【漏洞】文件上传漏洞
前言
文件上传漏洞利用及验证绕过
本文仅用于网络信息防御学习
上传马
- 如果网站限制文件上传大小，可以上传小马
- 如果网站没有限制文件上传大小，可以上传大马
图片类型审核绕过
- 如果网站要求文件上传请求必须为图片类型，可以使用Burp修改请求，在发送请求时，将请求头的
Content-Type: text/php改为Content-Type: image/jpeg，从而实现绕过
图片马制作
如果网站不仅审查文件类型，还会审查文件头的二进制信息，均要求图片类型才能通过，此时需要制作图片马
Windows下制作图片马
<file>.jpg：原图文件<file>.php：原木马文件<file_new>.jpg：合并后的图片马
1 | copy /b <file>.jpg+<file>.php <file_new>.jpg |
- 也可以通过PS将代码写在图片的详细信息里