2020年2月25日
从文件上传到命令注入
摘要： 主站打开是这样的只有扫码登陆 尝试扫码提示未注册 查看js，网站用了webpack打包 所有请求都在 这个js里面 尝试寻找敏感接口无果 百度site:domain.com 注意到wx1子域，打开这个链接跳转到在微信打开 那就到微信打开，查看功能点发现一处上传，先上传正常图片 改最下面的filena 阅读全文
posted @ 2020-02-25 21:09 cwkiller 阅读(3109) 评论(2) 推荐(1) 编辑