upload-labs 13-16 思路

蔚落 2023-07-23 03:40 50阅读 0赞

### 第13关 ###

这一关是上传一个图片马，根据源码可以看出是对文件的幻数进行检查，维基解释文件幻数：在特定文件格式中加入固定数值和固定字符串，然后便可以通过检查文件是否包含这些数据来快速地识别文件格式。  
比如：

.jpg   FF D8 FF E0 00 10 4A 46 49 46
    .gif   47 49 46 38 39 61
    .png   89 50 4E 47

本关是直接取的前两个字节，然后拼成数字进行比较的，比如jpg格式的，FF是255，D8是216，那拼接出来的数字就是255216。  
可以通过在图片后面附加php的代码来制作图片马，由于本关的限制比较少，我直接用bp截断后，然后在文件头加上了jpg的文件幻数。  
之后要利用文件包含漏洞来执行php代码，作者提示使用文件包含漏洞，

<?php
    /* 本页面存在文件包含漏洞，用于测试图片马是否能正常运行！ */
    header("Content-Type:text/html;charset=utf-8");
    $file = $_GET['file'];
    if(isset($file)){ 
        include $file;
    }else{ 
        show_source(__file__);
    }
    ?>

提供的参数是file，include.php脚本在根目录的下一层，构造链接

http://127.0.0.1:8081/include.php?file=upload/3620200402121417.jpg

即可执行所包含的php脚本。  
作者要求要jpg，png，gif三种格式均上传成功，不知道里面是否有什么玄机，后面两种之后在测试。

### 第14关 ###

这关的源码里有几个新的函数，我截取下来学习一下

我感觉源码这里好像有点问题，因为image\_type\_to\_extension函数返回的是jpg(如果是jpg格式的话)，那jpg在$types里找不到，所以jpg或者jpeg格式的图片返回的永远是FALSE。  
这样的话只有先上传png格式的图片，在png图片的末尾加上php代码即可。

### 第15关 ###

这一关貌似没有增加其他难度，只是换了查看图片格式的函数，应该是我才学疏浅，没有看出变化，exif\_imagetype函数比getimagesize函数的速度更快，但也是检查头部的几个字节，所以上面的方法依然可以用。

### 第16关 ###

先了解一下这三个曝光率很高的变量

$filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];
    
    //upload_file是定义在这部分
    <input class="input_file" type="file" name="upload_file"/>
    
    //type是从请求头里content-type里取到的
    //tmp_name是生成的一个临时文件，存放位置由配置决定，命名有随机性
    
    //basename可以取到路径里的文件的名称
    $target_path=UPLOAD_PATH.basename($filename);

下面是一段执行逻辑

if(($fileext == "jpg") && ($filetype=="image/jpeg")){ 
            if(move_uploaded_file($tmpname,$target_path))
            { 
                //使用上传的图片生成新的图片
                $im = imagecreatefromjpeg($target_path);
    
                if($im == false){ 
                    $msg = "该文件不是jpg格式的图片！";
                    @unlink($target_path);
                }else{ 
                    //给新图片指定文件名
                    srand(time());
                    $newfilename = strval(rand()).".jpg";
                    $newimagepath = UPLOAD_PATH.$newfilename;
                    imagejpeg($im,$newimagepath);
                    //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                    $img_path = UPLOAD_PATH.$newfilename;
                    @unlink($target_path);
                    $is_upload = true;
                }
            } else { 
                $msg = "上传出错！";
            }
    
    //imagecreatefromjpeg是根据文件信息，重新组合图片，重组的原理还未搞清
    //unlink是删除函数，@运算符的作用:
    //当将其放置在一个 PHP 表达式之前，该表达式可能产生的任何错误信息都被忽略掉。
    //也就是说重组之后，文件出问题，就会删掉那个文件
    
    //imagejpeg函数会重新生成一个图片，但好像作者没有写再次上传的函数，我用的是Docker版的，貌似小bug多一些。
    //绕过渲染的方法，究竟如何绕过还是要看一下imagecreatefromjpeg的实现源码，
    //网上的方法是，通过对比原文件和渲染后的文件的不变之处，把代码插进去，这样总有一些不当之处，等研究了php源码之后，
    //再来补充这一部分知识。

欢迎关注公众号，进一步交流

![公众号二维码.jpg][.jpg]

[.jpg]: /images/20230528/ee2d2c76e03540509c7f2e52b6552bec.png