第1题
请上传一张jpg格式的图片分值: 100
只能上传jpg格式的图片哦~！
查看网页源代码：
看到了jsp代码，尝试F12直接禁止jsp（可以看到的一般都在本地运行）的上传，成功夺取
第2题
请上传一张jpg格式的图片分值: 150
只能是jpg哦！
和上一题操作一样，不过失败，所以这次的验证实在服务端验证，采用burp抓包，编写一句话木马，然后将其中的后缀名改为.jpg,尝试上传：
得到flag
第3题
请上传一张jpg格式的图片分值: 150
只能是jpg哦！
源代码是这样的：
将文件名根据 . 进行分割，然后只检测第二个分割出来的是不是 .jpg，这样就好说 了，直接构造如下payload：
网友评论