ctf練習之套娃一樣的上傳

一、進入目標站點，查看網頁源碼，發現白名單限制。試着上傳一張圖片。 二、打開burp suite，設置代理。修改上傳名繞過白名單，隨便把cookie值刪了。 三、然後發現上傳文件的後綴得是黑名單中的，但又要上傳後綴爲php的？？？禁止套娃啊，喂！ 四、讓我們理清一下思路，首先第一層防禦應該是一個暫時只知道有php後綴的白名單，第二層是文件格式也就是content-Type，第三層是一個暫時只知道有

>>阅读原文<<