[MRCTF2020]你传你🐎呢 .htaccess文件配合文件上传漏洞

1.  看到这个页面就知道作者是个老抽象人了,尝试将之前用过的几个方法上传木马

普通的马、抓包后更改文件类型的马、javascript结合GIF欺骗的马都试过,无法上传。

2.  但是如果是jpg为文件名结尾的马都可以上传,只是上传后jpg文件无法使用。

这里使用Apache服务器配置文件.htaccess来更改上传后jpg文件的格式,改成php使木马能发挥作用。 

.htaccess文件:

   全称是Hypertext Access,概述来说,htaccess文件是Apache服务器中的一个配置文件,它负责相关目录下的网页配置。通过htaccess文件,可以帮我们实现:网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。

3.  在上传时需要注意抓包更改文件格式为image/jpeg

 这里不用GIF欺骗也可

4.  上传完图片马和配置文件后,用题目提示的url地址连上蚁剑,找到flag

原文地址:https://www.cnblogs.com/cmredkulaa/p/14521304.html