upload 通关pass16-pass20

1.pass16 白名单 二次渲染

需要先上传一个正常图片，然后下载下来，跟原图片进行比对，用010 16进制编辑器，把php代码放到没有改变的位置，即一样的地方

访问：

2.pass17 白名单 条件竞争

这题先是上传文件并保存该文件，然后在检查后缀，不是允许上传的文件就删除(unlink),可以利用条件竞争在文件删除前在新建一个文件
burp抓包，随便设一个变量，使用intruder模块进行爆破

观察文件是否产生，使用python去访问
1.php

<?php file_put_contents('2.php','<?php phpinfo()?>'); ?>

python

url='http://192.168.85.120/upload-labs/upload/1.php'
    while True:
        html=requests.get(url=url)
        if html.status_code==200:
        	print('ok')
            break

访问

3.pass-18 白名单 文件包含图片马

这题看着很多代码，检查了后缀名所以后缀需要是允许的那几个
myupload.php改一下文件上传的位置

burp抓包改后缀

访问

4.pass-19 黑名单 ./绕过

通过代码审计，发现保存的文件名可控，这个地方没有检查上传时的文件后缀，即上传时文件后缀是什么也可以，检查的是保存的文件名的后缀，windows流一些特征都可以使用，没有过滤

burp抓包 加上/.，空格，::$data,点都可以绕过
或者%00截断 upload-19.php%00.jpg %00解码upload-19.php .jpg
需要小于5.3.4，且magic_quote_gpc为off
访问

5.pass-20 白名单 数组绕过

if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {

        $is_upload = false;
        $msg = null;
        if(!empty($_FILES['upload_file'])){
            //mime check
            $allow_type = array('image/jpeg','image/png','image/gif');
            if(!in_array($_FILES['upload_file']['type'],$allow_type)){
                $msg = "禁止上传该类型文件!";
            }else{
                //check filename
                $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
                if (!is_array($file)) {
                    $file = explode('.', strtolower($file));
                }

                $ext = end($file);
                $allow_suffix = array('jpg','png','gif');
                if (!in_array($ext, $allow_suffix)) {
                    $msg = "禁止上传该后缀文件!";
                }else{
                    $file_name = reset($file) . '.' . $file[count($file) - 1];
                    $temp_file = $_FILES['upload_file']['tmp_name'];
                    $img_path = UPLOAD_PATH . '/' .$file_name;
                    if (move_uploaded_file($temp_file, $img_path)) {
                        $msg = "文件上传成功！";
                        $is_upload = true;
                    } else {
                        $msg = "文件上传失败！";
                    }
                }
            }
        }else{
            $msg = "请选择要上传的文件！";
        }
        
    } else {
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
    }
}

进行代码审计，刚开始进行了检查mime类型，需要修改为允许的那三种类型
之后判断文件名是不是没有，没有就从文件原先的名字获取，有从post方式获取save_name的值，然后判断文件是不是数组，不是数组就拆分成数组，如果是数组的话，获取数组的最后一个元素，判断是不是那三种图片类型，不是就继续进行移动文件，在移动文件之前需要获取文件名，reset函数把内部指针指向数组中的第一个元素，加上一个.,获取file数组的所有元素数量-1的元素
通过代码可以看出可以使用传入数组
下方传入的数组为一个，数组元素为2个。索引分别为0和2，这样的话文件命令时会使最后一个为空，因为$file[1]为空,传入索引为0元素的值还可以用windows一些环境特性的值，点空格::$data,或/.（windows和linux都可以使用）
burp抓包

访问

总结：

参考文章：
pass-20数组绕过