web攻防世界3

1.bug 题目提示注册，随便输个登录进去 点到manage界面提示不是管理员， 浏览几个选项感觉只有这个修改密码可以操作操作了，抓包修改密码界面,把这里的用户改成admin试试，提示密码小于六位，改一改 这里还需要伪造ip，即用x-forwarded-for即可  修改成功，用admin登录，即能访问刚才的那个菜单， 猜测文件上传，传个马， 需要绕过，师傅们在这里上传了图片，改了内容， 并且这里

>>阅读原文<<