文章目录
- 文件上传类
- 需求
- 文件上传漏洞
- 文件下载类
- 需求
- 文件下载漏洞
- 扩展
- 留言板类（XSS漏洞）
- 需求
- XSS漏洞
- 登录类
- 需求
- cookie伪造漏洞
- 万能密码登录
持续更新中…
文章中代码资源已上传资源，如需要打包好的请点击PHP开发漏洞环境（SQL注入+文件上传+文件下载+XSS+万能密码+session/cookie的学习等等）
文件上传类
需求
1、在博客文件中生成上传文件的功能
2、只允许上传jpg、jpeg、png文件格式
upload.php
<!DOCTYPE html>
<html>
<head>
<title>文件上传</title>
</head>
<body>
<h2>文件上传</h2>
<form action="" method="POST" enctype="multipart/form-data">
<input type="file" name="upload">
<input type="submit" value="上传">
</form>
</body>
</html>
<?php
header("Content-Type: text/html; charset=UTF-8"); //设置字符集
//获取文件名字
@$name = $_FILES['upload']['name'];
//获取上传文件的类型
@$type = $_FILES['upload']['type'];
//获取上传文件的大小
@$size = $_FILES['upload']['size'];
//获取上传文件的错误代码
@$error = $_FILES['upload']['error'];
//获取上传文件的临时文件名
@$tmp_name = $_FILES['upload']['tmp_name'];
echo @$name . "<br>";//打印
echo @$type . "<br>";
echo @$size . "<br>";
echo @$error . "<br>";
echo @$tmp_name . "<br>";
if ($type == "image/jpeg" || $type == "image/jpg" || $type == "image/png") {
if (!move_uploaded_file($tmp_name, 'upload/' . $name)) {
echo "文件移动失败";
} else {
echo '/upload/' . $name;
echo "文件上传成功";
}
} else {
echo "文件类型不正确";
}
?>
文件上传漏洞
通过代码分析，做了文件类型的判断，只限于jpeg、png、jpg 三种类型进行上传，那么上传php一句话木马会提示文件类型不正确，并且在目录中未发现上传的文件
试想既然知道有限制，那么我们能不能抓包修改文件类型呢？
上传一个一句话木马文件，文件后缀 .php
<?php @eval($_POST['cmd']);?>
修改为： Content-Type:image/png，放包
发现上传成功并获取到了路径
进行漏洞利用
文件下载类
需求
1、创建一个文件下载的功能
2、在soft文件夹中提取所需要的东西
3、需要有选择框，以供选择
download.php
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>文件下载</title>
</head>
<body>
<h1>直接下载</h1>
<?php
// 获取文件路径
$filepath = '../soft/';
// 获取文件列表
$filenames = scandir($filepath);
// 创建下载表单
echo '<form action="" method="POST">';
echo '需要下载的文件：<select name="name">';
// 生成文件下拉选项
foreach ($filenames as $filename) {
if ($filename != '.' && $filename != '..') {
echo '<option value="' . $filename . '">' . $filename . '</option>';
}
}
// 关闭下载表单
echo '</select>';
echo '<input type="submit" value="下载">';
echo '</form>';
// 处理文件下载
if (isset($_POST['name'])) {
$name = $_POST['name'];
$file = $filepath . $name;
// 检查文件是否存在
if (file_exists($file)) {
$filesize = filesize($file);
// 设置下载文件的相关头信息
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename="' . $name . '"');
header('Content-Length: ' . $filesize);
// 读取文件内容并输出给用户
readfile($file);
exit;
} else {
echo '文件不存在！';
}
}
?>
</body>
</html>
文件下载漏洞
分析代码发现下载文件名由name决定，那么我们就可以尝试构造任意文件名，跳目录，造成任意文件下载
抓包
修改文件名，可以任意读取源代码，造成任意文件下载读取漏洞
扩展
文件类漏洞，还有如下漏洞类型，不一一举例，原理都差不多，如：
1、任意文件删除
2、任意文件写入
3、文件包含等等
WEB漏洞核心
1、可控变量
2、特定函数
留言板类（XSS漏洞）
需求
1、生成留言板功能
2、并写一个留言列表功能，可以看到留言人的姓名和内容
XSS漏洞
message.php
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>留言板</title>
</head>
<body>
<h1>留言板</h1>
<?php
// 处理留言提交
if (isset($_POST['submit'])) {
$name = $_POST['name'];
$message = $_POST['message'];
$timestamp = date('Y-m-d H:i:s');
// 将留言信息保存到文件
$file = 'messages.txt';
$data = $timestamp . ' - ' . $name . ': ' . $message . "\n";
file_put_contents($file, $data, FILE_APPEND);
}
?>
<form action="" method="POST">
<label for="name">姓名:</label>
<input type="text" name="name" id="name" required><br>
<label for="message">留言:</label>
<textarea name="message" id="message" rows="4" required></textarea><br>
<input type="submit" name="submit" value="提交留言">
</form>
<hr>
<h2>留言列表</h2>
<?php
// 读取留言列表
$file = 'messages.txt';
if (file_exists($file)) {
$messages = file($file);
// 显示留言列表
foreach ($messages as $message) {
echo $message . '<br>';
}
} else {
echo '暂无留言。';
}
?>
</body>
</html>
