当前位置：首页 > news >正文

文件上传漏洞：upload-labs靶场11-20

news 来源：原创 2025/8/28 4:36:43

pass-11

pass-12

pass-13

pass-14

pass-15

pass-16

pass-17

pass-18

pass-19

pass-20

pass-11

分析源代码，发现上传文件的存放路径可控

if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);if(in_array($file_ext,$ext_arr)){$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = '上传出错！';}} else{$msg = "只允许上传.jpg|.png|.gif类型文件！";}
}

抓包查看，利用%00截断

save_path=../upload/修改为save_path=../upload/web.php%00

抓包后的信息可以看见有save_path，说明路径可控。我们通过修改路径令save_path: ../uploads/web.php%00，然后上传一个文件后缀为.jpg的phpinfo文件，代码处得到的后缀为jpg，能够通过对文件后缀的检测，$img_path变量为../uploads/info.php%00+随机日期.jpg，当执行move_uploaded_file函数时，服务器会对路径中%00后的内容不做解析，默认迁移文件为../uploads/web.php。

结果

漏洞点：文件上传路径可控，利用%00截断

pass-12

if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);if(in_array($file_ext,$ext_arr)){$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;if(move_uploaded_file($temp_file,$img_path)){$is_upload = true;} else {$msg = "上传失败";}} else {$msg = "只允许上传.jpg|.png|.gif类型文件！";}
}

分析代码发现11关是get传参，本关是post传参，

二者区别

在GET请求中会对输入的内容进行URL解码。但POST请求有不同，因为在上传表单中存在一个enctype的属性，而且在enctype=”multipart/form-data”这里，是不会对表单中的数据进行解码的，需要我们将POST中的%00解码后传入。

再web.php后面的%00进行url解码

成功

pass-13

本关设计文件包含漏洞

需要上传图片马

制作图片马

copy a.png /b + 1.php /a webshell2.png

应该包含如下内容

接着直接上传图片，然后我们通过文件包含漏洞进行解析文件。该文件包含解码通过get传参，我们复制图片地址，链接到文件包含界面，然后访问。

成功

pass-14

同13关，直接上传我们的图片马即可

pass-15

同13关

pass-16

同样，我们尝试上传图片马

发现上传成功，但是访问文件发现并没有执行我们的php脚本

查看源代码

if(move_uploaded_file($tmpname,$target_path)){//使用上传的图片生成新的图片$im = imagecreatefromgif($target_path);if($im == false){$msg = "该文件不是gif格式的图片！";@unlink($target_path);}else{//给新图片指定文件名srand(time());$newfilename = strval(rand()).".gif";//显示二次渲染后的图片（使用用户上传图片生成的新图片）$img_path = UPLOAD_PATH.'/'.$newfilename;imagegif($im,$img_path);@unlink($target_path);$is_upload = true;}

发现图片进行了二次渲染。

针对二次渲染，我们的方法是利用beyond compare工具，进行上传前和上传后的16进制对比，找出相同的位置插入我们的脚本代码，接着重新上传该图片。

访问图片，成功

当然，还可以尝试利用jpg和png格式的图片

pass-17

上传我们的php文件，发现上传失败

查看源代码

if(isset($_POST['submit'])){$ext_arr = array('jpg','png','gif');$file_name = $_FILES['upload_file']['name'];$temp_file = $_FILES['upload_file']['tmp_name'];$file_ext = substr($file_name,strrpos($file_name,".")+1);$upload_file = UPLOAD_PATH . '/' . $file_name;if(move_uploaded_file($temp_file, $upload_file)){if(in_array($file_ext,$ext_arr)){$img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;rename($upload_file, $img_path);$is_upload = true;}else{$msg = "只允许上传.jpg|.png|.gif类型文件！";unlink($upload_file);}}else{$msg = '上传出错！';}
}

我们发现这里存在逻辑的问题，代码中先移动文件到指定目录，才判断是否符合并删除文件。服务器处理代码时总会存在一定的时间差，当我们在上传文件后就多次快速尝试访问目标文件，那么是不是有机会在删除前成功访问文件。而如果文件的代码是重新创建一个木马文件，新木马文件则永远不会被删除了！

