当前位置：首页 > news >正文

文件上传漏洞实验1（PortSwigger_Labs）

news 2026/7/6 5:11:08

文件上传漏洞实验1（PortSwigger Labs）

今天的实验开始了，难度自然要再上一个台阶才对，甚至要推倒之前几个实验中已知的所有相关知识。话不多说，直接干活了。

然后修改它的扩展名为.php再上传，发现同样成功了。

这说明扩展名与否并不是服务器验证的关键，所以之前通过扩展名绕过的方法走不通了。这是什么原因呢？服务器验证的不再是扩展名，而是文件本身。而服务器验证文件本身的方法是通过文件头标识。这就好比我们的身份证护照一样，文件头标识也是文件的“身份证”，是一段固定的字节序列，位于文件最前端，具有高度可靠性。常见的文件头标识有：

这样说可能没什么印象，我用一个十六进制编辑器（010 Editor）打开一个.png图片，大家就明白是怎么回事了。

看到了吗？这就是“文件头标识”，服务器通过检查这些固定的字节序列来验证它是不是一张图片。

既然这样，那我们就要另辟蹊径了——制作图片马。既然它不管扩展名，那我们就制作一个“双重身份”的文件，通俗点说就是给这个家伙兜里揣点其他东西（如果你把它比作海关查验，可能更好理解）。
具体做法就是给这张PNG图片里加入一句用PHP写的代码，然后修改扩展名为.php，这样一来，从文件头标识看它还是一张图片，但因为文件内容中存在php代码，保存为.php后，Web服务器会根据扩展名交给PHP解析，从而执行PHP标签内的代码。
制作图片马的方法也不是唯一的，这里我介绍两种，一个是用echo直接添加PHP代码，一个是用exiftool工具把PHP写在图片元数据（Comment注释字段）中，其他方法比如用python写个脚本也行，但是没必要，这里就不赘述了。

方法一：（1.php上传，新窗口打开的方法和之前实验一样）

方法二：

这里我们还可以用exiftool -a -u -g1 1.php查看元数据信息。这里其实没必要用参数，写到这里只是为了方便以后使用。这个参数组合非常实用，它会把隐藏在文件里最完整的元数据都挖出来，并以清晰的方式分门别类地展示，很适合用来做全面的检查。

如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！

这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |***CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 *（安全链接，放心点击）

深度：本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
广度：面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
实战性：知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。