Web应用程序通常会提供一些上传功能，比如上传头像，图片资源等，只要与资源传输有关的地方就可能存在上传漏洞，上传漏洞归根结底是程序员在对用户文件上传时控制不足或者是处理的缺陷导致的，文件上传漏洞在渗透测试中用的比较多，因为它是获取服务器WebShell最快最直接的攻击手法，其实文件上传本身并没有问题，有问题的是文件上传时程序员是如何对其进行合法化过滤的，如果程序员的处理逻辑做的不够安全，则会导致严重的后果。

接下来你可以自行下载一个专门用于练习文件上传的Web靶场应用并自己部署到你的服务器上，下载地址是：https://github.com/c0ny1/upload-labs 该靶场使用PHP语言编写，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场，目前共20关每一关都包含着不同上传方式。

pass1 第一关

本关的突破非常的容易，因为程序中仅仅使用了JavaScript来拒绝非法文件的，但这种前端验证的方式能够防止普通用户，但无法防止专业人员的突破，我们可以使用Brup工具来突破这一限制。

  1. function checkFile() {
  2.     var file = document.getElementsByName('upload_file')[0].value;
  3.     if (file == null || file == "") {
  4.         alert("请选择要上传的文件!");
  5.         return false;
  6.     }
  7.     //定义允许上传的文件类型
  8.     var allow_ext = ".jpg|.png|.gif";
  9.     //提取上传文件的类型
  10.     var ext_name = file.substring(file.lastIndexOf("."));
  11.     //判断上传文件类型是否允许上传
  12.     if (allow_ext.indexOf(ext_name + "|") == -1) {
  13.         var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
  14.         alert(errMsg);
  15.         return false;
  16.     }
  17. }

首先准备好一句话后门 lyshark.php 然后将其修改成 lyshark.jpg ，使用Brup抓上传的数据包，并将jpg后缀改成php直接提交。

上方我们开启【Intercept is on】拦截，然后点击上传按钮，将其中的【lyshark.jpg】修改为【lyshark.php】，点击【Forward】按钮放行，即可上传成功。

pass2 第二关

本关的突破也非常简单，如下代码我们可以看出其使用了MIME类型来验证上传文件的合法性，下方允许上传的格式有 image/jpeg，image/png，image/gif 这三种类型的文件。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {
  6.             $temp_file = $_FILES['upload_file']['tmp_name'];
  7.             $img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']
  8.             if (move_uploaded_file($temp_file, $img_path)) {
  9.                 $is_upload = true;
  10.             } else {
  11.                 $msg = '上传出错！';
  12.             }
  13.         } else {
  14.             $msg = '文件类型不正确，请重新上传！';
  15.         }
  16.     } else {
  17.         $msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';
  18.     }
  19. }

代码中验证了上传的MIME类型，绕过方式使用Brup抓包,将上传的一句话小马lyshark.php中的 Content-Type: application/php修改成Content-Type: image/jpeg然后上传。

pass3 第三关

第三关采用了黑名单的验证方式，黑名单过滤也是一种不安全的方式，黑名单中定义了一系列的不安全的扩展名，服务器在接收到文件后，与黑名单做对比，从而决定是否要过滤上传的文件。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array('.asp','.aspx','.php','.jsp');
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = strtolower($file_ext); //转换为小写
  10.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  11.         $file_ext = trim($file_ext); //收尾去空
  12.  
  13.         if(!in_array($file_ext, $deny_ext)) {
  14.             $temp_file = $_FILES['upload_file']['tmp_name'];
  15.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  16.             if (move_uploaded_file($temp_file,$img_path)) {
  17.                  $is_upload = true;
  18.             } else {
  19.                 $msg = '上传出错！';
  20.             }
  21.         } else {
  22.             $msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';
  23.         }
  24.     } else {
  25.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  26.     }
  27. }

如上方的代码，其过滤掉了 .asp .php .jsp 等危险的脚本文件，看起来是把危险文件拒之门外了，但实际上其效果并不是太好，攻击者可以通过黑名单中找到Web开发人员忽略的扩展名，从而完成上传。

