文件上传漏洞原理
一句话木马
<?php@eval($_POST['wuya']);?>
POST用来接收前端的post的请求里面的一个变量值
eval作用把一串字符串作为php的代码去执行，允许执行任意代码
@符号的意思是不报错，即使执行错误，也不报错。
system函数，用来执行操作系统命令
wuya为密码
文件上传漏洞是指用户上传了一个可执行的脚本文件，而且通过这个脚本文件获得了执行服务器端命令的能力。
文件上传前提：
（1）网站上传功能能正常使用 （2）文件类型允许上传 （3）上传路径可以确定 （4）文件可以被访问，可以被执行或者被包含
黑客会上传什么?
后门文件简介
WebShell：网站后门
WebShell就是以asp，php，jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其成为一种网页后门。黑客在入侵了一个网站后，通常会将asp或者php后门文件与网站服务器WEB目录下正常的网页文件混在一起，以达到控制网站服务亲的目的。
了解后门文件WebShell
WebShell分为大马，小马，一句话木马。
大马：体积小，功能全，会调用系统的关键函数，以代码加密进行隐藏
小马：体积小，功能少，只有一个上传功能
一句话木马：代码短，只有一行代码，使用场景大，可单独生成可插入文件，安全性高，隐匿性强，可变形免杀，框架不便，数据执行
了解后门文件 PHP一句话木马
<?php eval($_GET['pass'];?>
防御
uniqid 更改文件名
文件上传绕过
（1）本地限制
（2）突破上传:修改MIME类型检测；修改目录路径检测；修改文件扩展名检测；修改文件内容检测；
(3)服务端防御：服务MIME类型检测；服务端目录路径检测；服务端文件扩展名检测；服务端文件内容检测；
绕过客户端的检测：
原理：通常在上传页面里含有专门检测文件上传的JavaScript代码，最常见的就是检测文件类型和扩展名是否合法
方法:在本地浏览器客户端禁用JS即可
测试题：upload-labs/Pass-01
绕过服务端检测：
服务端的代码通常检测三个点：MIME类型，文件后缀（分为黑名单和白名单），文件内容（文件幻数，文件相关信息，图片渲染，二次渲染）
常见MIME类型:
超文本标记语言。html文件：text/html
普通文本.txt文件：text/plain
PDF文档.pdf：application/pdf
Microsoft.word文档：application/msword
PNG图像.png：image/png
GIF图像.gif：image/gif
MPEG文件.mpg：video/mpeg
AVI文件.avi：video/x-msvideo
绕过文件后缀检查-黑名单
文件扩展名在黑名单中为不合法，一般有个专门的黑名单列表，里面会包含常见的危险脚本文件。
1.后缀大小写绕过：（.Php）
2.空格绕过：（.php ）
3.点绕过：（.php.）
4.::$DATA绕过：
如果黑名单没有对后缀名进行去::$DATA处理，可以在后缀名加上::$DATA，绕过黑名单
5.配合Apache漏洞（现在基本没有了）
Apache解析有一个特点，解析文件时是从右往左判断，如果为不可识别解析再往左判断，例如aa.php.owf.rar文件，Apache不可以识别解析‘.owf’和‘.rar’这两种后缀，会解析成.php文件
6. .htaccess文件
配合名单列表绕过，上传一个自定义的.htaccess，就可以轻松绕过各种检测（可以自己规定文件解析成什么样子）
.htaccess文件（或者 分布式配置文件），全称是Hypertext Access(超文本入口）。提供了针对目录改变配置的方法，即，在一个特定的文档目录中一个包含一个会多个指令的文件，以作用于此目录及其所有子目录。作为用户，所能使用的命令受到限制。
SetHandler application/x-httpd-php //所有的文件当做php文件来解析
AddType application/x-httpd-php .png //.png文件当作php文件解析
7.通过上传特殊文件名来绕过黑名单检测。
如php,php2,php3,php5,phtml,asp,aspx,ascx,ashx,cer,jsp,jspx这些特殊文件名能否被解析，关键查看apache的conf/httpd.conf文件，如果包含AddType application/x-httpd-php.php.phtml.phps.php5.pht等，则这些特殊文件可以被解析。
绕过文件后缀检测-白名单（基本无解，目前最安全）
白名单策略：文件扩展名不在白名单中为不合法
绕过方法：
服务端判断文件类型是从后往前解析，而对文件解析是从前往后解析，可以利用00截断的方式进行绕过，包括%00截断与0x00截断。（00截断的一个条件是PHP必须小于5.3）
绕过文件内容检测：
主要通过两种方法来判断上传文件内容是否合法：
1.通过检测上传文件内容开始处的文件幻数来判断。
通常情况下，通过判断前10个字节，基本就能判断出一个文件的真实类型
2.文件加载检测
一般是调用API或者函数对文件进行加载测试。常见的是图像渲染测试，在严格点的是进行二次渲染。
绕过文件内容检测-文件幻数检测
常见图片类型的文件幻数如下：
1.要绕过jpg文件幻数检测就要在其文件十六进制开头写上下面的值：
Value=FF D8 FF E0 00 10 4A 46 49 46
2.要绕过gif文件幻数检测就要在其文件十六进制开头写上下面的值：
Value=47 49 46 38 39 61
3.要绕过png文件幻数检测就要在开头写下下面的值：
Value=89 50 4E 47
然后在文件幻数后面加上自己的一句话木马代码就行了
绕过文件内容检测-文件加载检测
一般是调用API或者函数对文件进行加载测试。常见的是图像渲染测试，在严格点的是进行二次渲染。
对渲染/加载测试的攻击方式是：代码注入绕过
对二次渲染的攻击方式是：攻击文件加载器自身
1.对渲染/加载测试攻击 - 代码注入绕过
可以用图像处理软件对一张图片进行代码注入
这类攻击的原理是：在不破坏文件本身的渲染情况下找一个空白区进行填充代码，一般是图片的注释区，这样能保证本身文件结构是完整的，对于渲染测试基本上都能绕过。
2.二次渲染的攻击方式 - 攻击文件加载器自身
这种情况下无法用代码注入绕过，二次渲染相当于把原本属于图片数据的部分抓出来，再用自己的API或者函数进行重新渲染，而非图像数据部分直接被隔离开了。
我们可以用溢出攻击对文件加载器进行攻击，上传自己的恶意文件后，服务器上的文件加载器会主动进行加载测试，加载测试时被溢出攻击执行shellcode。
(另外方法：1.用一张大的gif图片找到一个空白的地方写shell然后绕过；2.复制下面这段
#define test_width 16
#define test_height 7
<?php echo 'it worke';?>
static char test_bite[ ]={
0x13, 0x00, 0x93, 0xcd, 0x55, 0xa5, 0x93, 0xc5, 0x00, 0x80, 0x00, 0x60};)
