位置：首页-资讯-后端开发

文件上传之，waf绕过（24）

2023-09-04 20:44

短信预约 -IT技能 免费直播动态提醒

上传参数名解析：明确哪些东西可以修改

content-disposition:一般可更改表单的数据

name:表单参数值，不能更改表单提交的值

filename：文件名，可以修改上传的文件名

content-type：文件mime，视情况修改上传文件名自带的参数类型

mime可以作为一个验证条件，验证mime来判断你个文件一个合法性的时候，可以通过更改mime来达到一个伪造，比如上传一个php文件，这时候可以更改为图片类来尝试绕过mime验证。

waf验证判断形势，主要是这样的一种形式是判断，检测文件里面的代码，如果代码立马有后门代码检测到会拦截，这个代码怎么编译绕过是后面要学的，我们只讲文件上传所以这里先不管它，文件上传一般检测的都是这种有参数后面有数据的，四个参数值比较关键的是filename，文件名，文件名里面包含了文件的后缀。

前期upload第二关的时候，判断的方式就是mime的类型的绕过，绕过miem是图片类型就可以上传，没有验证后缀，这是代码的判断，我们在来探针一下防护软件是怎么判断的，现在第二关上传一个图片上去，抓住数据包，mime满足就可以上传，所以把上传的文件名字改成php格式，本来这是可以正常上传成功的

但是由于安全狗的原因被拦截了。改了之后php之后不能上传，所以他对那个文件名后缀绝对是有一个检测的，

安全狗这里就有php后缀检测，所以拦截。绕过方法，就是检测不到这个php，要么换一个脚本类型能执行出php，最终目的都是能执行出脚本的后缀，php只是一种，asp也可以，因为这个网站是php所以php作为演示。

两只思路，第一种是让他检测不到成功上传一个可以执行出php的权利，尝试一下猜想，在中间加上一个空格ph p，返回源代码没有那个安全狗关键词了，文件也成功上传了，但这个文件又不可以直接访问了，因为多了一个空格之后，访问网站就显示成

两个浏览器访问返回结果，这样子上传也还是张图片，没有当作脚本，没有执行出来脚本，也不可以。

之前绕过是在php后面加上点和空格，现在这样上传，安全狗还是拦截了。

常见绕过方法

数据溢出，放匹配的

这个原理借助的溢出漏洞，这是老师自己取的名字，就比如让你在一万个人里面找一个人，几率很小，我们把这个数据搞大，让程序去一个一个匹配也是这样，它不会排除就挨个去匹配，数据太多了，程序会停止或者崩溃，数据溢出就是用的这个方法，因为他匹配的就是名字，所以在后缀名之前名字开始溢出比较好，乱写一堆一直重复，

apache服务被迫停止工作，但是数据太多了，数据包没有发出去，所以这文件名那个地方不要去搞，

换一种思路，写道filename前面来，因为他会慢慢检测吗，先检测上面的content-disposition，在往下检测，检测filenam的起那么加上一堆垃圾数据，

这样子上传成功了但是文件了没有，这个是什么原因造成的，

这样子在filename前面加上aa.jpg乱码绕过，但是上传的是一个aa.jpg。

再换一个地方写垃圾数据，

写到这个name前面来，注意垃圾数据的结尾要写一个；，然后可以该修改的fielname更改为x.php，然后写够垃圾数据到不拦截看结果

上传成功了

注意结尾一定要加上个；，不然上传不成功。

学前面的知识为了不会乱插入，插入到不该插入大地方去，比如name:表单参数值，不能更改

第二种符合变异，放匹配（" ' ；）

抓住数据包，数据包里面的符合都是有讲究的，冒号就代表的后面是值，分号加上结尾了一对一。

而name="file_upload"，这个呢是数据包自带的冒号里面代表的是可以更改的不固定的， filename="1.gif 这个里面的值是可以更改的所以是双引号，基本程序开发里面都有单引号双引号，都可以，这是第一个可以变化的地方。

