学习：安全测试-文件上传漏洞及防御

1. 正常的文件一般是文档，图片，视频等；WEB应用收集之后放入后台存储，需要的时候在调用出来返回
2. 如果恶意文件如PHP/ASP等执行文件绕过Web应用，并顺利执行，则相当于黑客直接拿到了WebShell
3. 一旦黑客拿到WebShell，则可以拿到Web应用的数据，删除Web文件，本地提权，进一步拿下整个服务器甚至内网
4. SQL注入攻击的对象是数据库服务，文件上传漏洞主要攻击Web服务，实际渗透两种相结合，达到对目标的深度控制

 

nginx只能处理静态资源

一个客户端请求访问网站，如果请求的是静态资源，nginx直接把页面从磁盘上io出来

客户端浏览器拿到资源按照html格式进行渲染，就产生了好看的页面

如果请求的是动态的也是由nginx去和后面的中间件交互，然后再由nginx执行处理产生静态结果给客户端，所以客户端永远看不到动态资源

客户端与nginx通讯使用的是 http、https协议

nginx与php中间件通讯使用的是faste_cgi协议

 

低安全级别：无限制，上传了木马文件通过中国菜刀获取到了webshell

中安全级别：限制mime类型，无法正常上传木马文件，使用了BurpSuite代理/拦截功能（Kali内有）

先配置浏览器网络设置-http代理

在代理中修改http请求头的 contant-Type 修改为符合规定的类型，进行转发，木马文件上传成功。

 

 

高安全级别：限制的是文件的扩展名，

大马：代码量和功能比小马多，一般会进行二次编码功能，防止被安全防火墙/入侵系统检测到

小马：一句话木马也成为小马，即整个shell代码只有一行，一般是系统执行函数

1. 使用shell敲命令，一步一步获取权限，ruquest方法不再用

 

2. 用post方法，然后使用中国菜刀获取webshell成功

 

 

 

Http中常见的MIME类型：

常见MIME类型：

超文本标记语言文本 .html text/html

xml文档 .xml text/xml

XHTML文档 .xhtml application/xhtml+xml

普通文本 .txt text/plain

RTF文本 .rtf application/rtf

PDF文档 .pdf application/pdf

Microsoft Word文件 .word application/msword

PNG图像 .png image/png

GIF图形 .gif image/gif

JPEG图形 .jpeg,.jpg image/jpeg

au声音文件 .au audio/basic

MIDI音乐文件 mid,.midi audio/midi,audio/x-midi

RealAudio音乐文件 .ra, .ram audio/x-pn-realaudio

MPEG文件 .mpg,.mpeg video/mpeg

AVI文件 .avi video/x-msvideo

GZIP文件 .gz application/x-gzip

TAR文件 .tar application/x-tar

任意的二进制数据 application/octet-stream

 

中国菜刀使用说明：

https://www.cnblogs.com/smallSevens/p/7476838.html

https://www.cnblogs.com/linhaifeng/p/6268615.html

 

防御：

1. 开发进行上传文件后缀限制
2. waf是web应用防火墙，在防火墙过滤