
后来人们慢慢发现，这种解析漏洞其实是PHP CGI的漏洞。在php的配置文件中有一个关键的选项：cgi.fi:x_pathinfo。
这个选项在某些版本中默认是开启的，在开启时访问URL，比如：

http://www.litbai.com/x.txt/x.php

x.php是不存在的文件，所以php将会向前递归解析，于是造成了解析漏洞，可以说此漏洞与Nginx关系并不是很大，但由于Nginx与PHP配合很容易造成这种解析漏洞，所以PHP CGI漏洞经常被认为是Nginx解析漏洞。

绕过上传漏洞

程序员在开发web应用程序时，一般都会涉及文件上传，比如：上传文档并提供下载，上传图片增加客户体验。文件上传的基本流程相同，客户端使用Javascript验证，服务器端采用随机数来重命名文件，以防止文件重复。
程序员在防止上传漏洞时可以分为以下两种。

• 客户端检测：客户端使用javascript检测，在文件未上传时，就对文件进行验证。
• 服务器端检测：服务端脚本一般会检测文件的MIME类型，检测文件扩展名是否合法，甚至有些程序员检测文件中是否嵌入恶意代码。
  在研究上传漏洞之前，首先来看两个小工具：中国菜刀和一句话图片木马。
  中国菜刀
  这款软件是用来管理网站文件的，非常小巧灵活，他仅仅需要一段简短的代码就可以方便地管理网站。中国菜刀现已经成为安全研究者手中必备地利器，其官网网站为：http://www,maicaidao.com
  该软件提供地服务器端文件仅有一行代码。目前支持地服务器端脚本包括：PHP、ASP、ASP.NET、JSP等，并且支持HTTPS安全连接地网站。常见的代码如下：

ASP:        
<%eval request("Cknife")%>
　	
ASP.NET:    
<%@ Page Language="Jscript"%><%eval(Request.Item["Cknife"],"unsafe");%>

PHP:        

正因为代码短小精悍，所以被黑客称为一句话木马（一句话后门）
将保存为shell.php，上传至PHP主机空间中，配置菜刀进行连接。详情请参阅 https://blog.csdn.net/Litbai_zhang/article/details/82984795

一般对上传漏洞有两种方式：客户端检测和服务器端检测

客户端检测

很多程序员仅仅通过javascript来非法拒绝文件上传。这样验证对一些普通用户防止上传错误还可以，对专业的技术人员来说，这是非常低级的验证。攻击者可以通过非常多的方法来突破客户端验证。下面是一个非常简单的文件上传示例，使用javascript验证。
Upload.html页面使用javascript对文件扩展名验证，如果不是白名单中的扩展名，那么Form表单将不会提交至服务器，代码如下：