突破JS本地驗證解決辦法-js教程-PHP中文網

首頁

web前端

js教程

突破JS本地驗證解決辦法

小云云

Mar 13, 2018 pm 03:02 PM

javascript辦法解決

在上傳漏洞中我們常碰到的一種js驗證比較煩人，對於網站是否啟用的js驗證的判斷方法，無法就是利用它的判斷速度來判斷，因為js驗證用於客戶端本地的驗證，所以你如果上傳一個不正確的文件格式，它的判斷會很快就會顯示出來你上傳的文件類型不正確，那我們就能判斷出該網站是使用的js驗證。

js驗證繞過示範程式碼：

<?php
/**
 * Created by cracer
 * Date: 15-10-7
 * Time: 下午1:19
 * Name: upload1.php
 * cracer：http://www.cracer.com/
 */
//文件上传漏洞演示脚本之js验证
$uploaddir = &#39;uploads/&#39;;
if (isset($_POST[&#39;submit&#39;])) {
 if (file_exists($uploaddir)) {
 if (move_uploaded_file($_FILES[&#39;upfile&#39;][&#39;tmp_name&#39;], $uploaddir . &#39;/&#39; . $_FILES[&#39;upfile&#39;][&#39;name&#39;])) {
 echo &#39;文件上传成功，保存于：&#39; . $uploaddir . $_FILES[&#39;upfile&#39;][&#39;name&#39;] . "\n";
 }
 } else {
 exit($uploaddir . &#39;文件夹不存在,请手工创建！&#39;);
 }
 //print_r($_FILES);
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
 "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
 <meta http-equiv="Content-Type" content="text/html;charset=gbk"/>
 <meta http-equiv="content-language" content="zh-CN"/>
 <title>文件上传漏洞演示脚本--JS验证实例</title>
 <script type="text/javascript">
 function checkFile() {
 var file = document.getElementsByName(&#39;upfile&#39;)[0].value;
 if (file == null || file == "") {
 alert("你还没有选择任何文件，不能上传!");
 return false;
 }
 //定义允许上传的文件类型
 var allow_ext = ".jpg|.jpeg|.png|.gif|.bmp|";
 //提取上传文件的类型
 var ext_name = file.substring(file.lastIndexOf("."));
 //alert(ext_name);
 //alert(ext_name + "|");
 //判断上传文件类型是否允许上传
 if (allow_ext.indexOf(ext_name + "|") == -1) {
 var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
 alert(errMsg);
 return false;
 }
 }
 </script>
<body>
<h3 id="文件上传漏洞演示脚本-JS验证实例">文件上传漏洞演示脚本--JS验证实例</h3>
<form action="" method="post" enctype="multipart/form-data" name="upload" onsubmit="return checkFile()">
 <input type="hidden" name="MAX_FILE_SIZE" value="突破JS本地驗證解決辦法04800"/>
 请选择要上传的文件：<input type="file" name="upfile"/>
 <input type="submit" name="submit" value="上传"/>
</form>
</body>
</html>

