复现环境:buuoj.cn
打开环境,最开始用弱口令进去了,还心想比较简单,后来发现错了,然后点击help发现有报错
访问这个地址
tips:WEB-INF知识点
WEB-INF主要包含一下文件或目录:
/WEB-INF/web.xml:Web应用程序配置文件,描述了 servlet 和其他的应用组件配置及命名规则。
/WEB-INF/classes/:含了站点所有用的 class 文件,包括 servlet class 和非servlet class,他们不能包含在 .jar文件中
/WEB-INF/lib/:存放web应用需要的各种JAR文件,放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件
/WEB-INF/src/:源码目录,按照包名结构放置各个java文件。
/WEB-INF/database.properties:数据库配置文件
漏洞检测以及利用方法:通过找到web.xml文件,推断class文件的路径,最后直接class文件,通过反编译class文件,得到网站源码
用POST传递filename的参数,查看WEB-INF/web.xml
再根据给出flag的地址,反编译class
最后解码
flag{84295039-6662-4cf0-b5e1-d5a4f6b35ab8}