文件上传漏洞1-文件上传漏洞详细原理讲解与利用方式

文件上传漏洞原理：

原理：

        文件上传漏洞通常发生在Web应用程序允许用户上传文件但未对文件类型、内容或扩展名进

行严格验证时。攻击者利用这一缺陷上传恶意文件（如后门脚本、病毒等），进而执行任意代码、

控制服务器或窃取数据。

条件：

           1.文件上传的功能点

           2.确定后端的语言类型

           3.没有校验文件类型+用户上传的文件代码可以解析执行

准备工作：蚁剑安装：

1.解压安装包

2.进入目录双击AntSword.exe3.看到画面加载

则安装成功准备完毕：

DVWA演示攻击流程步骤：

第一步.编写一句话木马,设置fjw为密码。

第二步.更改文件后缀。

第三布.打开DVWA文件上传界面

选择文件选我们的一句话木马。

看到上传成功并且返回给我们路径：

../../hackable/uploads/fiw.php succesfully uploaded!

那我们去访问目标路径：

打开发现是空白页面，我们进行传参测试。

可以看到成功上传一句话木马，接下来连接蚁剑：

右键添加数据：

添加我们的上传文件的url和密码：

我们点击测试连接：

看到右下角成功然后我们点击添加即可：

我们点击我们新添加的：

右键打开在此处打开终端：

       我们输入whoami可以看到我们当前的权限使apache我们就已经获得了服务器权限。

到此演示结束，这就是文件上传漏洞的基本流程。