BUUCTF upload-labs

痛定思痛。 2022-09-15 11:50 151阅读 0赞

\*\*

# PASS-01 JS检查 #

\*\*

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16]  
①这里是前端JS限制了我们只能上传特点格式的文件  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 1]  
②这里我们可以在设置里面直接关闭网页的JS  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
③或者通过抓包的形式，绕过前端验证  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 3]  
④这里在burp suite中将jpg改成php  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_18_color_FFFFFF_t_70_g_se_x_16]  
⑤这里上传成功  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 4]  
⑥我们也可以通过抓包的形式来了解文件上传的位置  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_18_color_FFFFFF_t_70_g_se_x_16 1]  
⑦通过webhsell管理工具连接到上传的文件  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 5]

⑧得到flag  
\*\*

## PASS-02 content-type ##

\*\*  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 6]  
①这一关检验content-type  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 7]

②将content-type的内容，修改为image/jpeg、image/png、image/gif  
\*\*

## PASS-03 黑名单绕过 ##

\*\*  
①这是一关黑名单的过滤  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_13_color_FFFFFF_t_70_g_se_x_16]  
②前提apache的conf中有以下配置  
AddType application/x-httpd-php .php .phtml .phps .php5 .pht

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 8]  
③通过修改后缀名为其中一个，此处修改为phps，上传成功

\*\*

## PASS-04 .htaccess ##

\*\*  
同样是黑名单，区别是黑名单的内容更加丰富了，但是并没有添加.htaccess

![在这里插入图片描述][d5f75f9c3e7b44ef92dcdfc84a960b33.png]  
①首先写好 .htaccess文件并先上传，这里我写了一个自己命名的后缀，如果后门去访问会以php文件的形式执行  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 9]  
②之后再上传我们写好的webshell  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 10]  
③访问我们上传的wehshell  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 11]

\*\*

## PASS-05 大小写绕过 ##

\*\*  
这一关禁止了htaccess，但并没有将后缀名转换为小写，可以通过大小写的方式绕过

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 12]  
①将php改为PhP,上传成功  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 13]  
\*\*

## PASS-06 ##

\*\*

这一关源代码没有过滤空格，通过在后缀名后门加上空格，就可以绕过  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 14]  
\*\*

## PASS-07 ##

\*\*

这一关源代码没有过滤点，通过在后缀名后门加上点，就可以绕过  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 15]  
\*\*

## PASS-08 ##

\*\*

这一关源代码没有过滤::$DATA,利用windows系统特性，在后缀名后面加入，会把之后的数据当成文件流处理,不会检测后缀名.且保持之前的文件名。

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 16]

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 17]  
\*\*

## PASS-09 点 空格 点 绕过 ##

\*\*  
这一关源代码中没有写循环，意味着如果去掉了一次点或空格就不会有第二次了  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 18]  
\*\*

## PASS-10 双写绕过 ##

\*\*  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 19]  
\*\*

## PASS-11 00截断 ##

\*\*  
截断条件：php版本小于5.3.4，php的magic\_quotes\_gpc为OFF状态  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 20]  
这里并不能使用%00截断

\*\*

## PASS-12 00截断 ##

\*\*  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_14_color_FFFFFF_t_70_g_se_x_16]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_13_color_FFFFFF_t_70_g_se_x_16 1]  
\*\*

## PASS-13 图片马绕过 ##

\*\*  
![在这里插入图片描述][59a2d593a4294fe48f1eac9379666223.png]  
copy 1.jpg /b + testlzl.php /a shell.jpg  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 21]  
直接访问图片并不能把图片当做PHP解析，因此还需要利用文件包含漏洞

\*\*

## PASS-14 PASS-15 ##

\*\*  
同PASS-13

\*\*

## PASS-16 二次渲染绕过 ##

\*\*  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_19_color_FFFFFF_t_70_g_se_x_16]  
写成一个可以绕过二次渲染的图片

\*\*

## PASS-17 条件竞争 ##

\*\*  
这里是条件竞争，先将文件上传到服务器，然后判断文件后缀是否在白名单里，如果在则重命名，否则删除，因此我们可以上传1.php只需要在它删除之前访问即可，可以利用burp的intruder模块不断上传，然后我们不断的访问刷新该地址即可

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 22]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 23]  
\*\*

## PASS-18 ##

\*\*  
因此也存在条件竞争的问题，不过这题对文件后缀名做了白名单判断，然后会一步一步检查文件大小、文件是否存在等等，因此可以通过不断上传图片马，由于条件竞争可能来不及重命名，从而上传成功

\*\*

## **PASS-19** ##

\*\*  
同00截断

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/f1adcd5f4f0a4b39a3caed11be05c4af.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/ec5f1a6390f548c5a2664750764cbc4f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220828/8b74bb6fd0d747918fdb46837aea914e.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220828/4d73532ccd9844c2aa5b68d653150999.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_18_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/cb706b20e63548189e8339023d971688.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220828/54919849a46e42a9a9434807a678f5ee.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_18_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/e9eafe2a6d674ce6b69a0a16a5e9b4c0.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220828/5e3c3410fdad45d9a4440afdd5b0e49f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 6]: /images/20220828/b1ddef815edd40b18ff1c2163ae51bfe.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 7]: /images/20220828/32e992bc3b6d440ba646f9c2b444b05e.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_13_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/473861e6043945e3aabd50bb76c10404.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 8]: /images/20220828/605f9a0e548f437aab710713d45b89eb.png
[d5f75f9c3e7b44ef92dcdfc84a960b33.png]: /images/20220828/8406717172124228b75cb2c570eb5584.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 9]: /images/20220828/dcbcd132b79642c5aa66bf921d96accc.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 10]: /images/20220828/1021daeacbb7420786dea47276546c0b.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 11]: /images/20220828/24fcd4b74c104abf96243d36fbd66a53.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 12]: /images/20220828/794fad91edef44a4ac1a73b77f5ba6e3.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 13]: /images/20220828/86245168c2ba4c1fa0adbe06137a7ae0.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 14]: /images/20220828/d38364ace3844e39b0a45abfbea3d7dd.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 15]: /images/20220828/45e2b48cc1834293ac0698b261ba3aa7.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 16]: /images/20220828/3ceeea5750b248a6a58ce2387f6bfef6.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 17]: /images/20220828/b5af32a3623843b7acf37bc616260f59.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 18]: /images/20220828/ab965473ffcb49ce812bd88ee76c559c.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 19]: /images/20220828/02bd49a99a2c4562afc1e1d37989f65a.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 20]: /images/20220828/47ae4c6049f6432e9b6ebc217145cb6f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_14_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/3987c78eb2ab4fb681cc03474aadc39d.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_13_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/face57ba4a964c5297133240434dc82a.png
[59a2d593a4294fe48f1eac9379666223.png]: /images/20220828/ee001cb23bff479aa1cab261e2956994.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 21]: /images/20220828/95a90a5133784d09823e987291f12271.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_19_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/42ddb333a2a5484499bac7c855ac0deb.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 22]: /images/20220828/db0133f2efdd4cabbab9317c574bb01f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAb0ppdUppZVpob25n_size_20_color_FFFFFF_t_70_g_se_x_16 23]: /images/20220828/9297a5b75ffd4a6099f9a810053250e2.png