【学习笔记13】buu [2020年 网鼎杯 web] filejava

首先打开网站后     就看到了一个明显的上传位置，任意传一个文件，显示上传成功，并且可以下载，用bp抓一下下载的流量包，显示     可以看到可以读取下载文件的内容，那我们试试能不能读取其他文件，如/etc/passwd，可以读取，接下来就尝试读取配置文件WEB-INF/web.xml     这里因为不知道配置文件的具体位置就用../来代替具体多少慢慢试，可以看到再其中显示的各个文件，以此下载

>>阅读原文<<