Al intentar subir un fichero a una web, es posible que no permita ciertas extensiones que pueden resultar maliciosa, como php.

Extensiones similares #

• PHP: php php2 php3 php4 php5 php6 php7 phps phps pht phtm phtml pgif shtml htaccess phar inc hphp ctp module

• PHPv8 php php4 php5 phtml module inc hphp ctp

Probando mayusculas #

En ocasiones se podría utilizar las extensiones anteriores de la siguiente manera: pHp, pHP5…

Añadir caracteres especiales al final #

• file.php%20
• file.php%0a
• file.php%00
• file.php%0d%0a
• file.php/
• _file.php._
• file.
• file.php….
• file.pHp5….

Añadiendo una segunda extension y/o combinando con caracteres especiales #

• file.png.php
• file.png.pHp5
• file.php#.png
• file.php%00.png
• file.php\x00.png
• file.php%0a.png
• file.php%0d%0a.png
• file.phpJunk123png

Manipulacion content-type #

Al interceptar una petición de file upload con burpsuite, en ocasiones la validación se hace en base al content-type que se puede modificar en la petición.

![[Obfuscation - AV Evasion#Exiftool]]