php file uploader vuln

[swagcat228]

Парни. привет.

Подскажите, какие техники используются для залива через загрузчик картинок?
Загрузчик кастомный.

пробовал нульбайты - говорит "allowed extentions .jpg .jpeg .png"
0x0d 0x0a 0x2f --> проходят, но файл найти не могу.

 

[h0peIess]

Их существует великое множество...
1) Обман санитайзера (пример: shell.pphphp => shell.php)
2) .htaccess shell (ссылка на готовые варианты: https://github.com/wireghoul/htshells)
3) Загрузка .shtml (пример: <!-- #exec cmd="ls" -->)
4) Изменение Content-type (пример: text/php => image/jpg)
5) Файлы-полиглоты (полезные ссылки: https://github.com/fakhrizulkifli/Defeating-PHP-GD-imagecreatefromgif, https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/, https://rdot.org/forum/showthread.php?t=2780)
Ну и т.д. Все перечислять не буду

 

[swagcat228]

спасибо.
решение нашёл тут

File Upload Bypass: Upload Forms Threat Explained

This Acunetix White Paper discusses how hackers use common file upload forms to attack a website and how Acunetix WVS can be used to counter this technique.

www.acunetix.com

кто может пояснить, какого хрена код в комментариях потом выполняется при прямом обращении к картинке?

 

[Pernat1y]

кто может пояснить, какого хрена код в комментариях потом выполняется при прямом обращении к картинке?

One possible way an attacker could bypass a file extension blacklist on an Apache HTTP Server is to first upload an .htaccess file with the following contents.

AddType application/x-httpd-php .jpg

 

[swagcat228]

One possible way an attacker could bypass a file extension blacklist on an Apache HTTP Server is to first upload an .htaccess file with the following contents.

AddType application/x-httpd-php .jpg

but in that configuration there are no executing as PHP for img format

 

[Pernat1y]

but in that configuration there are no executing as PHP for img format

It maps specific extension (.jpg) as specified content type (executable script).

mod_mime - Apache HTTP Server Version 2.4

httpd.apache.org