DEXTUpload过滤不严导致任意上传文件获取webshell权限

admin

先选一个可以上传的gif图片,进行正确上传,刺探功能是否可以完整的上传

上传一下,不知道传上去吗?所以我刚才在上传时候的时候运行了抓包,接下来我们看看抓包信息
) K& _0 [4 E  x' _
' ]1 T$ w+ }2 ]http给我们返回了信息,文件上传上去了,还给出了一个准确的连接地址,好吧,现在我们的刺探工作已经完成了.
$ @0 p7 \0 r# [9 H2 ~
: A# d; M# a$ ]4 M(这里不必要是说的就是,这个上传肯定是限制上传asp.aspx等等等的)
; D) k  G, w5 Q4 u
接下来我们用burp来进行截断上传asp文件，成功得到一个asp的webshell

$ m/ J3 I# o. b, t; O! Z3 {4 C; O
) c3 S0 x0 R7 |# d# \0 vl
' f( E; \6 E2 e" j+ M
9 d, z1 t: n3 ^8 u' X9 v# i( N
' X: e. F1 ^; [' q: _+ J
6 U  {* S9 ~& O5 R' i& V4 o

angel

撸过