首先Brup拦截数据包，然后点击上传按钮，在Brup的空白位置右键，选择【Send To Repeater】发送到Repeater模块中。

接着我们将 lyshark.php 修改为 lyshark.jpg 然后点击 send 按钮，在右侧Response 会看到返回了数据./upload/201908080737005617.jpg ，这里也可以将其做成图片木马上传，从而也可以绕过这个限制。

pass4 第四关

本关代码如下，相比于前一关的内容，这里的过滤条件变得更为苛刻，其几乎过滤掉了所有的脚本文件后缀，但是并没有过滤.jpg等格式，如果使用jpg格式在php 5.5以前可以正常拿Shell ，但在PHP 7版本中显然是不可取的，本关我们可以利用一个Apache解析漏洞完成我们的上传任务。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = strtolower($file_ext); //转换为小写
  10.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  11.         $file_ext = trim($file_ext); //收尾去空
  12.  
  13.         if (!in_array($file_ext, $deny_ext)) {
  14.             $temp_file = $_FILES['upload_file']['tmp_name'];
  15.             $img_path = UPLOAD_PATH.'/'.$file_name;
  16.             if (move_uploaded_file($temp_file, $img_path)) {
  17.                 $is_upload = true;
  18.             } else {
  19.                 $msg = '上传出错！';
  20.             }
  21.         } else {
  22.             $msg = '此文件不允许上传!';
  23.         }
  24.     } else {
  25.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  26.     }
  27. }

解析漏洞，在Apache 2.x中存在一个解析漏洞，如果我们将 lyshark.php 修改为 lyshark.php.rar 这样的格式，正常情况下会弹出文件下载提示框，但是由于Apache 2.x存在解析漏洞所以，会默认将其当作PHP脚本文件进行展开并执行。

Apache在解析文件时有一个原则，当碰到不认识的扩展名时，会从后向前解析，直到碰到认识的扩展名为止，如果不认识则会爆露其源代码，此时我们如果上传 lyshark.php.rar 的话，很明显.rar 他不认识，则会先前递增，会看到.php 默认就会使用.php 解析啦。

1.首先Brup拦截数据，然后选择 lyshark.php 小马，点击上传按钮，回到Brup将lyshark.php 手动修改为 lyshark.php.rar 然后放行数据包，即可完成上传。

上传成功后，蚁剑直接拿shell。

pass5 第五关

第五关源代码如下，该代码中并没有对文件名的大小写进行强制转换，所以绕过就变得容易了起来。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  10.         $file_ext = trim($file_ext); //首尾去空
  11.  
  12.         if (!in_array($file_ext, $deny_ext)) {
  13.             $temp_file = $_FILES['upload_file']['tmp_name'];
  14.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  15.             if (move_uploaded_file($temp_file, $img_path)) {
  16.                 $is_upload = true;
  17.             } else {
  18.                 $msg = '上传出错！';
  19.             }
  20.         } else {
  21.             $msg = '此文件类型不允许上传！';
  22.         }
  23.     } else {
  24.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  25.     }
  26. }

直接使用Brup抓包，然后拦截数据包，并发送到Repeater模块将 lyshark.php 修改成 lyshark.PhP 然后Send发送数据包，成功的绕过了上传检测代码。

pass6 第六关

代码中并没有首位去空格的函数，本关我们可以通过在 l'y'shark.php 的后面或前面添加一个或多个空格，绕过过滤规则完成上传。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  6.         $file_name = $_FILES['upload_file']['name'];
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = strtolower($file_ext); //转换为小写
  10.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  11.  
  12.         if (!in_array($file_ext, $deny_ext)) {
  13.             $temp_file = $_FILES['upload_file']['tmp_name'];
  14.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  15.             if (move_uploaded_file($temp_file,$img_path)) {
  16.                 $is_upload = true;
  17.             } else {
  18.                 $msg = '上传出错！';
  19.             }
  20.         } else {
  21.             $msg = '此文件不允许上传';
  22.         }
  23.     } else {
  24.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  25.     }
  26. }

Brup抓包，然后将文件 lyshark.php 中添加空格，直接放行数据包。

pass7 第七关

本关中并没有对末尾文件的点进行过滤，所以我们可以在 lyshark.php 的后面添加一个点，完成绕过。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_ext = strrchr($file_name, '.');
  8.         $file_ext = strtolower($file_ext); //转换为小写
  9.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  10.         $file_ext = trim($file_ext); //首尾去空
  11.  
  12.         if (!in_array($file_ext, $deny_ext)) {
  13.             $temp_file = $_FILES['upload_file']['tmp_name'];
  14.             $img_path = UPLOAD_PATH.'/'.$file_name;
  15.             if (move_uploaded_file($temp_file, $img_path)) {
  16.                 $is_upload = true;
  17.             } else {
  18.                 $msg = '上传出错！';
  19.             }
  20.         } else {
  21.             $msg = '此文件类型不允许上传！';
  22.         }
  23.     } else {
  24.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  25.     }
  26. }

