DEXTUpload过滤不严导致任意上传文件获取webshell权限

admin

先选一个可以上传的gif图片,进行正确上传,刺探功能是否可以完整的上传
. ^4 ]( {/ [5 g3 b, ~" {$ m7 h" \5 U
上传一下,不知道传上去吗?所以我刚才在上传时候的时候运行了抓包,接下来我们看看抓包信息

2 R+ {8 B9 A- O' D, Q3 X0 qhttp给我们返回了信息,文件上传上去了,还给出了一个准确的连接地址,好吧,现在我们的刺探工作已经完成了.
' F& v! m% D2 T
(这里不必要是说的就是,这个上传肯定是限制上传asp.aspx等等等的)
) D  p2 E+ h, g& N
6 F. Z/ d" d7 U9 l6 V接下来我们用burp来进行截断上传asp文件，成功得到一个asp的webshell
( i& K9 M  I5 u

l
+ F  K; ^  f, z) Y, W1 i9 j! P& C. G
% n0 M1 n- J$ _2 I! r

9 Y' ~5 p5 l% p3 `4 g: v
5 |5 |+ F. P: w/ a( |* g

angel

撸过