[ACTF2020 新生赛]Upload

[ACTF2020 新生赛]Upload

此题颇为简单，步骤颇为简略

题目：

分析：

前端：JS检验文件后缀–白名单机制：

先不急着写码，顺势而为，顺藤摸瓜搞清后台：

==》 老套路，前端上传test.gif ==》burp抓包 ==》 success，查看返回值

后端：上传后以HTML页面展示，暂时不知道有无检测

解题：

构造payload ==》好家伙，一把过 ==》初步判断后端对文件没有校验

又是老套路，传码，拿webshell ==》获取flag

flag{9b269117-5b08-4fc4-ad36-db8b1ae532f6} 269117-5b08-4fc4-ad36-db8b1ae532f6}