CTFHub技能树-Web-文件上传-MIME验证

如果你没有在 cnblog 作者为 carr0t2 中看到此文章，建议访问 原网页以获取更好的排版，图片体验

题目

思路

• 上传一句话木马，获取shell
• 说是MIME，那就看看MIME是啥
  推荐阅读 https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Basics_of_HTTP/MIME_types

MIME (Multipurpose Internet Mail Extensions) 是描述消息内容类型的因特网标准。
MIME 消息能包含文本、图像、音频、视频以及其他应用程序专用的数据。

浏览器通常使用MIME类型（而不是文件扩展名）来确定如何处理URL，因此Web服务器在响应头中添加正确的MIME类型非常重要。如果配置不正确，浏览器可能会曲解文件内容，网站将无法正常工作，并且下载的文件也会被错误处理。

工具

1、中国蚁剑 https://github.com/AntSwordProject/antSword
windows下图形化的软件，下载安装都容易，升级版的中国菜刀

解法

修改Content-Type
bp抓包上传，将Content-Type改成Content-Type: image/jpeg

后面做法就一样了，中国蚁剑连接，就有flag了

如果遇到这里的flag打不开了，那你很大可能是没有删除掉之前的上传主机数据，直接修改网址造成的，也算是一个小bug吧，重新添加记录就可以直接打开了

参考

https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Basics_of_HTTP/MIME_types