文件上传 on 波奇大王的 "Hugo Project"

a文件上传的总结

Wed, 02 Sep 2026 20:24:37 +0800

ctfshow web154

Wed, 02 Sep 2026 17:31:03 +0800

ctfshow web154

题号：web154
难度：⭐⭐
考点：文件上传（你真的了解".user.ini"吗）
日期：2026-9-2

题目描述

解题思路

[[Web153|[“Web153”,“文件上传”]]] 和153解题基本一样，就是多了个检查图片内容（应该是过滤了php），可以参考下图对一句话木马进行修改

Payload / 关键操作

/?1=system("tac ../flag.php");

复现截图

对应课程章节

文件上传

踩坑记录 / 复盘

ctfshow web153

Wed, 02 Sep 2026 15:48:31 +0800

ctfshow web153

题号：web153
难度：⭐⭐
考点：文件上传（你真的理解了 “.user.ini"吗？）
日期：2026-9-2

题目描述

解题思路

Payload / 关键操作

/?1=system("tac ../flag.php");

复现截图

对应课程章节

文件上传

踩坑记录 / 复盘

去看[[user.ini原理与上传解析路线]]

.user.ini 原理与文件上传解析路线

Wed, 02 Sep 2026 14:54:29 +0800

.user.ini 原理与文件上传解析路线

适用：文件上传题（黑名单校验被绕过但"解析不了"时）核心认知：先认服务器类型，再选上传利用方式

一、上传解析的两个"配置文件"是谁在处理

文件	谁读它	生效条件
`.htaccess`	Apache（Web 服务器）	Apache + AllowOverride 开启
`.user.ini`	PHP（CGI/FastCGI 模式）	php-fpm 跑 PHP（nginx 或 Apache + php-fpm）

关键点：

nginx 根本不认 .htaccess（nginx 没有这个机制，配置全在 nginx.conf）
Apache + mod_php 不读 .user.ini（不是 CGI 模式）

环境	优先试哪个
Apache	.htaccess
nginx + php-fpm	.user.ini（本文重点）

怎么判断服务器：看响应头 Server: Apache/2.x 还是 nginx；或传 .phP 只下载不执行 → 基本是 nginx + php-fpm。

二、.user.ini 是什么（原理）

.user.ini = PHP 的"目录级配置文件"（类似 .htaccess 但由 PHP 自己管）。

生效模式：CGI/FastCGI（nginx + php-fpm、Apache + php-fpm 都算）
文件名默认就是 .user.ini（php.ini 的 user_ini.filename，可改）
放在哪个目录 → 只对该目录下的 PHP 文件生效（含子目录）

关键指令：auto_prepend_file

auto_prepend_file=shell.png

效果：该目录下每个 PHP 文件被请求时，执行前都会先自动 include 指定的文件。

→ 如果指定的文件内容是你的 PHP webshell（哪怕后缀是 .png）， → 那么访问该目录里任意一个 .php（比如 index.php），都会先执行你的代码！

还有配套的 auto_append_file（执行后自动包含），用法同理。

三、.user.ini 攻击用法（完整链条）

前提

上传校验是黑名单（只挡已知危险后缀，能传任意名文件）
能上传 .user.ini（点开头 + 黑名单没挡）
上传目录里有可访问的 .php 文件（用于触发 auto_prepend_file）

步骤

① 上传 .user.ini，内容：
   auto_prepend_file=shell.png

② 上传 shell.png，内容：
   <?php @eval($_GET[1]);?>

③ 访问该目录下任意 .php（如 /upload/index.php）
   → PHP 自动先包含 shell.png → 你的 webshell 执行

④ 执行命令：
   /upload/index.php?1=system("tac ../flag.php");

