web刷题记录（6）

题

[GXYCTF 2019]BabyUpload

文件上传，先传个普通的一句话木马试试 ，发现提示被限制了，文件后缀不可以有ph，那么php3,php5,phtml等后缀自然无法使用了

        那这里的思路我觉得应该是，先判断到底是文件内容被黑名单了，还是文件后缀被黑名单了，一句话来说就是它审核的是文件类型还是文件内容，所以这里选择传个jpg的图片马看看

文件是传上去了，但是文件的木马并没有被传上去，或者说木马的内容没有被执行

那么这里考虑应该就是，对文件的内容进行了判断，那么这里的思路就是再上个.htaccess文件或者.ini文件让图片马的内容被执行

说明上传类型有问题，抓包更改，因为图片形式可以传成功，所以就改成图片形式

 上传成功了，然后再上传图片马，获得了路径

访问看看路径

被成功执行，那现在直接用蚁剑连接

在根目录里面找到了flag文件

拿到了flag

[HNCTF 2022 Week1]easy_upload

还是先上传一个纯木马，看看限制条件

访问

蚁剑连接，虚拟终端，命令cat /f*

得到了flag

[SWPUCTF 2022 新生赛]ez_rce

看看源码

源码里面也没有东西，这里我的思路呢是用dirsearch或者御剑扫扫看，看看有没有什么有用的文件

根据经验这里先选择看看，robots.txt文件，看看有没有什么有用的信息