前言

.user.ini文件上传绕过和.htaccess文件上传绕过方式相似，都是上传一个攻击者自定义的配置文件导致服务器对图片文件的错误处理而导致的文件执行，但是.user.ini使用更加广泛，只要是以fastcgi运行的php都可以用这个方法，但是它的局限性在于上传的.user.ini文件目录必须存在可执行的php文件。

漏洞原理

.user.ini文件中的auto_append_file和auto_prepend_file两个配置项指定的文件都会被当前目录的可执行的PHP文件所包含，类似与在执行当前目录的PHP文件前或后使用require()函数，包含配置项指定的文件。

漏洞复现

这里借助XCTF的easyupload题目作漏洞复现：

打开网址为一个文件上传页面：

这个上传页面有4个防范手段，分别是：检查文件中是否有php字符串、黑名单（PHP、htaccess）、检查文件头部信息、文件的MIME值

1.我们上传一个自定义的.user.ini文件，内容为auto_prepend_file=要包含的文件，再在头部加上图片文件头GIF89a，并用burp抓包修改文件的MIME值：

2.我们上传一个符合上传的规则的含一句话木马的图片文件：

3.使用蚁剑连接/uploads/index.php文件