新Bugku——Flask_FileUpload——web

做web题目第一件事查看源代码F12

 通过代码可看出上传的文件接受为jpg，png，

<!-- Give me the file, and I will return the Running results by python to you! -->意思是把文件给我，我用python把运行结果返回给你，那我们就写一个，

import os
os.system('ls /')

把txt文件属性改为jpg或png，我这里是png给大家演示（这里提醒一下大家，命名名字时不要用中文，不然的话会报错，不信你试试呗）

 确定后上传通过burpsuite进行抓包

 点击action发送给repeater（或ctrl+R）

 点击send发现打开文件file

 这时你会看到flag文件，只要抓取就可以得到flag。

只要在左边源代码进行修改然后send就行了，如果你不嫌麻烦可以按从头开始（~~~~嘻嘻嘻，加油哦）

打开flag文件你会看到flag就在你眼前哦。

flag{c322936c5b80c147d9aeb4df8991ec29}

加油少年！！！！