文件上传之靶场upload-labs （11-20）

第十一关

strrpos() 函数查找字符串在另一字符串中最后一次出现的位置

substr() 函数返回字符串的一部分

文件保存的方式是上传路径+随机时间+截取的文件后缀

其中上传路径可控，可以利用这一点

绕过方法

利用00截断进行绕过，即move_uploaded_file函数的底层实现类似于C语言，遇到0x00会截断

截断条件：
1、php版本小于5.3.4
2、php.ini的magic_quotes_gpc为OFF状态

move_uploaded_file函数遇到0x00（16进制）就会认为已经结束

第十二关

和上一个关一样不过路径上传方式由GET变成POST

绕过方法

00截断 post方式中需要修改成二进制的00而不是直接在请求数据中修改00

#在二进制中为23，为了好找，下一步在hex将23改成00

修改成00后会在数据包显示像口这样的字符

第十三关

读取上传文件中的两个字节

将读取的内容解包（unpack() 函数从二进制字符串对数据进行解包返回数组一个字节为一个值）

返回解包后的整数值（intval() 函数通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值）

绕过方法

我们在一句话木马的开头添加两个11也就是二进制的3131，将HEX编码 3131 改为 FFD8 点Go后成功上传JPG

上传了马后缀为jpg想要利用需要配合另一种漏洞文件包含，靶场专门有一个文件让我们测试文件内容为

绕过方法二

利用图片马，将一张正常的图片jpg，和一句话php合成一张新的jpg文件（window下 cmd , copy 1.jpg /b + 1.php /a 3.php）

合成后使用编辑工具打开图片内容包含一句话

第十四关

getimagesize() 函数用于获取图像大小及相关信息，成功返回一个数组

索引 2 给出的是图像的类型，返回的是数字，其中1 = GIF，2 = JPG，3 = PNG，4 = SWF，5 = PSD，6 = BMP，7 = TIFF(intel byte order)，8 = TIFF(motorola byte order)，9 = JPC，10 = JP2，11 = JPX，12 = JB2，13 = SWC，14 = IFF，15 = WBMP，16 = XBM

stripos — 查找字符串首次出现的位置

绕过方法

与上一关一样使用图片马

第十五关

exif_imagetype() — 判断一个图像的类型

返回值：
图像类型常量值    常量
1    IMAGETYPE_GIF
2    IMAGETYPE_JPEG
3    IMAGETYPE_PNG
4    IMAGETYPE_SWF
5    IMAGETYPE_PSD
6    IMAGETYPE_BMP
7    IMAGETYPE_TIFF_II（Intel 字节顺序）
8    IMAGETYPE_TIFF_MM（Motorola 字节顺序）
9    IMAGETYPE_JPC
10    IMAGETYPE_JP2
11    IMAGETYPE_JPX
12    IMAGETYPE_JB2
13    IMAGETYPE_SWC
14    IMAGETYPE_IFF
15    IMAGETYPE_WBMP
16    IMAGETYPE_XBM