Pass-10
查看源码
我的第五关好像和第十关重复了,接下来的十一关有可能是你们的第十关
![](https://i-blog.csdnimg.cn/blog_migrate/2b0f3a11d3c754ef3649d0ce97ea3ed0.png)
通过源代码可知,本关对上传文件做了检测,而且还对文件名大小写做了转换。
上传php文件然后burpsuit抓包在文件名后加上“.空格.”绕过。
![](https://i-blog.csdnimg.cn/blog_migrate/133c25ab219e38eeb550cab99ed7b4e6.png)
Pass-11
查看源码
![](https://i-blog.csdnimg.cn/blog_migrate/0e51d6c014ba9db64645c6c1b0b71d69.png)
分析得是黑名单的绕过,如果上传了上面规定的文件,就会把你的后缀名去掉,比如你上传了11.php,那么他就会把你的php过滤掉。文件没有了后缀名,自然也就无法解析了。但是他是一次过滤,也就是说我们写两个php就可以了:11.pphphp,他过滤掉一个,正好剩下了11.php。
![](https://i-blog.csdnimg.cn/blog_migrate/49c4f010904b3e002bf06b2acbd7266c.png)
Pass-12
查看源代码
![](https://i-blog.csdnimg.cn/blog_migrate/0db66d07396fefd124ed9fa5701e41a4.png)
分析得是一个白名单,只允许上传'jpg','png','gif'格式的文件。但是上传路径是可以控制的,可以使用%00进行截断。%00只能用于php版本低于5.3的。这里我们需要把phpstudy切换一下版本,把magic_quotes_gpc关闭,以phpstudy为例。其他选项菜单---php扩展及设置---参数开关设置---把magic_quotes_gpc关闭。
![](https://i-blog.csdnimg.cn/blog_migrate/c5202eb7f923a24b4987675604c52ff6.png)
Pass-13
查看源码
![](https://i-blog.csdnimg.cn/blog_migrate/5fd3c4d61946db4ccacb12ba272c232b.png)
第十三关和第十二关是差不多的,只不过是接受值变成了post,她两的差别呢就是get会自行解码,post不会自行解码,我们需要对%00进行编码
![](https://i-blog.csdnimg.cn/blog_migrate/b41b2c48f51f4b69549778aec87cdf25.png)
加上木马名+空格+a(a是为了下一步方便找)
![](https://i-blog.csdnimg.cn/blog_migrate/600ed2583634b8e8fbf02a20f9a046ba.png)
点击Hex,将61(a的十六进制ASCII码)前面的数值(对应空格)改为00。
![](https://i-blog.csdnimg.cn/blog_migrate/869dba36057c00efa7492c0d83c47327.png)
Pass-14
查看源码
![](https://i-blog.csdnimg.cn/blog_migrate/c545e023d15c3f323cd67c8ac16f1a51.png)
制作一个图片马上传
图片马制作方法:
文本方式打开,末尾粘贴一句话木马
cmd中 copy 1.jpg/b+2.php 3.jpg
/b是二进制形式打开
/a是ascii方式打开
16进制打开图片在末尾添加一句话木马。
ps