pass8 第八关

本关中去掉了字符串::$DATA的代码，所以我们可以使用 lyshark.php :: $DATA 完成绕过，但经过测试这种方式上传的文件PHP解释器已经无法识别了，也就无法拿到Shell。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = strtolower($file_ext); //转换为小写
  10.         $file_ext = trim($file_ext); //首尾去空
  11.  
  12.         if (!in_array($file_ext, $deny_ext)) {
  13.             $temp_file = $_FILES['upload_file']['tmp_name'];
  14.             $img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;
  15.             if (move_uploaded_file($temp_file, $img_path)) {
  16.                 $is_upload = true;
  17.             } else {
  18.                 $msg = '上传出错！';
  19.             }
  20.         } else {
  21.             $msg = '此文件类型不允许上传！';
  22.         }
  23.     } else {
  24.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  25.     }
  26. }

pass9 第九关

本关中我们可以使用 lyshark.php. . (点+空格+点)，的方式完成绕过。

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf",".htaccess");
  6.         $file_name = trim($_FILES['upload_file']['name']);
  7.         $file_name = deldot($file_name);//删除文件名末尾的点
  8.         $file_ext = strrchr($file_name, '.');
  9.         $file_ext = strtolower($file_ext); //转换为小写
  10.         $file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA
  11.         $file_ext = trim($file_ext); //首尾去空
  12.  
  13.         if (!in_array($file_ext, $deny_ext)) {
  14.             $temp_file = $_FILES['upload_file']['tmp_name'];
  15.             $img_path = UPLOAD_PATH.'/'.$file_name;
  16.             if (move_uploaded_file($temp_file, $img_path)) {
  17.                 $is_upload = true;
  18.             } else {
  19.                 $msg = '上传出错！';
  20.             }
  21.         } else {
  22.             $msg = '此文件类型不允许上传！';
  23.         }
  24.     } else {
  25.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  26.     }
  27. }

pass10 第十关

本关  str_ireplace($deny_ext,"", $file_name); 函数，将黑名单中的后缀名替换为空，因此可双写绕过：

  1. $is_upload = false;
  2. $msg = null;
  3. if (isset($_POST['submit'])) {
  4.     if (file_exists(UPLOAD_PATH)) {
  5.         $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");
  6.  
  7.         $file_name = trim($_FILES['upload_file']['name']);
  8.         $file_name = str_ireplace($deny_ext,"", $file_name);
  9.         $temp_file = $_FILES['upload_file']['tmp_name'];
  10.         $img_path = UPLOAD_PATH.'/'.$file_name;
  11.         if (move_uploaded_file($temp_file, $img_path)) {
  12.             $is_upload = true;
  13.         } else {
  14.             $msg = '上传出错！';
  15.         }
  16.     } else {
  17.         $msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';
  18.     }
  19. }

pass11 第十一关

通过GET方式传入数据，然后通过GET传入save_path值，使得上传文件路径可控，尝试使用%00截断，这里PHP版本必须小于5.3否则00截断无效。

  1. $is_upload = false;
  2. $msg = null;
  3. if(isset($_POST['submit'])){
  4.     $ext_arr = array('jpg','png','gif');
  5.     $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
  6.     if(in_array($file_ext,$ext_arr)){
  7.         $temp_file = $_FILES['upload_file']['tmp_name'];
  8.         $img_path = $_GET['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
  9.  
  10.         if(move_uploaded_file($temp_file,$img_path)){
  11.             $is_upload = true;
  12.         } else {
  13.             $msg = '上传出错！';
  14.         }
  15.     } else{
  16.         $msg = "只允许上传.jpg|.png|.gif类型文件！";
  17.     }
  18. }

pass12 第十二关

本关与上一关不同，本关中通过POST方式传递save_path变量的值，同样的可以使用%00截断，但需要考虑URL编码的问题，默认GET方式传输会自动解码成空字符，而POST方式则不会自动解码，所以要对POST中的%00先进行编码然后在放行。