我们的文件内容包含

<?php file_put_contents('../web.php','<?php phpinfo();?>');?>

创建的路径在上一级路径防止被删除

可以利用bp一边进行竞争，一边进行访问

访问文件

成功。

pass-18

上传图片，发现upload中没有该图片，而是在上一级目录中

我们上传图片马,然后可以利用文件包含。

成功。

pass-19

本关可以利用大小写绕过或者/.绕过

大小写绕过

直接将web.php改为web.phP

当然利用/.也可以，生成一个一句话木马的脚本改为jpg类型上传

然后bp抓包修改保存的文件名即可

修改为

查看文件

上传成功

pass-20

源代码分析

 if (file_exists(UPLOAD_PATH)) {$is_upload = false;$msg = null;if(!empty($_FILES['upload_file'])){//mime check$allow_type = array('image/jpeg','image/png','image/gif');if(!in_array($_FILES['upload_file']['type'],$allow_type)){$msg = "禁止上传该类型文件!";}else{//check filename$file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];if (!is_array($file)) {$file = explode('.', strtolower($file));}$ext = end($file);$allow_suffix = array('jpg','png','gif');if (!in_array($ext, $allow_suffix)) {$msg = "禁止上传该后缀文件!";}else{$file_name = reset($file) . '.' . $file[count($file) - 1];$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' .$file_name;if (move_uploaded_file($temp_file, $img_path)) {$msg = "文件上传成功！";$is_upload = true;} else {$msg = "文件上传失败！";}}}}else{$msg = "请选择要上传的文件！";}} else {$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';}

分析代码

empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];

如果save_name为空，则把$_FILES['upload_file']['name']赋值给$file，反之$_POST['save_name']赋值给$file

if (!is_array($file)) {$file = explode('.', strtolower($file));}

如果$file不是数组，则将其处理为数组，通过.符号将其分割 [ “muma.php”,””,”jpg”]

$ext = end($file);   //文件后缀$allow_suffix = array('jpg','png','gif');if (!in_array($ext, $allow_suffix)) {$msg = "禁止上传该后缀文件!";
}

end()函数获得$file中的最后一个元素，赋值给$ext，并进行后缀校验

}else{$file_name = reset($file) . '.' . $file[count($file) - 1];$temp_file = $_FILES['upload_file']['tmp_name'];$img_path = UPLOAD_PATH . '/' .$file_name;if (move_uploaded_file($temp_file, $img_path)) {$msg = "文件上传成功！";$is_upload = true;} else {$msg = "文件上传失败！";}

后缀符合，则拼接文件名为首元素.尾元素 reset()获取数组首元素

因此我们可以修改数组，上传php文件，后缀名改为jpg

抓包查看一下

我们需要的是web.php，可以试着将数组传为save_name=["web.php"," ","jpg"]，当我们save_name[1]不设置的时候，count结果仍然是2，但是文件名后缀拼接出来为空，结果为web.php. 再根据windows特性将.省略，从而上传文件。

我们可以构造数组

------geckoformboundary55e8518e38caa5df9e9d15a4791fe8bd
Content-Disposition: form-data; name="save_name[0]"web.php------geckoformboundary55e8518e38caa5df9e9d15a4791fe8bd
Content-Disposition: form-data; name="save_name[2]"jpg

修改为如下内容

上传成功。

访问文件

至此upload-labs靶场实验实例完成。

文件上传漏洞：upload-labs靶场11-20

目录 pass-11 pass-12 pass-13 pass-14 pass-15 pass-16 pass-17 pass-18 pass-19 pass-20 pass-11 分析源代码 ，发现上传文件的存放路径可控 if(isset($_POST[submit])){$ext_arr array(jpg,png,gif);$file_ext substr($_FILES[upload_file][name],st…...

编程日记 2025/8/28 4:36:43

苹果Siri升级遇阻，国行iPhone或将引入阿里、百度AI自救

AI整合进展缓慢苹果正加速将生成式AI技术整合至Siri，但内部消息称其底层技术研发落后于竞争对手，进展未达预期。国行iPhone将引入双AI模型苹果计划在2025年中期为国行iPhone引入AI功能，目前已敲定与阿里巴巴、百度合作，用户…...

编程日记 2025/8/24 12:31:01

立即释放 Mac 空间！Duplicate File Finder 8 重复文件高速清理工具

Duplicate File Finder 专业的 Mac 重复文件清理工具。查找并删除重复的文件、文件夹，甚至相似的照片。不要让无用的文件占用磁盘上的宝贵空间。整理你的 Mac。用最好的重复文件查找器来管理你的文件集合。扫描任何磁盘或文件夹主文件夹、照片/音乐库、外部磁…...

