File Upload，即文件上传漏洞，通常是由于对上传文件的类型、内容没有进行严格的过滤、检查，使得攻击者可以通过上传木马获取服务器的webshell权限，因此文件漏洞上传带来的危害常常是毁灭性的，Apache、Tomcat、Nginx等都曝出过文件上传漏洞。

难度（低）

审计代码

<?phpif( isset( $_POST[ 'Upload' ] ) ) {    // Where are we going to be writing to?    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );    // Can we move the file to the upload folder?    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {        // No        echo '<pre>Your image was not uploaded.</pre>';    }    else {        // Yes!        echo "<pre>{$target_path} succesfully uploaded!</pre>";    }}?>

可以看到，服务器对上传文件的类型、内容没有做任何的检查、过滤，存在明显的文件上传漏洞，生成上传路径后，服务器会检查是否上传成功并返回相应提示信息。

文件上传漏洞的利用是有限制条件的，首先当然是要能够成功上传木马文件，其次上传文件必须能够被执行，最后就是上传文件的路径必须可知。这里三个条件全都满足。

制作php一句话木马，文件格式改为php：

开始上传

上传成功，并且显示上传的路径。

使用中国菜刀连接

双击刚刚创建好的数据

难度（中）

审计代码

<?phpif( isset( $_POST[ 'Upload' ] ) ) {    // Where are we going to be writing to?    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );    // File information    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];    // Is it an image?    if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&        ( $uploaded_size < 100000 ) ) {        // Can we move the file to the upload folder?        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {            // No            echo '<pre>Your image was not uploaded.</pre>';        }        else {            // Yes!            echo "<pre>{$target_path} succesfully uploaded!</pre>";        }    }    else {        // Invalid file        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';    }}?>

Medium级别的代码对上传文件的类型、大小做了限制，要求文件类型必须是jpeg或者png，大小不能超过100000B（约为97.6KB）。

如果我们直接上传，会提示如下您的图片未上传.我们可以只接受JPEG或PNG图像可以看到，对上传的文件做出了要求，必须是jpg和png解决方法抓包修改文件类型即可

所以我们创建一个1.jpg的文件，使用burp进行修改文件类型

对burp抓的包进行更改

上传成功

使用中国菜刀连接

难度（高）

审计代码

<?phpif( isset( $_POST[ 'Upload' ] ) ) {    // Where are we going to be writing to?    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );    // File information    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];    // Is it an image?    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&        ( $uploaded_size < 100000 ) &&        getimagesize( $uploaded_tmp ) ) {        // Can we move the file to the upload folder?        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {            // No            echo '<pre>Your image was not uploaded.</pre>';        }        else {            // Yes!            echo "<pre>{$target_path} succesfully uploaded!</pre>";        }    }    else {        // Invalid file        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';    }}?>

strrpos（string，find，start）函数返回字符串find在另一字符串string中最后一次出现的位置，如果没有找到字符串则返回false，可选参数start规定在何处开始搜索。

getimagesize（string文件名）函数会通过读取文件头，返回图片的长、宽等信息，如果没有相关的图片文件头，函数会报错。可以看到，High级别的代码读取文件名中最后一个"."后的字符串，期望通过文件名来限制文件类型，因此要求上传文件名形式必须是"*.jpg"、"*.jpeg" 、"*.png"之一。同时，getimagesize函数更是限制了上传文件的文件头必须为图像类型。

我们上网下载一个jpg格式小尺寸的图片，使用edjpgcom工具，将一句话木马写入图片中

这里我找了一张小老虎的图片，将它移进edjpgcom.exe工具中

写入一句话木马

回到刚刚dvwa界面上，上传这个具有一句话木马的图片（图片马）

上传成功

这时我们利用之前的文件包含漏洞来配合中国菜刀连接刚刚上传的一句话木马

：\phpStudy\PHPTutorial\WWW\DVWA1\hackable\uploads\3.jpg

我们使用中国菜刀连接

路径为

：\phpStudy\PHPTutorial\WWW\DVWA1\hackable\uploads\3.jpg

连接成功