CTF-"第三届“百越杯”福建省高校网络空间安全大赛":Do you know upload？

分值：100分 类型：Web题目名称：Do you know upload？
题目内容：https://www.ichunqiu.com/battalion?t=1&r=0

---

知识点

• 使用BurpSuite绕过上传文件格式校验
• 使用中国菜刀连接一句话🐴

---

操作流程

1. 打开页面,是个上传界面.直接上传php一句话,提示文件类型不允许.
2. 上传一句话.jpg,提交时使用Burpsuite改成php后缀,提交成功,并且返回地址"xxx/upload/one.php"
3. 使用菜刀,连接成功,进入服务器,在上级目录可以看到个config.php和index.php,里面有数据库的账号密码

<?php
error_reporting(0);
session_start();
$servername = "localhost";
$username = "ctf";
$password = "ctfctfctf";
$database = "ctf";

// 创建连接
$conn = mysql_connect($servername,$username,$password) or die(" connect to mysql error");
mysql_select_db($database);
?>

4.使用菜刀连接上面发现的数据库

<T>MYSQL</T>
<H>localhost</H>
<U>ctf</U>
<P>ctfctfctf</P>
<L>utf8</L>

5. 查看ctf库,拿到flag:

   

   image.png