为什么这样能绕过"解析不了"的问题

错误路线（.phP 大小写）	正确路线（.user.ini）
依赖"服务器把 .phP 当 PHP 解析"	依赖"PHP 主动包含 .png 文件"
服务器只认小写 `.php` → 不解析 → 只下载	auto_prepend_file 让任意后缀被当 PHP 执行
看服务器脸色 ❌	不依赖后缀，自己说了算 ✅

核心：.phP 是"骗解析器"，.user.ini 是"让 PHP 自己加载你的文件"。

四、为什么 .phP 上传成功但访问只下载

上传成功 = 过滤器只查小写"php"字符串，.phP 绕过字符串检查 ✅
访问只下载 = 服务器处理器匹配大小写敏感：
  nginx location ~ \.php$  （默认区分大小写）
  → .phP 不交给 PHP 解析 → 当普通文件 → 强制下载（Content-Disposition: attachment）

提示：Windows 服务器文件系统大小写不敏感，.phP 可能被当成 .php 执行；Linux + nginx 大小写敏感 → 只下载——这本身是"该走 .user.ini"的信号。

五、上传题判定流程（定方向）

1. 看响应头 / 传 .phP 测试 → 判断 Apache 还是 nginx+php-fpm
2. 试传 shell.php → 失败；shell.png / shell.a → 成功
   → 说明是黑名单校验（只挡已知后缀）
3. 黑名单 + 能传任意名 → 试 .user.ini（nginx+php-fpm）或 .htaccess（Apache）
4. .user.ini: auto_prepend_file=shell.png + 传 shell.png webshell
5. 访问目录里任意 .php 触发 → ?1=system(...) → flag

六、防御视角（知道原理就会防）

上传校验别用黑名单（改白名单：只允许图片/文档白名单后缀）
上传目录禁止执行 PHP（nginx 配置 location 里 fastcgi 只给白名单后缀）
禁用/改名 .user.ini：php.ini 里 user_ini.filename= 设为空或改名
上传文件名随机化，禁止点开头文件（.user.ini 这种）

记忆口诀

黑名单能传任意名，看服务器选入口：Apache 上 .htaccess，nginx 上 .user.ini；prepend 一设，png 也变 shell。

速查表持续补充，实战遇到新上传姿势随时更新。

ctfshow web152

Mon, 31 Aug 2026 20:33:25 +0800

ctfshow web152

题号：web152
难度：⭐
考点：文件上传（不严谨的后端校验）
日期：2026-8-31

题目描述

根据题意是一个“不严谨”的后端校验

解题思路

这题就不演示了，作者是真不知道这后端是校验了个啥，用151一样的步骤直接就成功了，估计是校验了content-type把

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web151

Mon, 31 Aug 2026 20:25:17 +0800

ctfshow web151

题号：web151
难度：⭐
考点：文件上传（前端验证绕过）
日期：2026-8-31

题目描述

简单的文件上传

解题思路

1.题目信息给到你说“前端验证不可靠”，说明此题是前端验证的文件上传。这里你可以试想下，如果题目没给到你，你该如何判断这是为前端验证呢？1.通过浏览器右键检查看看是否有关于验证文件信息的代码 2. 打开代理抓包后尝试上传一个错误文件，如果burp并没用抓到包浏览器也弹出来了不可以上传此类型文件，说明你上传的文件根本没用经过对方服务器端的校验而是直接在前端就完成校验了。 2.知道对方是前端校验后我们就可以先生成个后门文件，然后将其后缀php先改成正确文件后缀，如png 3.打开抓包，将上传改造后的后门文件的数据包抓住并将后缀改回php 4.访问对应路径执行后用哥斯拉尝试连接并查找flag

Payload / 关键操作

1.打开代理burp进行验证
2.通过哥斯拉生成后门文件，然后将其改成png后缀
3.改回后缀
4.找flag

复现截图

![[Pasted image 20260831201812.png|448]] 3. ![[Pasted image 20260831202100.png|552]] 4. ![[Pasted image 20260831202443.png|555]]

对应课程章节

文件上传

踩坑记录 / 复盘

无