.htaccess Upload — RCE через перезапись конфигурации Apache

# Небезопасная загрузка файлов: захват конфигурации каталога веб-сервера ## Сценарий Вы проводите аудит портала творческих портфолио «Мольберт» (нативный PHP на Apache): художники загружают работы, файлы оседают в публичной директории веб-корня. Перед подключением выплат авторам заказчик потребовал аудит: ваш коллега заметил, что загрузчик сохраняет файл под тем именем, которое прислал клиент, и не отбрасывает «скрытые» файлы, начинающиеся с точки. Разбираться поручили вам. ## Цель 1. Изучите загрузчик: кто выбирает имя сохраняемого файла и проходят ли имена, начинающиеся с точки. 2. Загрузите в директорию загрузок локальный файл конфигурации веб-сервера, назначающий PHP-обработчик безобидному расширению. 3. Второй загрузкой доставьте серверный код с этим расширением, добейтесь его исполнения и прочитайте флаг из окружения веб-сервера. ## Теория Apache применяет каскад конфигураций: глобальные правила может переопределять локальный файл в самом каталоге — если администратор разрешил оверрайды. Такой файл читается при каждом запросе к каталогу, и среди его директив есть привязка обработчиков к расширениям: можно объявить, что файлы с «картиночным» расширением обязаны исполняться интерпретатором PHP. **Уязвимый паттерн:** ```php $filename = basename($_FILES['file']['name']); $destPath = $uploadsDir . '/' . $filename; move_uploaded_file($file['tmp_name'], $destPath); ``` Имя файла целиком приходит от клиента. Обёртка от обхода каталогов снимает пути, но не трогает точечные имена — конфигурационный файл веб-сервера попадает на диск под своим именем ровно туда, где Apache его прочтёт. Атака — двухходовка: сначала конфиг, объявляющий расширение исполняемым, затем код с этим расширением; обычный GET-запрос к нему превращается в исполнение серверного кода с правами процесса веб-сервера. ## Точка входа атаки * **Форма загрузки:** `POST /upload` (страница `/upload`, поле `file`, multipart) — список загруженных файлов отображается там же. * **Раздача файлов:** `GET /uploads/<имя файла>` — директорию обслуживает Apache напрямую. `GET /login` — вход под обычным пользователем `demo` / `demo`. Флаг — строка `flag{...}` из окружения процесса веб-сервера: серверный код, исполнившийся из загруженного файла, читает её и возвращает в ответе.