  1. $is_upload = false;
  2. $msg = null;
  3. if(isset($_POST['submit'])){
  4.     $ext_arr = array('jpg','png','gif');
  5.     $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
  6.     if(in_array($file_ext,$ext_arr)){
  7.         $temp_file = $_FILES['upload_file']['tmp_name'];
  8.         $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;
  9.  
  10.         if(move_uploaded_file($temp_file,$img_path)){
  11.             $is_upload = true;
  12.         } else {
  13.             $msg = "上传失败";
  14.         }
  15.     } else {
  16.         $msg = "只允许上传.jpg|.png|.gif类型文件！";
  17.     }
  18. }

1.首先上传文件，然后拦截请求，并在lyshark.jpg后面添加%00

2.接着选中%00 ,然后对URL进行编码。

pass13 第十三关

本关采用了白名单的上传验证方式，其主要是允许jpg/png/gif这三种文件的传输，且代码中检测了文件头的2字节内容，也就是说我们只需要将文件的头两个字节修改为图片的格式就可以绕过，通常 JPEG/JPG: FF D8 , PNG:89 50，GIF:47 49

  1. function getReailFileType($filename){
  2.     $file = fopen($filename, "rb");
  3.     $bin = fread($file, 2); //只读2字节
  4.     fclose($file);
  5.     $strInfo = @unpack("C2chars", $bin);
  6.     $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);
  7.     $fileType = '';
  8.     switch($typeCode){
  9.         case 255216:
  10.             $fileType = 'jpg';
  11.             break;
  12.         case 13780:
  13.             $fileType = 'png';
  14.             break;
  15.         case 7173:
  16.             $fileType = 'gif';
  17.             break;
  18.         default:
  19.             $fileType = 'unknown';
  20.         }
  21.         return $fileType;
  22. }
  23.  
  24. $is_upload = false;
  25. $msg = null;
  26. if(isset($_POST['submit'])){
  27.     $temp_file = $_FILES['upload_file']['tmp_name'];
  28.     $file_type = getReailFileType($temp_file);
  29.  
  30.     if($file_type == 'unknown'){
  31.         $msg = "文件未知，上传失败！";
  32.     }else{
  33.         $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
  34.         if(move_uploaded_file($temp_file,$img_path)){
  35.             $is_upload = true;
  36.         } else {
  37.             $msg = "上传出错！";
  38.         }
  39.     }
  40. }

以JPEG为例，我们在一句话木马的开头添加两个11也就是二进制的2121，然后将 lyshark.php 修改为 lyshark.jpg，使用Brup抓包，然后发送到Repeater模块。

将HEX编码 3131 改为 FFD8 点Go后成功上传JPG。

pass14 第十四关

这一关很简单，首先程序中通过使用，getimagesize() 函数对文件信息的检测识别，绕过的话就是制作一个图片木马，但是在PHP 7 版本中不能保证其能够正常的拿Shell。

  1. function isImage($filename){
  2.     $types = '.jpeg|.png|.gif';
  3.     if(file_exists($filename)){
  4.         $info = getimagesize($filename);
  5.         $ext = image_type_to_extension($info[2]);
  6.         if(stripos($types,$ext)>=0){
  7.             return $ext;
  8.         }else{
  9.             return false;
  10.         }
  11.     }else{
  12.         return false;
  13.     }
  14. }
  15.  
  16. $is_upload = false;
  17. $msg = null;
  18. if(isset($_POST['submit'])){
  19.     $temp_file = $_FILES['upload_file']['tmp_name'];
  20.     $res = isImage($temp_file);
  21.     if(!$res){
  22.         $msg = "文件未知，上传失败！";
  23.     }else{
  24.         $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
  25.         if(move_uploaded_file($temp_file,$img_path)){
  26.             $is_upload = true;
  27.         } else {
  28.             $msg = "上传出错！";
  29.         }
  30.     }
  31. }

111

Web文件上传靶场 - 通关笔记的更多相关文章

  1. Upload-labs 文件上传靶场通关攻略(上)

    Upload-labs 文件上传靶场通关攻略(上) 文件上传是Web网页中常见的功能之一,通常情况下恶意的文件上传,会形成漏洞. 逻辑是这样的:用户通过上传点上传了恶意文件,通过服务器的校验后保存到指 ...

  2. Upload-labs 文件上传靶场通关攻略(下)

    Upload-Labs靶场攻略(下) Pass-11 GET型传参,上传目录可设置,考虑00截断,在/upload/后添加1.php%00,即可上传 Pass-12 POST型传参,上传目录可设置,P ...