编程日记 2025/8/23 4:11:36

ES时序数据库的性能优化

本文主要是讲解了Elasticsearch数据库的优化，大家可以看一下。因为当时实操中涉及了6版本和7版本的一起优化，所以内容上大家自行区分一下。一、基础设置 1. jvm.options参数详解不同版本java配置会不一样 -Xms12g -Xmx12g 说明： 将 Xms…...

编程日记 2025/8/22 2:38:34

第3章：启动界面与主界面设计

第3章：启动界面与主界面设计学习目标掌握SwiftUI中的启动界面（Splash Screen）设计与实现学习主界面的布局与导航结构设计实现灵感笔记的列表与网格视图掌握SwiftUI中的动画与过渡效果学习如何使用环境对象共享数据理论知识讲解启动界面设计原则启动界面（Splash Scre…...

编程日记 2025/8/26 21:29:11

c++ 作用域解析操作符::

目录什么是 ::？ 基本语法主要用途 1. 访问全局作用域 2. 访问类的静态成员 3. 访问命名空间中的内容 4. 区分嵌套作用域 5. 在类中定义成员函数注意事项什么是 ::？ 在C中，:: 是作用域解析操作符（Scope Resolution O…...

编程日记 2025/8/24 9:11:16

JavaScript数据类型转换

在JavaScript编程中，由于其动态类型特性，经常需要在不同的数据类型之间进行转换。正确地执行类型转换不仅能够避免潜在的错误，还能提高代码的灵活性和可维护性。本文将探讨JavaScript中的常见数据类型转换方法，并提供一些实用的例…...

编程日记 2025/8/27 12:17:00

css错峰布局/瀑布流样式（类似于快手样式）

当样式一侧比较高的时候会自动换行，尽量保持高度大概一致， 例： 一侧元素为5，另一侧元素为6 当为5的一侧过于高的时候，可能会变为4/7分部dom节点如果不需要这样的话删除样式 flex-flow:column wrap; 设置父级dom样…...

编程日记 2025/8/22 23:45:31

AI 技术引入 RTK（实时动态定位）系统，可以实现智能化管理和自动化运行

将 AI 技术引入 RTK（实时动态定位）系统，可以实现智能化管理和自动化运行，从而提高系统的精度、效率和可靠性。以下是 AI 技术在 RTK 系统中的应用实例：一、AI 技术在 RTK 系统中的应用场景 1. 整周模糊度快速解算问题：RTK 的核心是解算载波相位的整周模糊度，传统方法…...

编程日记 2025/8/28 4:36:42

【STM32F103ZET6——库函数】11.捕获红外信号

目录红外原理数据码引导码连发码配置捕获引脚使能引脚时钟配置定时器使能定时器时钟配置输入捕获中断优先级分组配置定时器4中断定时器中断使能使能定时器重写定时器中断服务函数清空定时器中断标志位例程例程说明 main.h main.c HongWai…...

编程日记 2025/8/24 22:28:43

江科大51单片机笔记【9】DS1302实时时钟（上）

一、DS1302介绍 DS1302是由美国DALLAS公司推出的具有涓细电流充电能力的低功耗实时时钟芯片。它可以对年、月、日、周、时、分、秒进行计时，且具有闰年补偿等多种功能。RTC（Real Time Clock）：实时时钟，是一种集成电路…...

编程日记 2025/8/25 15:32:44

在Spring Boot + MyBatis中优雅处理多表数据清洗：基于XML的配置化方案

问题背景在实际业务中，我们常会遇到数据冗余问题。例如，一个公司表（sys_company）中存在多条相同公司名的记录，但只有一条有效（del_flag0），其余需要删除。删除前需将关联表&#xf…...

编程日记 2025/8/28 4:35:57

【计网】网络层

网络层 4.1 网络层提供的两种服务（一） 面向连接的虚电路服务（二） 无连接的数据报服务 4.2 IPv44.2.1 IPv4概述4.2.2 分类编址的IPv4地址4.2.3 划分子网的IPv4地址4.2.4 无分类编址的IPv4地址4.2.5 IPv4地址的应用规划（…...

