【文件上传漏洞-05】文件上传路径截断实例—以upload-labs-12为例

1 知识储备

概述：在ASCII码中，00代表的是空字符，在URL中表现为%00。在文件截断攻击中，就是采用空字符来误导服务器截断字符串，以达到绕过攻击的目的。

原理：服务器后台采用的是move_uploaded_file()函数将上传的文件移动到新位置，该函数属于文件系统函数，底层是采用C语言实现的，在C语言中，判断字符串是否结束是以空字符为标志的。因此，当上传的文件名中含有%00符号时，服务器会认为字符串到此结束，从而达到绕过的目的。

截断条件： PHP版本小于5.3.4, PHP的magic_quotes _gpc为OFF状态。

move_uploaded_file()函数原型与介绍：

• 1）函数原型：move_uploaded_file(file,newloc)；
• 2）file参数：必需参数，规定要移动的文件。
• 3）newloc参数：必需参数，规定文件的新位置。
• 4）工作过程：本函数检查并确保由 file 指定的文件是合法的上传文件（即通过 PHP 的 HTTP POST 上传机制所上传的）。如果文件合法，则将其移动为由 newloc 指定的文件。
• 5）注意：如果 file 不是合法的上传文件，不会出现任何操作，move_uploaded_file() 将返回 false。
• 6）注意：如果 file 是合法的上传文件，但出于某些原因无法移动，不会出现任何操作，move_uploaded_file() 将返回 false，此外还会发出一条警告。
• 7）注意：本函数仅用于通过 HTTP POST 上传的文件。
• 8）注意：如果目标文件已经存在，将会被覆盖。