CTFHub技能树-Web-文件上传-前端验证

目录
  • 题目
  • 思路
  • 工具
  • 解法
    • 解法一 修改post处的代码
    • 解法二 用谷歌浏览器禁用js
    • 解法三 bp抓包上传,改后缀名即可

如果你没有在 cnblog 作者为 carr0t2 中看到此文章,建议访问 原网页以获取更好的排版,图片体验

题目

CTFHub技能树-Web-文件上传-前端验证_第1张图片

思路

  • 上传一句话木马,获取shell
  • 既然题目讲了前端上传,自然想到抓包上传

工具

1、weevely,kali自带,可以生成一句话木马
2、中国蚁剑 https://github.com/AntSwordProject/antSword
windows下图形化的软件,下载安装都容易,升级版的中国菜刀

解法

解法一 修改post处的代码

直接删除掉方框内内容(我的谷歌浏览器不行,火狐可以。有谷歌可以的可以下面留言评论下)

CTFHub技能树-Web-文件上传-前端验证_第2张图片

解法二 用谷歌浏览器禁用js

CTFHub技能树-Web-文件上传-前端验证_第3张图片
CTFHub技能树-Web-文件上传-前端验证_第4张图片

解法三 bp抓包上传,改后缀名即可

先改名为.jpg,bp抓包改为后缀.php
CTFHub技能树-Web-文件上传-前端验证_第5张图片
uploading-image-2401.png

后面做法就一样了,中国蚁剑连接,就有flag了

CTFHub技能树-Web-文件上传-前端验证_第6张图片

不知为何文件管理里打不开了,所以只能从命令行看,实际也差不多

你可能感兴趣的:(CTFHub技能树-Web-文件上传-前端验证)