fuzz测试文件上传靶场的黑名单
在文件上传漏洞方面:
黑名单:
阻止特定的文件后缀和应用程序
例如 禁止php,php1,php2,php3等文件上传到服务器
白名单:
限制用户只能访问网络所有者定义的受信任内容
例如:只允许.jpg、.png、.gif等文件格式的上传
fuzz测试upload-labs靶场文件上传
- 以第三关为例 进入当前关卡就提示了上传图片
- 使用wfuzz工具对该关卡进行fuzz测试
wfuzz -w Php_Upload_Fuzz2.txt -u http://10.4.7.130/Pass-03/index.php/FUZZ
-w 参数:字典路径
-u 参数:目标地址
排除掉被过滤的php近似后缀名,最后发现phtml后缀名是成功上传并且可以被利用的
- 同时也可以使用bp进行fuzz测试