第二个是分号，他代表一个语句的结束，

而这个最后面没有分号，意思就是截止了，如果后面有分号就表示可能还有。

这里我们的绕过思路，先把jpg换成php格式，现在最好加上分号加一堆乱码试试能不能绕过，并不能，再把括住php的双引号改成单引号试试，说不定安全狗加上针对的双引号，试一下也不行。

这里在去掉后面的一个双引号只留下前面的双引号，就不闭合了，这样子就会把 " 当作filenme的值，而不是后面的qq.php，安全狗匹配的时候，我们猜他只匹配双引号里面的，他要去匹配的话就只有三种情况，第一种是"qq.php，第二种是比较只能的他不管引号问题，还是直接匹配 qq.php，第三种它不知道该匹配谁就没有匹配，具体出现哪一种，还需要具体测试，如果是第三种就能实现绕过，

这个方法上传成功了，那么它就是第三种。这是因为安全狗在后面找另一个双引号，但是它找不到，所以就没有匹配。把两个双引号都去掉也可以绕过，安全狗现在是什么匹配机制，就是单引号双引号里面的东西，不写就能上传成功。相当于没有接收到。

但是如果在去掉前面的双引号留下后面的，还是会被拦截，所以在老师那个版本的时候，安全狗的拦截规则应该就是找最后的一个双引号，然后把前面的东西取出来匹配。

所以还可以写成"x"x.php，这样子也会上传成功，上传一个x.php的文件。

第三种，数据截断-防匹配（%00；换行）

开始思路

这个我们数据包上，恢复到最初的命名，在双引号里面改成x.php%00.jpg，这里%00要进行一下url编码，不然上传到网站服务器，网站识别不出来%00是截断都意思，得编码成网站可以识别的url格式，因为安全狗也是程序，所以程序在读取到这里的时候截断符合，会不会也截断，这里上传试一下，不行。我们验证一下会不会截断，换成x.jpg%00.php 上传上传，上传成功了一个x.jpg的文件，安全狗截断了。

我们在试试x.php；%00.jpg，这里上传成功了一个x.php；不知道可不可以执行，再换一个

x.php %00.jpg，在后面加上一个空格，上传被拦截了，我们在加上::$$DATA ，x.php::$$DATA %00.jpg ，试试可不可以上传成功，也不可以。

那上传一个x.php;.jpg。文件试试，上传成功了不过是图片格式文件，那换成x.jpg;php，也上传成功了还是当作php格式执行，写：就不行，这个就是安全狗，语句分号就当作结束了，所以后面的.php就没有匹配到，而数据包又把它当作正常的命名执行了，就会以最后的.php，文件执行。

换行

这个就是很明显在php，直接换行，而在程序里面的换行后面会自动跟着一个/n，安全狗在识别的时候就识别成x.p\nh\np，所以不会拦截，上传成功了

数据包识别这种写法，但是安全狗在匹配的时候就被/n给干扰了，

怎么样都可以，全换行了数据包也能识别。

重复匹配

安全狗是匹配的filename，我们可以把filename写多一点，

这里先写两个jpg文件，第一个叫x第二个叫y，结尾加上；，表示结束。上传测试一下以那一个filename为准，上传的结果是y上传上去了，所以是以最后一个filename值为准。这也算一种递归循环，比如之前说过的php过滤一次，那些文件后缀写成pphphp，过滤一个php，刚刚好就是给php文件。

既然这里知道是以最后一个为准，那我前面写多少个filename值都无所谓了，就写多一点，和垃圾数据溢出很像但不是垃圾数据溢出，这是让他一直匹配，匹配到崩溃不管了都过去吧，最后写一个php的后缀文件，上传一下看看成功了，

这里我们还可以

把前面的值复制到filenam里面来，这样子安全狗在匹配的时候，先匹配content，正常继续匹配，匹配filename里面又匹配到了content，后面看到name的值等于upload，安全狗在匹配到content相当于把前面忽略不计了，就忘了前面是filename的值，而误认为x.php，没有值给他的，没有给参数，所以就相当于绕过，但是在数据包里filename的值还是等于x.php，上传成功

这就是典型的重复数据，把数据自带的正常的数据写道filename里面去，实现x.php，给他绕过。