通过代码分析，发现留言的信息都存在message.txt 文件里，然后进行读取放到留言列表中，这里可能造成存储型XSS漏洞，那么我们试试构造JS语句，看是否被执行。
点击提交留言，发现存在xss漏洞，并存储在message.txt 文件里，每次刷新都会调用，说明存在存储型XSS漏洞
登录类
需求
1、生成登录页面
2、使用session或cookie进行验证
3、登录时使用验证码校验
4、必须使用‘user1’账号，才能登录管理员后台
login.php(cookie验证)
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登录页面</title>
<link rel="stylesheet" type="text/css" href="../login.css">
</head>
<body>
<div class="container">
<h2>欢迎登录</h2>
<form action="login.php" method="POST">
<div class="form-group">
<label for="username">用户名:</label>
<input type="text" id="username" name="username" required>
</div> <div class="form-group">
<label for="password">密码:</label>
<input type="password" id="password" name="password" required>
</div> <div class="form-group">
<label for="captcha">验证码:</label>
<input type="text" id="captcha" name="captcha" required>
<img src="captcha.php" alt="验证码">
</div> <button type="submit" name="login">登录</button>
</form></div>
</body>
</html>
<?php
session_start();
include('../config/conn.php');
@$username = $_POST['username'];
@$password = $_POST['password'];
@$captcha = $_POST['captcha'];
// 验证验证码
if (isset($_POST['login'])) {
if (isset($_SESSION['captcha']) && strtolower($captcha) === strtolower($_SESSION['captcha'])) {
// 验证用户名和密码
$sql = "SELECT * FROM pass WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $sql);
echo $sql;
/*
if (mysqli_num_rows($result)) { echo "登录成功";
header("location:../admin/admin_login.php"); // 验证成功跳转到后台页面
setcookie("username", $username, 0, '/'); // 设置cookie
} else { echo "用户名或密码错误";
} } else { echo "验证码错误";
}}
//
*/
//session验证
while (@$row = mysqli_fetch_array(@$result)) {//成功登录后
$_SESSION['username'] = $row['username'];//将查询结果的数据进行赋值
header("location:../admin/admin_login.php");//验证成功跳转到后台页面
}
}
}
?>
admin_login.php(登录校验)
<?php
include ("../config/login_check.php"); //cookie验证
/*
session验证
header("Content-type:text/html;charset=utf-8");//编码
session_start();
if (@$_SESSION['username']=='user1'){
echo '登录成功，这里是管理员后台';
}else{
echo '非法访问';
}
?>
*/
?>
login_check.php (cookie验证)
<?php
//1、先验证登录，才进行代码操作
//2、cookie验证
//3、session验证
header("Content-type:text/html;charset=utf-8");//编码
@$username = $_COOKIE['username'];//接受cookie
if ($username == 'user1') {//只有当用户名为'user1'时才能登录到管理员后台
echo '登录成功，这里是后台管理界面';
} elseif ($username != '') {//其他用户验证成功
echo '登录成功';
} else {
echo "非法访问";
}
?>
captcha.php 验证码
<?php
session_start();
// 生成随机验证码
$length = 4; // 验证码长度
$characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'; // 验证码字符集
$captcha = '';
for ($i = 0; $i < $length; $i++) {
$captcha .= $characters[rand(0, strlen($characters) - 1)];
}
// 存储验证码到 Session$_SESSION['captcha'] = $captcha;
// 创建验证码图片
$imageWidth = 110;
$imageHeight = 80;
$image = imagecreatetruecolor($imageWidth, $imageHeight);
$backgroundColor = imagecolorallocate($image, 255, 255, 255);
$textColor = imagecolorallocate($image, 0, 0, 0);
// 填充背景色
imagefilledrectangle($image, 0, 0, $imageWidth, $imageHeight, $backgroundColor);
// 绘制验证码文本
$textX = ($imageWidth - 50) / 2;
$textY = $imageHeight / 2 + 10;
imagestring($image, 5, $textX, $textY, $captcha, $textColor);
// 输出验证码图片
header('Content-Type: image/png');
imagepng($image);
imagedestroy($image);
?>
验证是否符合需求
user1 管理登录后台
其他用户登录，不前往管理员后台
cookie伪造漏洞
通过代码分析，后端校验用户为 user1 即可登录到管理员后台
修改cookie为 user1，刷新即可登录到管理元后台
万能密码登录
通过代码审计发现对数据库做校验的时候，出现了一些问题，如下：
$sql = "SELECT * FROM pass WHERE username = '$username' AND password = '$password'";
把 $username 替换成 如下：
SELECT * FROM pass WHERE username = '1' or 1=1 -- ' AND password = '$password'
这样就形成了，万能密码登录
