文件上传与解析机制漏洞利用技术

在渗透测试的生命周期中，文件上传漏洞（File Upload Vulnerability） 往往是红队获取目标服务器权限（GetShell）最直接、最高效的途径之一。现代 Web 应用的安全防御体系通常会在前端、WAF（Web 应用防火墙）、后端业务逻辑以及 Web 服务器解析层设置多道防线。漏洞利用的核心，在于寻找这四层防御之间的逻辑断层与解析差异。

本文将从红队视角，系统性总结文件上传漏洞的深度利用与 Bypass（绕过）技术。

1. 基础校验绕过机制

大多数初级应用仍在使用简单的黑白名单或前端校验，绕过这些机制是深入渗透的基础。

1.1 前端与 MIME 校验绕过

前端绕过：应用仅通过 JavaScript 校验扩展名。红队可直接通过 Burp Suite 拦截请求，将正常的 .jpg 后缀修改为 .php。
MIME 欺骗：后端校验 HTTP 头中的 Content-Type 字段。利用 Burp 将脚本文件的 Content-Type: application/x-php 强行篡改为 image/jpeg 或 image/png 即可绕过。

1.2 黑白名单扩展名绕过

黑名单绕过：当后端过滤了 .php、.jsp、.asp 等常见后缀时，可尝试冷门/等效后缀：
- PHP：.php3, .php4, .php5, .phtml, .phar
- JSP：.jspx, .jspf, .jsw, .jsa
- ASP：.asa, .cer, .cdx
大小写绕过：部分后端未做 strtolower() 转换，如上传 .PhP。
双写绕过：针对将敏感字符替换为空的逻辑，如上传 .p|php|hp，被过滤掉中间的 php 后，重新拼接为 .php。
点与空格绕过 (Windows 特性)：Windows 文件系统会自动去除文件名末尾的点和空格。上传 shell.php. 或 shell.php ，后端校验黑名单时未匹配到，但存入系统时自动变为 shell.php。
::$DATA 绕过 (NTFS ADS 特性)：在 Windows NTFS 文件系统中，上传 shell.php::$DATA 会被视为对文件数据流的请求，绕过后缀检测，最终生成 shell.php。

2. 内容校验与特征混淆

为了防止恶意代码写入，防守方会通过文件头（Magic Byte）检测或 WAF 深度包检测（DPI）扫描文件内容。

2.1 文件头（Magic Byte）伪造

后端读取文件前几个字节判断类型。红队可在 Webshell 顶部添加合法的文件头：

GIF：GIF89a
PNG：\x89\x50\x4E\x47\x0D\x0A\x1A\x0A
JPEG：\xFF\xD8\xFF\xE0

2.2 二次渲染绕过

部分应用使用 GD 库等图像处理引擎对上传的图片进行重绘/裁剪。普通的图片马在二次渲染后，附加的恶意代码会被擦除。 利用方式：通过对比渲染前后的图片 Hex 数据，找出未被改变的数据块（数据盲区），将 Webshell 精准注入到这些空白区域。

2.3 WAF 级内容混淆

分块传输 (Chunked Encoding)：利用 HTTP/1.1 分块传输，将恶意 Payload 切碎发送，部分 WAF 无法完整重组导致检测失效。
多参数污染 (HPP)：在一个请求中发送多个 filename= 参数，诱导 WAF 解析第一个（合法图片），而 Web 服务器解析最后一个（恶意脚本）。
超长字符截断：在 Content-Disposition 的 filename 前填充大量垃圾字符（如几十万个 a），导致 WAF 性能超载或正则回溯超时，从而放行请求。

3. 解析漏洞与配置滥用

当文件成功落地后，如果其不具备可执行权限，或者无法被 Web 服务器当作脚本解析，上传依然无法 GetShell。此时需要利用 Web 服务器（Apache/Nginx/IIS）的解析漏洞或特性。

3.1 配置文件上传滥用

这是绕过严格白名单（如仅允许上传图片）的终极武器。

Apache .htaccess：上传 .htaccess 文件，覆盖当前目录配置：
```
AddType application/x-httpd-php .jpg
```
随后上传带有 PHP 代码的 .jpg 图片，Apache 将其作为 PHP 执行。
PHP .user.ini (CGI模式)：上传 .user.ini 包含以下内容：
```
auto_prepend_file=shell.jpg
```
只要该目录下有任何正常的 .php 文件被访问，它都会自动在顶部加载并执行 shell.jpg。

3.2 经典中间件解析漏洞

IIS 6.0 分号截断：上传至目录 shell.asp/ 下的任何文件（如 1.jpg）都会被当作 ASP 解析。或利用 shell.asp;.jpg，IIS 遇到分号即截断解析。
Nginx CGI 空字节/畸形解析：对于低版本 Nginx，用户访问 http://target.com/image.jpg/1.php 时，如果 1.php 不存在，Nginx 可能会将前方的 image.jpg 交给 PHP-FPM 强制按 PHP 解释执行。
Apache 多后缀解析：Apache 遇到无法识别的后缀时会从右向左依次解析。如上传 shell.php.abc.def，Apache 不认识 .def 和 .abc，最终将其按 .php 解析执行。

4. 条件竞争利用 (Race Condition)

部分后端逻辑采用了**“先保存，后检测，再删除”**的机制（如先将文件写入磁盘，交给第三方杀软引擎检测，若是病毒再 unlink() 删除）。

利用方式：红队编写脚本，使用极高并发不断发起上传请求，同时开启另一个高并发线程不断请求刚刚上传的文件。只要在它被删除的“空窗期”内成功访问到该文件（文件内容为生成另一个稳定的隐藏 Webshell），即可完成反杀。