编程日记 2025/8/24 6:59:38

稳定性保障-前端

前端稳定性保障是确保应用在各种环境下都能高效、稳定、无错误运行的策略和方法。可以从监控、测试、容灾、优化等方面进行保障。 📌 1. 监控 & 报警实时监控线上情况，及时发现问题。 ✅ 1.1 前端错误监控 • Sentry、Fundebug&#xff1a…...

编程日记 2025/8/28 4:35:55

批量给 Word 中的所有图片添加水印

如果要给一个 Word 文档加水印，很多小伙伴都能轻松的完成，因为使用 Office 就能轻松的操作，并且也有很多第三方的工具可以帮我们实现。那假如需要给 Word 中的每一张图片都添加上水印，那有什么比较好的方法实现呢？今天…...

编程日记 2025/8/28 4:36:43

jQuery UI 简介

jQuery UI 简介引言随着互联网技术的飞速发展，前端开发已经成为网站和应用程序建设的重要组成部分。jQuery UI 是一个基于 jQuery 的用户界面库，它为开发者提供了丰富的交互组件和视觉效果，使得创建具有吸引力和互动性的网页变得更加简单。本文将为您详细介绍 jQuery UI…...

编程日记 2025/8/22 15:34:55

`label` 标签的 `for` 属性详解

一、基本概念 label 标签的 for 属性用于将标签与表单控件（如 input、select 等）绑定，其值需与目标元素的 id 完全匹配。这种关联允许用户点击标签时触发控件交互（如聚焦输入框或切换复选框），提升操作便捷…...

编程日记 2025/8/27 21:31:59

ArcGIS操作：10 投影坐标系转地理坐标系

应用情景：在计算shp面质心坐标的时，由于需要的坐标是经纬度，所以需要将投影坐标系转化为地理坐标系 1、打开工具箱 2、右侧：数据管理工具 → 投影和变换 → 要素 → 投影 3、选择投影的数据、输出路径、地理坐标系，点…...

编程日记 2025/8/16 10:17:00

【单片机通信技术】串口通信的几种方式与比较，详细解释SPI通信

一、介绍串口通信是一种通过串行接口逐位传输数据的通信方式，广泛应用于嵌入式系统、工业控制、传感器网络等领域。二、以下是几种常见的串口通信方式及其对比： 1.UART（Universal Asynchronous Receiver/Transmitter） 特点&am…...

编程日记 2025/8/27 20:43:21

DeepSeek开源Day5：3FSsmallpond技术详解

2 月 24 日，DeepSeek 启动 “开源周”，第四个开源的代码库为 3FS&smallpond（又是一下发布了两个）。 3FS（Fire-Flyer File System）是 DeepSeek 内部开发的一款高性能分布式文件系统，旨在为 A…...

编程日记 2025/8/24 10:02:06

常见的限流算法有哪些

计数器算法原理：在固定的时间窗口内，对请求进行计数，当请求数量达到设定的阈值时，就开始限流，拒绝多余的请求。例如，设定 1 分钟的时间窗口内允许最多 100 个请求，那么在这 1 分钟内每来一个请…...

编程日记 2025/8/24 12:12:51

Android 低功率蓝牙之BluetoothGattCallback回调方法详解

BluetoothGattCallback 是 Android 中用于处理蓝牙低功耗（BLE）设备通信的核心回调类。它负责处理与 BLE 设备的连接、服务发现、数据读写等操作的结果。以下是对 BluetoothGattCallback 的详细解析： 1. onConnectionStateChange 触发时机&am…...

编程日记 2025/8/27 6:38:25

socket.io协议内容详解

Socket.IO 是一个基于事件的实时通信库，支持双向通信。它并非单一协议，而是结合了 Engine.IO 传输层和 Socket.IO 应用层协议的复合体系。以下是其协议核心内容的详细解析： 1. 协议分层 Engine.IO：负责底层传输（如 WebSocket、HTTP 长轮询），处理连接稳定性、心跳和断线重…...

编程日记 2025/8/22 16:47:09

在Oracle中编写雪花算法升学雪花ID

雪花算法的定义不详细说了哈，直接给出代码！ --雪花配置 --DROP TABLE SNOWFLAKE_CONFIG; CREATE TABLE SNOWFLAKE_CONFIG ( DATA_CENTER_ID NUMBER(5) NOT NULL, WORKER_ID NUMBER(5) NOT NULL, LAST_TIMESTAMP NUMBER(20) NOT NULL, SEQUENCE NUMBE…...

