JavaWeb代码审计 | 文件上传基础篇

文件上传

用户使用电脑浏览器操作企业Web站点某些功能的背后逻辑业务逻辑是在文件上传功能，例如：注册上传头像、后台中模版文件上传等。企业用户使用的是正常的文件上传，恶意用户使用恶意文件对站点进行攻击及后续渗透。用户会对上传的文件进行后续业务使用。

文件上传漏洞是与服务器进行控制和通信前的一种攻击方式。

相关技战术：初始访问阶段 | QT1190.012 文件上传，主要是在文件上传代码逻辑过程中未对文件后缀进行校验或校验逻辑不足被绕过，导致恶意类型文件上传一般属于Websehll类型文件持久化 | T1505.003 Web 命令执行环境

MultipartFile 是 Spring 框架中的一个接口，处理文件上传。 它可以处理从表单中上传的文件，并提供了访问文件名称、大小、类型以及内容等信息的方法。public class multipartfileController {@Value("${file.upload.path}")private String path;@GetMapping("/")public String uploadPage() {return "upload";}@PostMapping("/upload")@ResponseBodypublicStringcreate(@RequestPartMultipartFile file) throws IOException {String fileName = file.getOriginalFilename();String filePath = path + fileName;File dest = new File(filePath);Files.copy(file.getInputStream(), dest.toPath());return"Uploadfilesuccess:"+dest.getAbsolutePath();}

  ServletFileUpload方式文件上传依赖 commons-fileupload 组件。解析出FileItem对象。每个FileItem都有我们可能所需的属性：获contentType，获取原本的文件名，获取文件大小，获取FiledName 

publicclassFileUploadServletextendsHttpServlet{@OverrideprotectedvoiddoPost(HttpServletRequestreq,HttpServletResponse resp)throws ServletException, IOException {try {StringrealPath=this.getServletContext().getRealPath("/upload");String tempPath = "C:\Users\powerful\Desktop";File f = new File(realPath);if(!f.exists()&&!f.isDirectory())System.out.println("目录或文件不存在! 创建目标目录。");f.mkdir();}DiskFileItemFactory factory = new DiskFileItemFactory();factory.setRepository(f1);ServletFileUpload upload = new ServletFileUpload(factory);if(ServletFileUpload.isMultipartContent(req)){System.out.println("不是上传文件，终止");return;}

3.1.1 获取文件文件后缀名：注意获取位置     StringSuffix=fileName.substring(fileName.lastIndexOf("."));

3.1.2 文件后缀名白名单内容：

String[] SuffixList = {".jpg", ".png", ".jpeg", ".gif"};

    文件保存路径及保存文件名称逻辑：以下路径可解析JSP文件备注：在获取文件名后，大多会进行路径拼接操作。在这里我们可以检查拼接路径是有相关防护，如果没有限制 ../ 那么极有可能存在目录穿越漏洞。

• Web根目录

• WEB-INF目录

• Web.xml配置其他路径

4.1.1Pom.xml文件分析

 可关键字搜索“javax”即可，如下项目可解析JSP：  

 4.1.2文件上传功能

    文件上传可关键字搜索全文搜索如下：

`` File`` FileUpload`` FileUploadBase`` FileItemIteratorImpl`` FileItemStreamImpl`` FileUtils`` UploadHandleServlet`` FileLoadServlet`` FileOutputStream`` DiskFileItemFactory`` MultipartRequestEntity`` MultipartFile`` com.oreilly.servlet.MultipartRequest

4.1.3上传文件类型校验逻辑 

未发现文件类型限制代码，直接发包测试即可

4.1.4文件上传漏洞测试

•  前端文件html上传表单构造

• BurpSuite测试

发包测试成功，但返回信息错误Error，上传失败

• 后端代码注释判断fileType.contains(ext)判断文件格式导致上传错误

跟进发现是由于发包时fileType值为空导致

增加fileType类型为"jspx"发现返回了URL

访问URL发现上传并解析成功