Back
To Top
DVWA靶场File Upload(文件上传) 漏洞所有级别通关教程及源码审计
2025/01/03
DVWA靶场File Upload(文件上传) 漏洞所有级别通关教程及源码审计
文件上传
文件上传漏洞是由于对上传文件的内、类型没有做严格的过滤、检查，使得攻击者可以通过上传木马文件获取服务器的webshell文件
low
上传一个php文件，上传成功，并且可以在WWW\DVWA\hackable\uploads目录下找到该文件
此难度没有做任何过滤，所有文件都可以上传
源码审计
没有做任何过滤，很危险的行为
<?php
if( isset( $_POST[ 'Upload' ] ) ) { // 检查表单是否提交了"Upload"按钮
// 定义目标上传路径
$target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为一个固定目录
$target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径
// 尝试将文件移动到上传文件夹
if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // 如果移动失败
// 上传失败，显示错误信息
$html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传
}
else { // 如果成功
// 上传成功
$html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示路径
}
}
?>
medium
先上传一个php文件
只允许上传jpg/png图片，那么就上传这两种图片
上传成功
源码审计
只允许上传文件类型jpg/png内容，以及文件大小小于10000字节，过滤并不严谨
<?php
if( isset( $_POST[ 'Upload' ] ) ) { // 检查表单是否提交了"Upload"按钮
// 定义目标上传路径
$target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为一个固定目录
$target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径
// 文件信息
$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称
$uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; // 获取上传文件的类型
$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小
// 检查是否为图像文件
if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && // 如果是JPEG或PNG格式
( $uploaded_size < 100000 ) ) { // 并且文件大小小于100000字节（约100KB）
// 尝试将文件移动到上传文件夹
if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { // 如果移动失败
// 上传失败，显示错误信息
$html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传
}
else { // 如果成功
// 上传成功
$html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示路径
}
}
else { // 如果文件不符合条件
// 提示无效文件
$html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像
}
}
?>
high
根据提示只允许上传图片文件，上传一个jpg图片结果上传失败
上传并抓包，发送到重放器
添加文件头即可，GIF89a
源码审计
限制了文件后缀及文件内容是否有效，对文件类型过滤不严谨，如果添加文件头，则会被解析为一个jpg文件，就可以正常上传
<?php
if( isset( $_POST[ 'Upload' ] ) ) { // 检查是否有提交的"Upload"表单
// 定义目标写入路径
$target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; // 设置目标路径为指定文件夹
$target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); // 将上传文件的基础名称附加到目标路径
// 文件信息
$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称
$uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); // 提取上传文件的扩展名
$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小
$uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // 获取上传文件的临时存储路径
// 检查文件是否为图像
if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) && // 如果扩展名是jpg、jpeg或png（不区分大小写）
( $uploaded_size < 100000 ) && // 并且文件大小小于100000字节（约100KB）
getimagesize( $uploaded_tmp ) ) { // 并且临时文件是有效图像
// 尝试将文件移动到上传文件夹
if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) { // 如果移动失败
// 上传失败，显示错误信息
$html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传
}
else { // 如果成功
// 上传成功
$html .= "<pre>{$target_path} successfully uploaded!</pre>"; // 提示用户图像成功上传，并显示文件路径
}
}
else { // 如果文件不符合条件
// 提示无效文件
$html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像
}
}
?>
impossible
源码审计
非常严格的过滤，对上传的文件进行了重命名（搞了一个MD5的加密），还增加了token值的校验，对文件的内容也做了严格的检查。
<?php
if( isset( $_POST[ 'Upload' ] ) ) { // 检查是否提交了"Upload"表单
// 检查反CSRF令牌
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // 验证用户令牌是否与会话令牌匹配
// 文件信息
$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; // 获取上传文件的名称
$uploaded_ext = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1); // 提取上传文件的扩展名
$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; // 获取上传文件的大小
$uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; // 获取上传文件的类型
$uploaded_tmp = $_FILES[ 'uploaded' ][ 'tmp_name' ]; // 获取上传文件的临时存储路径
// 设置目标写入路径
$target_path = DVWA_WEB_PAGE_TO_ROOT . 'hackable/uploads/'; // 目标上传路径
//$target_file = basename( $uploaded_name, '.' . $uploaded_ext ) . '-'; // 原来可以使用的文件名
$target_file = md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // 生成一个唯一的文件名
$temp_file = ( ( ini_get( 'upload_tmp_dir' ) == '' ) ? ( sys_get_temp_dir() ) : ( ini_get( 'upload_tmp_dir' ) ) ); // 获取临时文件目录
$temp_file .= DIRECTORY_SEPARATOR . md5( uniqid() . $uploaded_name ) . '.' . $uploaded_ext; // 生成临时文件的完整路径
// 检查文件是否为图像
if( ( strtolower( $uploaded_ext ) == 'jpg' || strtolower( $uploaded_ext ) == 'jpeg' || strtolower( $uploaded_ext ) == 'png' ) && // 检查扩展名
( $uploaded_size < 100000 ) && // 检查文件大小
( $uploaded_type == 'image/jpeg' || $uploaded_type == 'image/png' ) && // 检查文件类型
getimagesize( $uploaded_tmp ) ) { // 检查文件是否为有效图像
// 去除任何元数据，通过重新编码图像（推荐使用php-Imagick替代php-GD）
if( $uploaded_type == 'image/jpeg' ) { // 如果文件类型为JPEG
$img = imagecreatefromjpeg( $uploaded_tmp ); // 创建JPEG图像
imagejpeg( $img, $temp_file, 100); // 以最高质量重新编码并保存到临时文件
}
else { // 如果文件类型为PNG
$img = imagecreatefrompng( $uploaded_tmp ); // 创建PNG图像
imagepng( $img, $temp_file, 9); // 以最高压缩率重新编码并保存到临时文件
}
imagedestroy( $img ); // 销毁图像资源以释放内存
// 尝试将文件从临时文件夹移动到目标路径
if( rename( $temp_file, ( getcwd() . DIRECTORY_SEPARATOR . $target_path . $target_file ) ) ) { // 如果移动成功
// 上传成功
$html .= "<pre><a href='{$target_path}{$target_file}'>{$target_file}</a> successfully uploaded!</pre>"; // 显示上传成功的消息，并提供文件链接
}
else { // 如果移动失败
// 上传失败
$html .= '<pre>Your image was not uploaded.</pre>'; // 提示用户图像未上传
}
// 删除任何临时文件
if( file_exists( $temp_file ) ) // 如果临时文件存在
unlink( $temp_file ); // 删除临时文件
}
else { // 如果文件不符合条件
// 提示无效文件
$html .= '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>'; // 提示用户只接受JPEG或PNG格式的图像
}
}
// 生成反CSRF令牌
generateSessionToken();
?>