测试靶场 pikachu-master
pikachu漏洞平台文件上传漏洞概述
即将进行利用的文件上传漏洞界面
$SELF_PAGE = substr($_SERVER['PHP_SELF'],strrpos($_SERVER['PHP_SELF'],'/')+1);if ($SELF_PAGE = "clientcheck.php"){ $ACTIVE = array('','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','active open','','','','active','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','');}$PIKA_ROOT_DIR = "../../";include_once $PIKA_ROOT_DIR . 'header.php';include_once $PIKA_ROOT_DIR.'inc/uploadfunction.php';$html='';if(isset($_POST['submit'])){ $type=array('jpg','jpeg','png');//指定类型 $mime=array('image/jpg','image/jpeg','image/png'); $save_path='uploads'.date('/Y/m/d/');//根据当天日期生成一个文件夹 $upload=upload('uploadfile','512000',$type,$mime,$save_path);//调用函数 if($upload['return']){ $html.="<p class='notice'>文件上传成功</p><p class='notice'>文件保存的路径为：{$upload['save_path']}</p>"; }else{ $html.="<p class=notice>{$upload['error']}</p>"; }}后台getimagesize.php文件的主要内容
随意上传一张普通图片，显示上传成功
<?php phpinfo();?>尝试上传php文件，其中文件内容如上
（构造一句话木马的方式以及具体代码有很多很多，由个人需求而定，CSDN上搜一句话木马php有很多文章，在下在这方面的知识尚不深刻，就不在这班门弄斧了）
反馈结果如上
对a.php内容不做修改，直接将后缀名改为png，用burpsuite抓包，并将png改成php
（
修改后点击上传
可以看到仍然和前面是一样的显示结果
修改后缀名但是不抓包修改内容尝试上传
被识破了哈哈 （第一关如上所示可以绕过后端验证，第二关抓包修改请求头里Content-Type的值可以绕过验证）
怎么绕过后端的检测呢，有很多种办法
在这里只介绍GIF89a图片头文件欺骗，这里不一一赘述，好，开搞！
GIF89a<?php phpinfo();?>将a.png中的内容改成如上图，即在代码前加上了GIF89a。
上传成功了，那我们应该怎么检验呢
我们在pikachu看到了使用了include函数的另外一个模块（文件包含漏洞），这就好办了
根据pikachu中多个模块的url分析，最终得出以下路径
../../unsafeupload/uploads/2022/03/30/50444362447a43ad5d8128997197.png
拼接在File Inclusion模块中就可以得到我们想要的结果， phpinfo函数可以显示出PHP 所有相关信息。是排查配置php是是否出错或漏配置模块的主要方式之一，只要访问到phpinfo()函数的web页面，即返回php的所有相关信息。