0x01 一次真实的渗透经历

在一个灰色秋天的清晨，我正坐在咖啡馆里，手里握着一杯热咖啡，透过窗户观察着街道上的人群。今天的目标是某互联网公司的在线商城系统，这是一项经过授权的渗透测试，旨在验证该系统的安全性。我的任务是发现漏洞并评估其影响。经过几周的信息收集，我决定首先针对其 Web 应用层进行攻击。

通过漫长的源代码审查和流量分析，我发现一个看似不起眼的文件上传功能。这个功能存在路径穿越和不严格的文件类型检查问题，可能允许我上传并执行恶意文件。在这种情况下，利用此漏洞进行攻击的关键在于绕过文件类型限制并在目标服务器上执行有效载荷。

0x02 漏洞成因与利用思路

漏洞成因分析

文件上传功能通常被用于用户上传图片、文档等文件。然而，如果开发人员未正确验证文件类型和路径，攻击者可以将恶意代码植入其中，进而获得对服务器的控制。这个漏洞的成因通常是由于以下几种错误：

  1. 文件类型未严格验证：一些应用仅通过扩展名或 MIME 类型来验证文件的合法性，而非实际文件内容。
  2. 路径穿越漏洞：攻击者可以通过精心构造的文件名在服务器文件系统中进行路径穿越，访问或覆盖敏感文件。
  3. 服务器配置不当：在某些情况下，Web 服务器配置错误可能导致上传的文件被直接执行。

攻击思路

在发现目标应用的文件上传功能存在上述漏洞后，我的攻击思路如下：

  1. 绕过文件类型限制：通过构造特定的文件格式和扩展名，绕过不严谨的文件类型检查。
  2. 路径穿越：利用文件名中插入路径穿越字符，如“../”，来访问服务器上的敏感目录。
  3. 上传并执行有效载荷：上传包含恶意代码的文件，并触发其执行以获取目标系统的控制权限。

黑客示意图

0x03 实战环境搭建

环境准备

为了更好地模拟攻击，我们需要搭建一个与目标系统结构相似的实验环境。这包括一个 LAMP (Linux, Apache, MySQL, PHP) 环境，配置类似的文件上传功能及潜在的服务器漏洞。以下是在本地设置实验环境的步骤：

  1. 安装 LAMP 环境：
  • 使用 Ubuntu 作为操作系统，并通过以下命令安装 Apache、MySQL 和 PHP。

    • <pre><code class="language-bash"> sudo apt-get update sudo apt-get install apache2 sudo apt-get install mysql-server sudo apt-get install php libapache2-mod-php php-mysql `

  1. 配置 Web 应用：
  • 创建一个简单的 PHP 应用，其中包含文件上传功能。确保上传目录的文件权限设置为可写。

`php &lt;?php if($_FILES[&#039;file&#039;][&#039;error&#039;] == 0) { $uploadDir = &#039;uploads/&#039;; $uploadFile = $uploadDir . basename($_FILES[&#039;file&#039;][&#039;name&#039;]); if (move_uploaded_file($_FILES[&#039;file&#039;][&#039;tmp_name&#039;], $uploadFile)) { echo &quot;File is valid, and was successfully uploaded.\n&quot;; } else { echo &quot;Possible file upload attack!\n&quot;; } } ?&gt; `

验证漏洞

在搭建好实验环境后，我们可以模拟攻击过程，验证其是否能成功绕过文件上传限制并执行任意代码。通过调整 Apache 配置文件，允许 PHP 执行上传的脚本，进一步模拟实际攻击场景。

0x04 Payload构造的艺术

绕过技巧

为了绕过文件类型限制，我们可以采用以下技巧：

  1. 双扩展名绕过：通过上传具有双扩展名的文件（如 shell.php.jpg），利用服务器可能仅检查最后一个扩展名的漏洞。
  2. 内容伪装：在文件头部插入合法的图片或文档字节，使 MIME 类型检测通过。

Payload设计

设计一个有效的 PHP Webshell，能够执行任意命令并返回结果。下面是一个简单的 Webshell 示例： </code></pre>php <?php if(isset($_GET['cmd'])) { system($_GET['cmd']); } ?> <pre><code> 将此代码保存为 shell.php 并上传至目标系统，通过 Web 浏览器访问并执行命令： </code></pre>bash http://target.com/uploads/shell.php?cmd=whoami <pre><code> 注释：这个 Webshell利用了 PHP 的 system 函数执行传入的命令，然后返回结果。这是最简单有效的方法之一。

0x05 流量捕获实战

网络流量分析

在进行攻击时，通过流量捕获工具（如 Wireshark），观察上传文件的流量，并分析服务器的响应。这有助于确认上传是否成功以及检测潜在的绕过技术。

  • 流量过滤：使用 Wireshark 过滤 HTTP POST 请求以定位文件上传流量。
  • 响应分析：检查服务器响应码和内容，确认文件是否已成功上传并执行。

渗透测试工具使用

使用 Metasploit 中的辅助模块进行文件上传漏洞验证： </code></pre>bash use auxiliary/scanner/http/file_upload set RHOSTS target.com set RPORT 80 run `

注释：Metasploit 提供了一系列工具和模块，方便测试人员快速验证常见的 Web 漏洞。

0x06 免杀与权限维持

免杀技术

在上传 Webshell 后，攻击者需要确保恶意代码不会被安全软件检测到。常见的免杀技术包括：

  • 代码混淆：通过混淆工具或手动重构代码，使其难以被静态分析检测。
  • 加密与解密：在服务器上加密代码，运行时再解密执行，降低被检测的概率。

权限维持

黑客示意图

获得初始访问权限后，下一步是确保权限的长期维持。常用的方法包括：

  • 隐蔽后门：在服务器上植入隐蔽后门，通过定期访问维护权限。
  • 持久化策略：修改关键配置或利用计划任务定期运行后门。

0x07 检测与防御策略

防御措施

针对文件上传漏洞，以下是一些有效的防御措施：

  1. 严格文件类型检查：采用白名单模式，仅允许特定类型文件上传，并使用文件内容检测验证。
  2. 路径验证与过滤：确保上传文件路径不包含穿越字符，并使用沙箱环境处理上传文件。
  3. 服务器安全配置：配置 Web 服务器禁止直接执行上传文件，并限制脚本权限。

检测方法

使用入侵检测系统（IDS）和 Web 应用防火墙（WAF）来监控上传行为和文件执行流量。定期审计日志以识别异常行为。

黑客示意图

0x08 个人经验分享

在多年的渗透测试过程中，我发现突破文件上传功能往往能获得意外的成果。这不仅是一种技术挑战，也是一种艺术。一旦成功上传并执行 Webshell，后续的流程就如同开启了一个新的维度。在攻击的过程中，保持耐心，细致分析每个细节是关键。记住，真正的攻击者，永远在寻找下一个突破口。

合法声明：本文所述技术仅限于授权安全测试，供安全研究人员学习和研究。未经授权，请勿尝试任何实际攻击。