实训第四天

  1. XSS靶场第3-13关练习
  2. 认识和理解HTTP协议攻防相关内容
  3. upload-labs 1-2
    pass1：前端js验证，只允许上传图片类型文件

绕过方法：上传改成图片后缀的php文件，burpsuite截包，重新修改文件后缀为php，上传后输入对应网址弹计算器
被阻拦：
stopped.png

编写shell：
shell.png

截包修改：
burp.png

URL执行命令弹计算器

upload-result.png

pass2：在服务端对数据包的MIME进行检查

做法同pass1，只需改文件名即可

最后修改：2022 年 07 月 16 日
© 允许规范转载
如果觉得我的文章对你有用，请随意赞赏