weixin_62512865的博客

访问靶机地址 http://192.168.187.135:8080/manager/html Tomcat 默认页面登录管理就在 manager/html 下，使用弱口令 tomcat/tomcat 直接登录到后台。由于自动解压后是一个文件夹，所以木马的位置应是shell_uni/shell_uni.jsp。上传后可以进入看到上传的war包。使用docker启动靶场环境。找到上传 war 包的上传点。上传部署制作好的 war 包。首先进入该漏洞的文件目录。

刷新页面，使用burp进行抓取数据包，将其发送到repeater中，改请求类型为 PUT 类型，并给上传的文件进行重命名操作（这里命名为 1.jsp，上传的文件为一句话木马无回显执行系统命令）首先进入该漏洞的文件目录下，并使用docker启动靶场环境。访问靶场：192.168.187.135:8080。使用冰蝎去尝试连接，连接成功。查看靶场的端口开放情况。

Apache 默认一个文件可以有多个以点分割的后缀，当后边的后缀无法识别，则继续向前识别。假设请求一个 1.php.aa.fdf.fdfdfd.dff 无法识别，则向前开始识别，发现后缀是 php，交给 php 处理这个文件。最后一步交给了 php 来处理这个文件，但是 php 也不认识.aa 的后缀，不对其解析。

fastcgi 在处理’.php’文件时发现文件并不存在,这时 php.ini 配置文件中cgi.fix_pathinfo=1 发挥作用,这项配置用于修复路径,如果当前路径不存在则采用上层路径(1)由于 nginx.conf的配置导致 nginx把以’.php”结尾的文件交给 fastcgi 处理,为此可以构造http://ip/uploadfiles/test.png/.php(ur!