PHP代码审计：文件上传（白名单绕过）

upload_labs 12源码:

代码分析：

有代码可见，系统属于白名单检测。

1.使用isset(POST[′submit′])检测POST提交数据中是否存在submit参数2.定义上传文件后缀白名单3.获取上传文件名并处理使用strrpos()函数获取点.符号最后一次出现的位置，返回对应的索引值，最后通过+1(因为所以默认从0开始）来获取最终文件名后缀，同时对文件名后缀进行截取。4.将最终获取到的文件名后缀_POST['submit'])检测POST提交数据中是否存在submit参数 2.定义上传文件后缀白名单 3.获取上传文件名并处理 使用strrpos()函数获取点.符号最后一次出现的位置，返回对应的索引值，最后通过+1(因为所以默认从0开始）来获取最终文件名后缀，同时对文件名后缀进行截取。 4.将最终获取到的文件名后缀P?OST[′submit′])检测POST提交数据中是否存在submit参数2.定义上传文件后缀白名单3.获取上传文件名并处理使用strrpos()函数获取点.符号最后一次出现的位置，返回对应的索引值，最后通过+1(因为所以默认从0开始）来获取最终文件名后缀，同时对文件名后缀进行截取。4.将最终获取到的文件名后缀file_ext作为最终文件名后缀PHP文件上传，同时对文件进行很重命名

5.存在一个点，拼接路径会从前端获取GET参数值拼接。

绕过方式:GET型截断

截断条件：

1.上传的路径可控

2.PHP版本低于5.3.4

3.magic_quotes_gpc为OFF状态（在php5.2.17中该参数默认为ON）

由于存在文件路径可控的问题，所以直接构造GET型参数save_path,自定义save_path参数值，在上面加截断，利用0x00空白字符特性，构造上传。在这里插入图片描述

注意点

1.strrpos()字符查找函数

2.截断条件

1.上传的路径可控

2.PHP版本低于5.3.4

3.magic_quotes_gpc为OFF状态（在php5.2.17中该参数默认为ON）

GET传参会自动将进行URL编码变成十六进制0x00，而路径中如果遇到0x00空白字符时会自动丢弃后面的内容，造成截断。

POST传参需要我们在burp上进行手动URL编码，将变成十六进制0x00

（编辑：成都站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!