DEXTUpload过滤不严导致任意上传文件获取webshell权限

admin

先选一个可以上传的gif图片,进行正确上传,刺探功能是否可以完整的上传
( a$ x7 r+ Y% F- H9 _
# l  t4 Q6 p2 F4 N8 U上传一下,不知道传上去吗?所以我刚才在上传时候的时候运行了抓包,接下来我们看看抓包信息
% a# Q/ S3 ~+ U' V( w
http给我们返回了信息,文件上传上去了,还给出了一个准确的连接地址,好吧,现在我们的刺探工作已经完成了.
$ n1 y* G4 C& ^- X/ p. s5 u/ y
6 U+ Y' m- Q2 y' G(这里不必要是说的就是,这个上传肯定是限制上传asp.aspx等等等的)
( R! }/ v' `1 }1 B: X. C
$ E4 ]* b2 ^4 \. \+ ?. F% U. `接下来我们用burp来进行截断上传asp文件，成功得到一个asp的webshell

5 a, n2 A8 A" e6 e. D
9 {: ~3 y3 X9 k& S3 A6 t: _0 ml
/ F& a- X8 x7 m2 B
" }2 y5 n2 |3 b
- l$ F6 \0 i' A4 o
$ g. S1 Q9 b9 M" m: [5 G
  {" |# S$ H4 _& D

angel

撸过