• [MRCTF2020]你传你🐎呢 .htaccess文件配合文件上传漏洞


    1.  看到这个页面就知道作者是个老抽象人了,尝试将之前用过的几个方法上传木马

    普通的马、抓包后更改文件类型的马、javascript结合GIF欺骗的马都试过,无法上传。

    2.  但是如果是jpg为文件名结尾的马都可以上传,只是上传后jpg文件无法使用。

    这里使用Apache服务器配置文件.htaccess来更改上传后jpg文件的格式,改成php使木马能发挥作用。 

    .htaccess文件:

       全称是Hypertext Access,概述来说,htaccess文件是Apache服务器中的一个配置文件,它负责相关目录下的网页配置。通过htaccess文件,可以帮我们实现:网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。

    3.  在上传时需要注意抓包更改文件格式为image/jpeg

     这里不用GIF欺骗也可

    4.  上传完图片马和配置文件后,用题目提示的url地址连上蚁剑,找到flag

  • 相关阅读:
    hyperledger fabric相关记录
    prometheus相关文章
    zookeeper和kafka的使用
    ubuntu1604 golang环境
    haproxy keepalived和nodejsv9的容器镜像所需文件
    图片相似算法
    oracle lpad rpad
    网站资料
    Win7 wifi热点设置
    Oracle存储过程编写经验和优化措施
  • 原文地址:https://www.cnblogs.com/cmredkulaa/p/14521304.html
Copyright © 2020-2023  润新知