攻防世界 web 进阶 bug

打开题目
注册一个账号
登陆上去
点击 manage选项卡
提示不是admin进不去
那就用admin进

点击找回密码
输入刚刚注册的账号信息
进入修改密码页面
设置代理
打开burpsuite
点击拦截

页面里设置新密码
提交

bp拦截到包
username参数修改成admin

放包

修改成功
现在admin账户的密码被修改为我们自己设置的密码

使用admin帐户登陆

但ip不对
简单
那就变成本机访问
设置本机的ip 127.0.0.1

接着用bp抓包
头部加入参数X-Forwarded-For: 127.0.0.1

ok进来了

查看网页源码
可以看到有个提示

<!-- index.php?module=filemanage&do=???-->

看到filemanage，怕不是个文件上传
do理所当然的猜测upload
试试看

Orz

尝试上传php文件

就知道肯定没这么简单
但试试又不掉块肉

试了很多次发现文件名和MIME类型都进行了过滤

看wp发现是
文件内容绕过
自建txt文本写入

<script language='php'>随便</script>

改成图片格式上传
把包抓下来
修改文件后缀名为.php4或.php5
(这里表示不懂为什么是这俩其他的就不行，求师傅们教一下 Orz）

放包
得到flag