ctf练习之套娃一样的上传

一、进入目标站点，查看网页源码，发现白名单限制。试着上传一张图片。 二、打开burp suite，设置代理。修改上传名绕过白名单，随便把cookie值删了。 三、然后发现上传文件的后缀得是黑名单中的，但又要上传后缀为php的？？？禁止套娃啊，喂！ 四、让我们理清一下思路，首先第一层防御应该是一个暂时只知道有php后缀的白名单，第二层是文件格式也就是content-Type，第三层是一个暂时只知道有

>>阅读原文<<