CTFHub | 双写后缀

秒速五厘米 2024-03-24 17:10 61阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> **双写后缀：**
> 
> （无）

![c98a8343f443460abab8ff45acbfc0a2.png][] 网页显示内容

#### 0x02 解题过程 ####

**Ⅰ**分析网页源代码，可以看到网页会将上传的文件后缀名进行判断，符合白名单条件的会返回为空

![ad9d04857b344d18a340f70381961ebf.png][]

<!DOCTYPE html>
    <html>
    
    <head>
        <meta charset="UTF-8">
        <title>CTFHub 文件上传——双写绕过</title>
    </head>
    
    <body>
        <h1>CTFHub 文件上传——双写绕过</h1>
        <form action="" method="post" enctype="multipart/form-data">
            <label for="file">Filename:</label>
            <input type="file" name="file" id="file" />
            <br />
            <input type="submit" name="submit" value="Submit" />
        </form>
        <p></p>
    </body>
    
    </html>

**Ⅱ**这里上传一个后缀名为.php的一句话木马文件，提示上传成功

![d5ad3c6450d847308bcc4287fa3a08e2.png][]

**Ⅲ**使用蚁剑连接测试网站连通性，发现返回值为空

![9947f5306e5944e6bae2084e7f2de3bc.png][]

**Ⅳ**那么根据题目的提示，我们可以使用双写后缀名进行文件上传，来达到绕过白名单检测的目的

![eeb121c854374eeba6eca45bacda3be2.png][]

> **双写后缀绕过：**
> 
> **例如：**正常上传一个 .php 文件后缀的因为在白名单中出现会被网页清空后缀名。这时我们可以写两个后缀名 .pcerhp 网页会检测到 cer 后缀并清空，然而清空之后 .php 并不会消失，因为网页代码并没有对这个条件做判断。只清空了 cer ，那么 .php 后缀名被保留在网页中变达到了双写后缀绕过的目的。
> 
>     http://xxx.ctfhub.com:10800/upload/shell.    //上传文件名：shell.php
>     
>     http://xxx.ctfhub.com:10800/upload/shell.php    //上传文件名：shell.pcerhp

**Ⅴ**使用蚁剑进行连接并测试连通性，可以正常连接

![578f09bdd806426fa1bfed39a15d8d83.png][]

**Ⅵ**查找网页目录中的文件，发现此题flag

![5fcdda11a9bb4a9f977971e982ceae1a.png][]

#### 0x03 修复建议 ####

> \[1\].加强对文件类型检查，通过文件后缀、MIME类型、文件头等方式来判断文件类型，避免攻击者利用双写绕过上传非法文件。
> 
> \[2\].对上传的文件内容进行检查，检查文件大小、格式、内容等，避免上传恶意代码。
> 
> \[3\].使用安全的上传路径，将上传的文件保存在非 Web 可访问的目录中，避免攻击者通过 URL 直接访问上传的文件。
> 
> \[4\].对上传的文件进行重命名，避免攻击者利用双写绕过上传具有恶意目的的文件名。

#### **0x04 参考文献** ####

> \[1\].多学点技术. 利用后缀名双写绕过\[EB/OL\]. \[2023-04-09\]. https://blog.csdn.net/weixin\_44032232/article/details/109009842.

#### **0x05 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[c98a8343f443460abab8ff45acbfc0a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/eb0fc55e814a48d096b2beab0b492079.png
[ad9d04857b344d18a340f70381961ebf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/5ef66180f5b044608db4a253619579d8.png
[d5ad3c6450d847308bcc4287fa3a08e2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/64f04320dc62479eaf21abe23dc13d4d.png
[9947f5306e5944e6bae2084e7f2de3bc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/44ce1b0d58ba4f3a806ee450a6e8876e.png
[eeb121c854374eeba6eca45bacda3be2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/a2f55935b54a4879b0510998cb3d68f8.png
[578f09bdd806426fa1bfed39a15d8d83.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/597e2a5f4cf04b85ad2cf041d7cce466.png
[5fcdda11a9bb4a9f977971e982ceae1a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/095f078131a04342abe192d54749b1e8.png