  3. servlet web文件上传

    web文件上传也是一种POST方式,特别之处在于,需设置FORM的enctype属性为multipart/form-data. 并且需要使用文件域. servlet的代码比较关键是这几句: // 使用 ...

  4. Java Web文件上传

    参考资料:http://www.cnblogs.com/xdp-gacl/p/4200090.html 一.问题描述 Java Web文件上传需要借助一些第三方库,常用的是借助Apache的包,有两个 ...

  5. WEB文件上传下载功能

    WEB文件上传下载在日常工作中经常用到的功能 这里用到JS库 http://files.cnblogs.com/meilibao/ajaxupload.3.5.js 上传代码段(HTML) <% ...

  6. Web 文件上传 目录

    0. SpringMVC -- 梗概--源码--贰--上传 1. Web上传文件的原理及实现 2. Web文件上传方法总结大全 3. SpringMVC 文件上传配置,多文件上传,使用的Multipa ...

  7. Java Web文件上传原理分析(不借助开源fileupload上传jar包)

    Java Web文件上传原理分析(不借助开源fileupload上传jar包) 博客分类: Java Web   最近在面试IBM时,面试官突然问到:如果让你自己实现一个文件上传,你的代码要如何写,不 ...

  8. WEB文件上传漏洞介绍解决办法

    引用:http://blog.csdn.net/kobejayandy/article/details/35861499 问题: -1. 上传文件WEB脚本语言,服务器的WEB容器解释并执行了用户上传 ...

  9. java web 文件上传下载

    文件上传下载案例: 首先是此案例工程的目录结构:

随机推荐

  1. mysql—并发控制及事务

    并发控制 实现的并发访问的控制技术是基于锁: 锁分为表级锁和行级锁,MyISAM存储引擎不支持行级锁:InnoDB支持表级锁和行级锁: 锁的分类有读锁和写锁,读锁也被称为共享锁,加读锁的时候其他的人可 ...

  2. java Date 转mysql timestamp 秒数不一致

    mysql的字段类型是timestamp(0), java的类型的是util.Date, 在插入数据的时候发现, 数据库的实际数据秒数比预想的数据偶尔会大1秒. 问题的原因: mysql的timest ...

  3. cookie和session的区别及其原理

    1.为什么要有cookie/session? HTTP是一种无状态的协议,为了分辨链接是谁发起的,需自己去解决这个问题.不然有些情况下即使是同一个网站每打开一个页面也都要登录一下.而Session和C ...

  4. SQL-W3School-高级：SQL UNIQUE 约束

    ylbtech-SQL-W3School-高级:SQL UNIQUE 约束 1.返回顶部 1. SQL UNIQUE 约束 UNIQUE 约束唯一标识数据库表中的每条记录. UNIQUE 和 PRIM ...

  5. 数据分析 - Excel 综合实例 - 杜邦分析法

    项目背景 杜邦分析法 利用 杜邦分析法完成对一份数据的动态分析 流程图如下 项目源数据 左侧为竖向的数据管理, 右侧为横向的数据管理 横向的数据管理在数据透视的时候会很不方便, 并不推荐 常用叫法左边 ...

  6. 001-多线程-JUC线程池-线程池架构-Executor、ExecutorService、ThreadPoolExecutor、Executors

    一.概述 1.1.线程池架构图 1. Executor 它是"执行者"接口,它是来执行任务的.准确的说,Executor提供了execute()接口来执行已提交的 Runnable ...

  7. 公司手机打卡app时间和百度时间差30秒解决

    问题: 某天发现公司手机打卡app时间和百度时间差30秒解决 分析: nginx        192.168.0.23 外网 : 220.236.7.43 mysql主    192.168.0.2 ...

  8. 微信小程序 左右分类列表

    分类界面,左边是一级目录,右边是一级目录对应的二级目录,根据这个需求,我们数据设计的结构一定是数组嵌套数组,第一个数组包含一级目录数据,嵌套的数组包含的是二级目录的数据. wxml代码: <vi ...

  9. 微信小程序 左右联动菜单

    根据左侧列表,联动跳右侧内容. 效果如图: wxml代码: <view class="page"> <!-- 左侧导航 --> <view class ...

  10. shell学习笔记3-后台执行命令

    cron 系统调度进程,使用它在每天的某时间或一周.一月的不同时间运行 at 使用它在一个特点的时间允许一些特殊的作业 & 使用它在后台允许一个占用时间不长的进程 Nohup 使用它在后台运行 ...