php一句话木马

测试靶场 pikachu-master

pikachu漏洞平台文件上传漏洞概述

即将进行利用的文件上传漏洞界面

$SELF_PAGE = substr($_SERVER['PHP_SELF'],strrpos($_SERVER['PHP_SELF'],'/')+1);

if ($SELF_PAGE = "clientcheck.PHP"){
    $ACTIVE = array('','','active open','active','');
}
$pika_ROOT_DIR =  "../../";
include_once $pika_ROOT_DIR . 'header.PHP';
include_once $pika_ROOT_DIR.'inc/uploadfunction.PHP';

$html='';
if(isset($_POST['submit'])){
    $type=array('jpg','jpeg','png');//指定类型
    $mime=array('image/jpg','image/jpeg','image/png');
    $save_path='uploads'.date('/Y/m/d/');//根据当天日期生成一个文件夹
    $upload=upload('uploadfile','512000',$type,$mime,$save_path);//调用函数
    if($upload['return']){
        $html.="<p class='notice'>文件上传成功</p><p class='notice'>文件保存的路径为：{$upload['save_path']}</p>";
    }else{
        $html.="<p class=notice>{$upload['error']}</p>";

    }
}

后台getimagesize.PHP 文件的主要内容

随意上传一张普通图片，显示上传成功

<?PHP PHPinfo();?>

尝试上传 PHP 文件，其中文件内容如上

（构造一句话木马的方式以及具体代码有很多很多，由个人需求而定，CSDN上搜一句话木马PHP有很多文章，在下在这方面的知识尚不深刻，就不在这班门弄斧了）

反馈结果如上

对a.PHP 内容不做修改，直接将后缀名改为png，用burpsuite抓包，并将png改成PHP

（

修改后点击上传

可以看到仍然和前面是一样的显示结果

修改后缀名但是不抓包修改内容尝试上传

被识破了哈哈（第一关如上所示可以绕过后端验证，第二关抓包修改请求头里Content-Type的值可以绕过验证）

怎么绕过后端的检测呢，有很多种办法

在这里只介绍GIF89a图片头文件欺骗，这里不一一赘述，好，开搞！

GIF89a<?PHP PHPinfo();?>

将a.png中的内容改成如上图，即在代码前加上了GIF89a。

上传成功了，那我们应该怎么检验呢

我们在pikachu看到了使用了include函数的另外一个模块（文件包含漏洞），这就好办了

根据pikachu中多个模块的url分析，最终得出以下路径

../../unsafeupload/uploads/2022/03/30/50444362447a43ad5d8128997197.png

拼接在File Inclusion模块中就可以得到我们想要的结果， PHPinfo函数可以显示出PHP 所有相关信息。是排查配置PHP是是否出错或漏配置模块的主要方式之一，只要访问到PHPinfo()函数的web页面，即返回PHP的所有相关信息。

相关推荐