博客探讨了如何通过构造GIF89a头部伪造文件、修改后缀上传限制，成功上传.htaccess和.user.ini文件，揭示了文件内容、类型和后缀的检测策略。作者揭示了在上传过程中的技巧和安全漏洞挑战。
首页是一个文件上传点，检查元素
没有隐藏的信息。扫描目录也没有发现隐藏目录
随便上传一个图片马，给了我们一些被过滤的字符
并且，当我修改图片后缀为php文件时
报错为非法后缀
总结下这里的问题
文件内容检测，类型检测。后缀检测
一是它会检查文件内容，也就是说我们得要添加GIF89a来伪造一个文件头，这个还可以。
我们先去构造一下
修改为png文件上传
后面再上传.htacess
上传成功
上传.htacess文件
也被过滤了。。。
查资料去吧
构造.user.ini文件
php1.png是我准备的图片马
上传成功
再上传图片木马
访问过去没什么问题
蚁剑连接
扫一扫
6660
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
