黑名單繞過(guò)
Pass-03
有的時(shí)候后端限制了一些黑名單，比如過(guò)濾后綴名.php
我們就可以用黑名單里沒(méi)有的后綴名進(jìn)行繞過(guò)，例如：
- 大小寫：.phP .pHp .AsP
- php1 .php2 .php3 .php9 .phtml（成功率較高）
- 特殊文件名繞過(guò)
比如發(fā)送的htp包里把文件名改成test.asp.或test.asp_(下劃線為空格)，這種命名方式在windows系統(tǒng)里是不被允許的，所以需要在burp之類里進(jìn)行修改，然后繞過(guò)驗(yàn)證后，會(huì)被windows.系統(tǒng)自動(dòng)去掉后面的點(diǎn)和空格，但要注意Unix/Linux系統(tǒng)沒(méi)有這個(gè)特性。
于是我們先上傳一個(gè)shell.jpg，然后抓包把后綴名改為.php1
發(fā)現(xiàn)瀏覽器按照原文展示，并沒(méi)有按照php解析這個(gè)木馬，那我們就嘗試別的后綴
我嘗試了php1-9，都不行，好在最后嘗試了一下phtml，成功了，最后蟻劍一連就行啦
白名單繞過(guò)-GET型00截?cái)?/h3>
當(dāng)我們遇到白名單了，只允許上傳.jpg|.png|.gif
這里先介紹0x00是一個(gè)Hex編碼，他表示一個(gè)空字符（可以理解為一個(gè)不可見的字符串）
%00與0x00類似，在URL編碼下表示為空字符，URL中%00解碼成16進(jìn)制就是0x00
Pass-11
分析上傳包，與之前的關(guān)卡不同，請(qǐng)求頭第一行多了一個(gè)save_path的東西，把我們已知的先填上，先把Content-Disposition的filename改成"1.jpg"
我們猜測(cè)這個(gè)save_path的作用是指定上傳之后的文件具體保存的路徑，使的Response里面的src在…/upload目錄下，那么我們就對(duì)這個(gè)目錄動(dòng)手了
嘗試改一下，發(fā)現(xiàn)上傳出錯(cuò)，因?yàn)槟夸浝餂](méi)有這個(gè)文件，而且我們沒(méi)有權(quán)限新建這個(gè)文件
繼續(xù)證明我的思路，我用上帝視角在upload文件夾里面新建了一個(gè)文件夾叫做123
再次抓包，往這個(gè)123文件夾里傳圖片
按照預(yù)期出現(xiàn)了這個(gè)上傳的圖片
這就證明了我們的拼接路徑理論
新的上傳思路就出來(lái)了：我們只需要在save_path里面隨便起一個(gè)名字.php再用%00解碼后的空字符截?cái)嗪竺娴钠唇由蟻?lái)的其他數(shù)據(jù)即可
后面這個(gè)正方型就是代表了一個(gè)不可見字符，后續(xù)步驟就一樣了在文件夾中可以看到文件名就為zyh.php
白名單繞過(guò)-POST型00截?cái)?/h3>
Pass-12
我們抓包一看，save_path的地方跑到了post數(shù)據(jù)的區(qū)域
抓包分析小技巧：只要是在請(qǐng)求包第一個(gè)回車之后的參數(shù)全部都是post數(shù)據(jù)，在請(qǐng)求頭第一行的是get數(shù)據(jù)
我們故技重施，發(fā)現(xiàn)失敗了
原因在于GET傳參和POST傳參不同，post數(shù)據(jù)的特點(diǎn)是我們把包發(fā)過(guò)去之后，服務(wù)器會(huì)進(jìn)行URL二次編碼，編碼后的參數(shù)到了后端再解碼執(zhí)行，相當(dāng)于傳到服務(wù)器的是%25%30%30，到了后端還是%00
我們有了新的思路，先給他解碼傳上去，再讓他經(jīng)過(guò)編碼解碼，到后端還是空字符，選中00%右鍵轉(zhuǎn)換編碼
文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-816456.html
通殺方法
最后再介紹一個(gè)通殺的解法，只要對(duì)方服務(wù)器不對(duì)我們上傳的文件進(jìn)行重命名，那我們可以在filename參數(shù)里面直接拼接一個(gè)1.php%00.jpg，再對(duì)%00進(jìn)行解碼，服務(wù)器前后端的校驗(yàn)都可以繞過(guò)
文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-816456.html
到了這里，關(guān)于網(wǎng)安入門12-文件上傳（黑白名單，00截?cái)啵┑奈恼戮徒榻B完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
