当前位置：首页 > web >正文

【DVWA系列】——File Upload——low详细教程（webshell工具冰蝎）

web 2025/7/14 8:36:15

本文仅用于技术研究，禁止用于非法用途。
Author:枷锁

文章目录

一、环境准备
二、漏洞利用步骤
- 1. 上传冰蝎WebShell
- 2. 冰蝎连接WebShell
三、避坑指南
四、防御建议（开发者视角）
总结

以下是 DVWA File Upload (Low级别) 配合冰蝎（Behinder）的完整实战教程，涵盖环境配置、漏洞原理、WebShell上传及冰蝎连接全流程，附带避坑指南：

一、环境准备

DVWA配置
- 确保DVWA安全级别设为Low（访问 http://你的IP/dvwa/security.php 设置）。
Linux环境检查上传目录权限（避免报错 Folder is not writable）：
```
chmod 777 /var/www/html/dvwa/hackable/uploads  # Linux
```
Windows环境需手动设置uploads文件夹完全控制权限。
冰蝎工具准备
- 下载冰蝎客户端：
  官网地址：https://github.com/rebeyond/Behinder/releases（推荐v3.0，兼容Java 8）。
- 安装JDK 8并配置环境变量（冰蝎3运行必需）。
  双击打不开的情况解决方案：
  定位到冰蝎目录结构下，右击空白出——>在终端中打开——>输入java -jar Bebinder.jar
  避免忘记，可以做一个简单的标注。

二、漏洞利用步骤

1. 上传冰蝎WebShell

获取WebShell文件：
解压冰蝎安装包 → 进入 server 文件夹 → 复制 php 目录下的 shell.php（默认密码 rebeyond）。
上传至DVWA：
- 访问DVWA的 File Upload 模块 → 点击 Browse 选择 shell.php → 点击 Upload。
- 成功提示：
```
/dvwa/hackable/uploads/shell.php succesfully uploaded!
```
- 复制文件路径：http://你的IP/dvwa/hackable/uploads/shell.php。

2. 冰蝎连接WebShell

启动冰蝎：
- 运行 Behinder.jar → 右键空白处 → 选择 新增。
配置连接：
- URL：粘贴复制的 shell.php 路径（如 http://192.168.1.100/dvwa/hackable/uploads/shell.php）。
- 密码：输入 rebeyond（默认密码，位于WebShell源码中）。
- 脚本类型：选择 PHP → 点击 保存。
连接验证：
- 双击新增的记录 → 状态显示 已连接 → 进入管理界面（可操作文件、命令、数据库等）。

三、避坑指南

上传失败处理：
- 报错 Your image was not uploaded：检查 uploads 目录权限（必须可写）。
- 冰蝎连接超时：关闭防火墙或放行冰蝎流量（Windows Defender/iptables）。
冰蝎连接问题：
- 密码错误：用文本编辑器打开 shell.php，确认 $key 的值（默认 e45e329feb5d925b）。
- Java版本冲突：卸载高版本JDK，确保系统仅安装 JDK 8。

四、防御建议（开发者视角）

禁用危险函数：在 php.ini 中禁用 system、eval 等函数。
文件类型白名单：仅允许 .jpg, .png 等非可执行格式。
重命名文件：对上传文件使用随机文件名（如 md5(原文件名 + 时间戳).jpg）。
存储隔离：将上传目录设为不可解析（如Nginx配置 location ~* /uploads/.*\.php$ { deny all; }）。

总结

漏洞本质：Low级别无任何过滤 → 直接上传.php即可获取服务器权限。
冰蝎优势：流量加密（AES）绕过WAF检测，功能远超传统菜刀。
实战意义：理解无防护场景的危害性，强化“代码校验 + 存储隔离”的防御意识。

宇宙级免责声明
🚨 重要声明：本文仅供合法授权下的安全研究与教育目的！🚨
1.合法授权：本文所述技术仅适用于已获得明确书面授权的目标或自己的靶场内系统。未经授权的渗透测试、漏洞扫描或暴力破解行为均属违法，可能导致法律后果（包括但不限于刑事指控、民事诉讼及巨额赔偿）。
2.道德约束：黑客精神的核心是建设而非破坏。请确保你的行为符合道德规范，仅用于提升系统安全性，而非恶意入侵、数据窃取或服务干扰。
3.风险自担：使用本文所述工具和技术时，你需自行承担所有风险。作者及发布平台不对任何滥用、误用或由此引发的法律问题负责。
4.合规性：确保你的测试符合当地及国际法律法规（如《计算机欺诈与滥用法案》（CFAA）、《通用数据保护条例》（GDPR）等）。必要时，咨询法律顾问。
5.最小影响原则：测试过程中应避免对目标系统造成破坏或服务中断。建议在非生产环境或沙箱环境中进行演练。
6.数据保护：不得访问、存储或泄露任何未授权的用户数据。如意外获取敏感信息，应立即报告相关方并删除。
7.免责范围：作者、平台及关联方明确拒绝承担因读者行为导致的任何直接、间接、附带或惩罚性损害责任。