编程日记 2025/8/22 22:05:04

我们来学nginx -- 优化下游响应速度

优化下游响应速度题记启用 Gzip 压缩优化缓冲区设置设置超时时间题记专家给出的配置文件真是…，信息量有点大啊！ nginx：我只想作为一个简单的代理专家爸爸：都是为了你好！ 这样，先从有关响应速度的角度&…...

编程日记 2025/8/24 19:03:06

SELECT ... FOR UPDATE 加锁后，其他线程能读取数据吗

在执行 SELECT * FROM table WHERE ... FOR UPDATE 语句时，MySQL 会对查询结果集中的行加排他锁（X锁）。这种锁的行为会影响其他事务对这些行的读写操作。以下是具体的影响： 1. 加锁后的效果当前事务： 对查询结果集中…...

编程日记 2025/8/23 23:16:09

【论文阅读】多模态——LSeg

文献基本信息标题：Language-Driven Semantic Segmentation作者：Boyi Li、Kilian Q. Weinberger、Serge Belongie、Vladlen Koltun、Ren Ranftl单位：Cornell University、University of Copenhagen、Apple、Intel Labs会议/期刊：…...

编程日记 2025/8/22 16:56:47

GBT32960 协议编解码器的设计与实现

GBT32960 协议编解码器的设计与实现引言在车联网领域，GBT32960 是一个重要的国家标准协议，用于新能源汽车与监控平台之间的数据交互。本文将详细介绍如何使用 Rust 实现一个高效可靠的 GBT32960 协议编解码器。整体架构编解码器的核心由三个主要组…...

编程日记 2025/8/23 10:21:34

Tomcat之配置https协议即SSL证书

太难了，Tomcat7服务器配置Https协议的SSL证书，半天没搞定啊切换，Tomcat8 分分钟参考 https://blog.csdn.net/u014553029/article/details/86672342 https://blog.csdn.net/qq_37138756/article/details/103516627 https://blog.csdn.net/r…...

编程日记 2025/8/24 22:30:50

如何将飞书多维表格与DeepSeek R1结合使用：效率提升的完美搭档

将飞书的多维表格与DeepSeek R1结合使用，就像为你的数据管理和分析之旅装上一台涡轮增压器。两者的合作，不仅仅在速度上让人耳目一新，更是将智能化分析带入了日常的工作场景。以下是它们如何相辅相成并改变我们工作方式的一些分享。 --- 在…...

编程日记 2025/8/28 4:04:05

JPA编程，去重查询ES索引中的字段，对已有数据的去重过滤，而非全部字典数据

一、背景课程管理界面，查询前，需要把查询元数据给出。学科列表、学段列表和分类列表，我们把它定义为查询元数据。一般的业务需求是： 系统维护好多个字典，比如学科、学段等等，相当于属性库。但是&…...

编程日记 2025/8/23 15:06:02

Kubermetes 部署mysql pod

步骤 1: 创建 PersistentVolume 和 PersistentVolumeClaim 首先为 MySQL 创建一个 PersistentVolume (PV) 和 PersistentVolumeClaim (PVC) 来确保数据的持久性。 mysql-pv.yaml： apiVersion: v1 kind: PersistentVolume metadata:name: mysql-pv-volume spec:cap…...

编程日记 2025/8/21 2:54:30

自定义wordpress三级导航菜单代码

首先，在你的主题functions.php文件中，添加以下代码以注册一个新的菜单位置： function mytheme_register_menus() {register_nav_menus(array(primary-menu > __(Primary Menu, mytheme))); } add_action(init, mytheme_register_menus); …...

编程日记 2025/8/20 21:52:59

剑指 Offer II 060. 出现频率最高的 k 个数字

comments: true edit_url: https://github.com/doocs/leetcode/edit/main/lcof2/%E5%89%91%E6%8C%87%20Offer%20II%20060.%20%E5%87%BA%E7%8E%B0%E9%A2%91%E7%8E%87%E6%9C%80%E9%AB%98%E7%9A%84%20k%20%E4%B8%AA%E6%95%B0%E5%AD%97/README.md 剑指 Offer II 060. 出现频率最高的…...

编程日记 2025/8/27 22:47:29

pass-11

pass-12

pass-13

pass-14

pass-15

pass-16

pass-17

pass-18

pass-19

pass-20

相关文章：