注意：資料夾路徑與檔案名稱最好是英文，否則可能會報錯。

突破JS本地驗證解決辦法

程式碼儲存為upload.php即可，然後還有在同級目錄下建立個uploads資料夾，用來存放上傳的檔案。

js驗證繞過方法

JS驗證是最好繞過，好像有句話是基於客戶端的驗證都是不安全的，這裡我們有多種繞過方法。

如何判斷檔案上傳是基於客戶端JS驗證？

方法也比較多，例如直接查看網站原始檔、使用抓包工具查看客戶端是否向伺服器提交了資料包，如果沒有則是js驗證、隨便上傳一個文件，看返回結果。

突破JS本地驗證解決辦法

如上圖所示，JS驗證的會在你提交了上傳檔案以後，直接彈出一個提示，並終止檔案向伺服器提交。繞過方法如下：

A、我們直接刪除程式碼中onsubmit事件中關於檔案上傳時驗證上傳檔案的相關程式碼即可。

突破JS本地驗證解決辦法

ok我們用firebug去掉後

突破JS本地驗證解決辦法

# #B、直接更改檔案上傳JS程式碼中允許上傳的檔案副檔名你想要上傳的檔案副檔名。

突破JS本地驗證解決辦法

ok以下兩種方法運算也比較簡單我這裡就不示範了，有為什麼問題QQ上問我就可以了

C、使用本機提交表單即可，作對應的變更。

D、使用burpsuite或是fiddle等代理工具提交，本機檔案先改為jpg，上傳時攔截，再把檔案副檔名改為asp即可。

以上4種方法，大家可以自由使用，都可以繞過本地JS驗證。

相關推薦：

關於js驗證的相關文章總結推薦

js驗證電話號碼手機號碼的正規表達式

js驗證身分證資訊是否合法

以上是突破JS本地驗證解決辦法的詳細內容。更多資訊請關注PHP中文網其他相關文章！

陳述

本文內容由網友自願投稿，版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容，請聯絡admin@php.cn

Python和JavaScript的未來：趨勢和預測Apr 27, 2025 am 12:21 AM

Python和JavaScript的未來趨勢包括：1.Python將鞏固在科學計算和AI領域的地位，2.JavaScript將推動Web技術發展，3.跨平台開發將成為熱門，4.性能優化將是重點。兩者都將繼續在各自領域擴展應用場景，並在性能上有更多突破。

Python vs. JavaScript：開發環境和工具Apr 26, 2025 am 12:09 AM

Python和JavaScript在開發環境上的選擇都很重要。 1)Python的開發環境包括PyCharm、JupyterNotebook和Anaconda，適合數據科學和快速原型開發。 2)JavaScript的開發環境包括Node.js、VSCode和Webpack，適用於前端和後端開發。根據項目需求選擇合適的工具可以提高開發效率和項目成功率。

JavaScript是用C編寫的嗎？檢查證據Apr 25, 2025 am 12:15 AM

是的，JavaScript的引擎核心是用C語言編寫的。 1）C語言提供了高效性能和底層控制，適合JavaScript引擎的開發。 2）以V8引擎為例，其核心用C 編寫，結合了C的效率和麵向對象特性。 3）JavaScript引擎的工作原理包括解析、編譯和執行，C語言在這些過程中發揮關鍵作用。

JavaScript的角色：使網絡交互和動態Apr 24, 2025 am 12:12 AM

JavaScript是現代網站的核心，因為它增強了網頁的交互性和動態性。 1)它允許在不刷新頁面的情況下改變內容，2)通過DOMAPI操作網頁，3)支持複雜的交互效果如動畫和拖放，4)優化性能和最佳實踐提高用戶體驗。

C和JavaScript：連接解釋Apr 23, 2025 am 12:07 AM

C 和JavaScript通過WebAssembly實現互操作性。 1）C 代碼編譯成WebAssembly模塊，引入到JavaScript環境中，增強計算能力。 2）在遊戲開發中，C 處理物理引擎和圖形渲染，JavaScript負責遊戲邏輯和用戶界面。

從網站到應用程序：JavaScript的不同應用Apr 22, 2025 am 12:02 AM

JavaScript在網站、移動應用、桌面應用和服務器端編程中均有廣泛應用。 1)在網站開發中，JavaScript與HTML、CSS一起操作DOM，實現動態效果，並支持如jQuery、React等框架。 2)通過ReactNative和Ionic，JavaScript用於開發跨平台移動應用。 3)Electron框架使JavaScript能構建桌面應用。 4)Node.js讓JavaScript在服務器端運行，支持高並發請求。

Python vs. JavaScript：比較用例和應用程序Apr 21, 2025 am 12:01 AM

Python更適合數據科學和自動化，JavaScript更適合前端和全棧開發。 1.Python在數據科學和機器學習中表現出色，使用NumPy、Pandas等庫進行數據處理和建模。 2.Python在自動化和腳本編寫方面簡潔高效。 3.JavaScript在前端開發中不可或缺，用於構建動態網頁和單頁面應用。 4.JavaScript通過Node.js在後端開發中發揮作用，支持全棧開發。