DVWA靶场File Upload(文件上传) 漏洞所有级别通关教程及源码审计

wowoqu

文件上传

文件上传漏洞是由于对上传文件的内、类型没有做严格的过滤、检查，使得攻击者可以通过上传木马文件获取服务器的webshell文件
low

上传一个php文件，上传成功，并且可以在WWW\DVWA\hackable\uploads目录下找到该文件

此难度没有做任何过滤，所有文件都可以上传
源码审计

没有做任何过滤，很危险的行为
<?phpif( isset( $_POST[ 'Upload' ] ) ) { // 检查表单是否提交了"Upload"按钮        // 定义目标上传路径        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为一个固定目录        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径        // 尝试将文件移动到上传文件夹        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // 如果移动失败                // 上传失败，显示错误信息                $html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传        }        else { // 如果成功                // 上传成功                $html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示路径        }}?>medium

先上传一个php文件

只允许上传jpg/png图片，那么就上传这两种图片

上传成功
源码审计

只允许上传文件类型jpg/png内容，以及文件大小小于10000字节，过滤并不严谨
<?phpif( isset( $_POST[ 'Upload' ] ) ) { // 检查表单是否提交了"Upload"按钮        // 定义目标上传路径        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为一个固定目录        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径        // 文件信息        $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称        $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; // 获取上传文件的类型        $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小        // 检查是否为图像文件        if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && // 如果是JPEG或PNG格式                ( $uploaded_size < 100000 ) ) { // 并且文件大小小于100000字节（约100KB）                // 尝试将文件移动到上传文件夹                if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // 如果移动失败                        // 上传失败，显示错误信息                        $html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传                }                else { // 如果成功                        // 上传成功                        $html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示路径                }        }        else { // 如果文件不符合条件                // 提示无效文件                $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像        }}?>high

根据提示只允许上传图片文件，上传一个jpg图片结果上传失败

上传并抓包，发送到重放器

添加文件头即可，GIF89a

源码审计

限制了文件后缀及文件内容是否有效，对文件类型过滤不严谨，如果添加文件头，则会被解析为一个jpg文件，就可以正常上传
<?phpif( isset( $_POST[ 'Upload' ] ) ) { // 检查是否有提交的"Upload"表单        // 定义目标写入路径        $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为指定文件夹        $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径        // 文件信息        $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称        $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); // 提取上传文件的扩展名        $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小        $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // 获取上传文件的临时存储路径        // 检查文件是否为图像        if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) && // 如果扩展名是jpg、jpeg或png（不区分大小写）                ( $uploaded_size < 100000 ) && // 并且文件大小小于100000字节（约100KB）                getimagesize( $uploaded_tmp ) ) { // 并且临时文件是有效图像                // 尝试将文件移动到上传文件夹                if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { // 如果移动失败                        // 上传失败，显示错误信息                        $html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传                }                else { // 如果成功                        // 上传成功                        $html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示文件路径                }        }        else { // 如果文件不符合条件                // 提示无效文件                $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像        }}?>impossible

源码审计

非常严格的过滤，对上传的文件进行了重命名（搞了一个MD5的加密），还增加了token值的校验，对文件的内容也做了严格的检查。
<?phpif( isset( $_POST[ 'Upload' ] ) ) { // 检查是否提交了"Upload"表单        // 检查反CSRF令牌        checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // 验证用户令牌是否与会话令牌匹配        // 文件信息        $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称        $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); // 提取上传文件的扩展名        $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小        $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; // 获取上传文件的类型        $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // 获取上传文件的临时存储路径        // 设置目标写入路径        $target_path   = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; // 目标上传路径        //$target_file   = basename( $uploaded_name, '.' . $uploaded_ext ) . '-'; // 原来可以使用的文件名        $target_file   =  md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // 生成一个唯一的文件名        $temp_file     = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); // 获取临时文件目录        $temp_file    .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // 生成临时文件的完整路径        // 检查文件是否为图像        if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) && // 检查扩展名                ( $uploaded_size < 100000 ) && // 检查文件大小                ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && // 检查文件类型                getimagesize( $uploaded_tmp ) ) { // 检查文件是否为有效图像                // 去除任何元数据，通过重新编码图像（推荐使用php-Imagick替代php-GD）                if( $uploaded_type == 'image/jpeg' ) { // 如果文件类型为JPEG                        $img = imagecreatefromjpeg( $uploaded_tmp ); // 创建JPEG图像                        imagejpeg( $img, $temp_file, 100); // 以最高质量重新编码并保存到临时文件                }                else { // 如果文件类型为PNG                        $img = imagecreatefrompng( $uploaded_tmp ); // 创建PNG图像                        imagepng( $img, $temp_file, 9); // 以最高压缩率重新编码并保存到临时文件                }                imagedestroy( $img ); // 销毁图像资源以释放内存                // 尝试将文件从临时文件夹移动到目标路径                if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { // 如果移动成功                        // 上传成功                        $html .= "<pre><a href='https://www.cnblogs.com/GuijiH6/p/{$target_path}{$target_file}'>{$target_file}</a> successfully uploaded!</pre>"; // 显示上传成功的消息，并提供文件链接                }                else { // 如果移动失败                        // 上传失败                        $html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传                }                // 删除任何临时文件                if( file_exists( $temp_file ) ) // 如果临时文件存在                        unlink( $temp_file ); // 删除临时文件        }        else { // 如果文件不符合条件                // 提示无效文件                $html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像        }}// 生成反CSRF令牌generateSessionToken();?>