%00截斷

介紹：

0x00,%00,/00 在url中 %00 表示ascll碼中的 0 ，而ascii中0作為特殊字元保留，表示字元串結束，所以當url中出現%00時就會認為讀取已結束。但是所謂的if攔截仍會讀取後面的尾碼達到繞過白名單的效果。

當前版本環境：

PHP版本低於5.4.24，或者PHP版本在5.5.8到5.6.0之間，且GPC關閉(php.in中"magic.quotes gpc"選項設置為0ff) ，則可能存在PHP文件上傳時被00截斷的問題，此後的PHP版本中，該問題已經得到修複，同時不再需要關閉GPC

前端界面：

源碼：

<?php
// 允許上傳的圖片尾碼
$allowedExts = array("gif", "jpeg", "jpg", "png");
$temp = explode(".", $_FILES["file"]["name"]);
echo $_FILES["file"]["size"];
$extension = end($temp);     // 獲取文件尾碼名

var_dump($extension);
var_dump($_FILES["file"]["name"]);


if ((($_FILES["file"]["type"] == "image/gif")
|| ($_FILES["file"]["type"] == "image/jpeg")
|| ($_FILES["file"]["type"] == "image/jpg")
|| ($_FILES["file"]["type"] == "image/pjpeg")
|| ($_FILES["file"]["type"] == "image/x-png")
|| ($_FILES["file"]["type"] == "image/png"))
&& ($_FILES["file"]["size"] < 204800000)
&& in_array($extension, $allowedExts))
{
        if ($_FILES["file"]["error"] > 0)
        {
                echo "錯誤：: " . $_FILES["file"]["error"] . "<br>";
        }
        else
        {
                echo "上傳文件名: " . $_FILES["file"]["name"] . "<br>";
                echo "文件類型: " . $_FILES["file"]["type"] . "<br>";
                echo "文件大小: " . ($_FILES["file"]["size"] / 1024) . " kB<br>";
                echo "文件臨時存儲的位置: " . $_FILES["file"]["tmp_name"] . "<br>";

                // 判斷當期目錄下的 upload 目錄是否存在該文件
                // 如果沒有 upload 目錄，你需要創建它，upload 目錄許可權為 777
                if (file_exists("upload/" . $_FILES["file"]["name"]))
                {
                        echo $_FILES["file"]["name"] . " 文件已經存在。 ";
                }
                else
                {
                        // 如果 upload 目錄不存在該文件則將文件上傳到 upload 目錄下
                        move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
                        echo "文件存儲在: " . "upload/" . $_FILES["file"]["name"];
                }
        }
}
else
{
        echo "非法的文件格式";
}
?>

源代碼中：

正常%00截斷上傳流程：

獲取的尾碼是.php所以繞不過第一個if白名單的檢測。

更改之後的代碼：

<?php
// 允許上傳的圖片後
$savepath=$_GET["savepath"];
$allowedExts = array("gif", "jpeg", "jpg", "png");
$temp = explode(".", $savepath);
echo $_FILES["file"]["size"];
var_dump($temp);
$extension = end($temp);     // 獲取文件尾碼名
echo $extension;
if ((($_FILES["file"]["type"] == "image/gif")
|| ($_FILES["file"]["type"] == "image/jpeg")
|| ($_FILES["file"]["type"] == "image/jpg")
|| ($_FILES["file"]["type"] == "image/pjpeg")
|| ($_FILES["file"]["type"] == "image/x-png")
|| ($_FILES["file"]["type"] == "image/png"))
&& ($_FILES["file"]["size"] < 204800000)
&& in_array($extension, $allowedExts))
{
        if ($_FILES["file"]["error"] > 0)
        {
                echo "錯誤：: " . $_FILES["file"]["error"] . "<br>";
        }
        else
        {
                echo "上傳文件名: " . $_FILES["file"]["name"] . "<br>";
                echo "文件類型: " . $_FILES["file"]["type"] . "<br>";
                echo "文件大小: " . ($_FILES["file"]["size"] / 1024) . " kB<br>";
                echo "文件臨時存儲的位置: " . $_FILES["file"]["tmp_name"] . "<br>";

                // 判斷當期目錄下的 upload 目錄是否存在該文件
                // 如果沒有 upload 目錄，你需要創建它，upload 目錄許可權為 777
                if (file_exists("upload/" . $_FILES["file"]["name"]))
                {
                        echo $_FILES["file"]["name"] . " 文件已經存在。 ";
                }
                else
                {
                        // 如果 upload 目錄不存在該文件則將文件上傳到 upload 目錄下
                        move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $savepath);
                        echo "文件存儲在: " . "upload/" . $savepath;
                }
        }
}
else
{
        echo "非法的文件格式";
}
?>

使用$savepathPOST傳遞文件名稱參數，$extension = end($temp)=123.php%00.jpg=jpg,從而繞過白名單的檢測，最後的move_uploaded_file保存$_FILES["file"]["tmp_name"]使用截斷繞過避免生成生成靜態文件123.php%00.jpg。

結果：

參考：

http://www.admintony.com/關於上傳中的00截斷分析.html