upload-labs-master

### upload-labs-master 项目介绍

upload-labs-master 是一个用于学习和测试文件上传漏洞的靶场环境。此项目通过提供一系列不同级别的挑战来帮助安全研究人员理解和掌握文件上传过程中可能存在的各种安全隐患。

#### 安装与配置

为了设置并运行该靶场，在本地环境中需完成如下操作：

- 打开 phpStudy 或其他 PHP 运行环境；
- 将 `upload-labs` 压缩包解压至 Web 服务根目录（例如 www 文件夹），并将其重命名为更简洁的名字以便管理[^2]；

#### 使用说明

当准备就绪后，可以通过访问相应的 URL 来开始尝试各个关卡的任务。每一关都设计有不同的防护机制或绕过技巧等待探索者去发现如何突破这些限制实现恶意脚本的上传执行。

对于第三关 (Pass-03)，存在一种特定的方法可以用来解决这个问题：利用 HTTP 请求中的 Content-Type 字段欺骗服务器认为所上传的是图像而非可执行代码。具体做法是在使用工具如 Burp Suite 抓取请求数据包之后，将原本应该是应用程序/PHP 的 MIME 类型改为 image/png 或类似的合法图片格式字符串[^1]。

curl -X POST \
-H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW" \
-F "file=@shell.php;filename=image.png" http://localhost/upload/?action=upload

这段命令展示了怎样用 curl 工具模拟表单提交过程，并且巧妙地改变了文件的实际名称以规避某些基于文件扩展名的安全检测措施。