DEXTUpload过滤不严导致任意上传文件获取webshell权限

admin

3 @6 I5 t5 g, t8 e6 `) V# r/ K先选一个可以上传的gif图片,进行正确上传,刺探功能是否可以完整的上传
- s, v: r1 z5 x, t$ g
* G6 C8 _& {: m% U, a4 U上传一下,不知道传上去吗?所以我刚才在上传时候的时候运行了抓包,接下来我们看看抓包信息

http给我们返回了信息,文件上传上去了,还给出了一个准确的连接地址,好吧,现在我们的刺探工作已经完成了.
$ H$ [) s* p8 L9 L0 K* G  D! b
(这里不必要是说的就是,这个上传肯定是限制上传asp.aspx等等等的)

6 g3 }  S+ e: ?2 N! G: G$ n接下来我们用burp来进行截断上传asp文件，成功得到一个asp的webshell
3 V- n- H, N2 L, N5 U" Q
& W0 h2 S/ h' f0 ~2 Z+ _5 j
' h% B. f  K* U$ }l
4 S: f2 w/ X  A& I


6 ?+ U4 w! E; k6 W  A