【渗透记录】某棋牌游戏平台的文件上传绕过与提权

一、故事背景

这次对某棋牌游戏平台进行渗透测试。目标系统一款集牛牛、炸金花、德州扑克于一体的棋牌游戏平台，注册用户数十万，日均在线数千人。客户重点关注文件上传功能，因为该功能是攻击者最常见的 getshell 入口。我在拿到授权后，系统性地测试了站点的所有文件上传点，包括头像上传、附件上传、图片上传等。文件上传漏洞的利用关键，在于找到能绕过过滤限制、且上传后能被服务器执行的方法。

二、信息收集

信息收集阶段，我先梳理了所有上传点。头像上传接口 /upload/avatar 是最容易接触的，注册用户即可使用。我先上传一个正常的 png 图片，确认上传功能正常，然后抓包分析请求结构。发现后端对上传文件做了校验：拒绝 php、jsp、asp 等危险扩展名，这是一个黑名单校验。黑名单校验的问题是，总有绕过的方法。

三、漏洞发现

我开始尝试绕过黑名单。常见的绕过手法包括：使用 .phtml、.pht、.php5、.php3 等可被 PHP 解析的替代扩展名；使用大小写混合如 .pHp；使用双扩展名如 shell.php.jpg；使用空格或点号结尾如 shell.php. 。经过逐一尝试，我发现 .phtml 扩展名没有被黑名单覆盖，上传成功后服务器会将其作为 PHP 执行。

四、漏洞利用

我上传了一个 .phtml 格式的一句话木马，成功获取了 webshell。执行 whoami 发现当前是 www-data 低权限用户。为了提升权限，我先用 uname -a 查看了内核版本，发现存在脏牛（Dirty COW）提权漏洞。我下载了脏牛的利用脚本并编译，成功将权限提升到 root。至此，我完全控制了这台服务器。

五、权限获取

提权成功后，我清理了测试过程中产生的临时文件和 webshell，保留了审计日志。我整理了完整的渗透报告，包括文件上传黑名单绕过的具体方法、webshell 的利用过程、脏牛提权的步骤，以及修复建议。客户对报告非常重视，立即组织开发团队进行整改。

六、复盘总结

这次渗透说明，文件上传防护不能依赖黑名单。修复建议：第一，改用白名单校验，只允许特定扩展名；第二，上传的文件重命名存储，使用随机文件名，禁止保留用户可控的文件名；第三，上传目录设置为禁止执行脚本（如 nginx 中配置 php 执行白名单）；第四，对上传文件做内容检测，防止伪装成图片的脚本；第五，及时更新系统补丁，防止提权漏洞被利用。

本文为授权安全评估实录，目标均已脱敏（IP 为文档保留段），仅用于安全研究与学习交流。