一次奇妙的getshell之旅
1. 资产收集时发现一个网站：
https://xxxxxxxxxx/ischool/publish_page/0/
发现存在管理员登陆:
这里之前在该旁站找到一个SQL注入，然后找到的这个账户密码（这里如何从SQL注入找到账户密码前借鉴前面的报告。）：
账号：personnel
密码：whsh511
进入后台：
这里运气好，我第一次测试的左边的上传作家这个地方：
进去这里后页面：
这里我随便点击新增加档案，然后上传码：
尝试上传php，但是这里无论怎么修改后缀都失败，也无解析漏洞(此处为nginx服务器)
试了很久，网上各种绕过的方法都试过了，于是干脆试试上传正常打的图片：
哦吼，这正常的图片信息直接返回了路径啊，这里埋下了一个巨大的伏笔，后面会用到，之前就是没想起这里的东西导致浪费了很多时间，苦不堪言。
擦擦屁股走了人。
尝试无果就再转转吧：
终于，我又找到一个地方：
这里一开始没有安全意识，在第一页下面试了几波，最后意识到不能在显眼的地方弄，于是：
我放到了最后面，现在来看可能你还能看到我很多痕迹，差不掉，也没办法，文件上传是这样的，需要不断尝试，但是你每尝试一次就会有一个文件。
随便找一个人：
点击此处：
往下啦可以看到有文件上传点：
于是再次尝试，这次直接上冰蝎码：
为什么要交last6.jpg?那是因为一开始这个上传点试了很多很多次，因为不能上传相同的名字，所以取了各种名字，同时那时候还想着搞最后一次，于是last.jpg出现了，失败后我越想越气，感觉越来越接近目标了，所以又开了last1，2，3，4，5.jpg，最后还是成功了，哈哈，期间不容易。
上传然后抓包：
这里注意，放包别太快，不然会有很多垃圾包干扰，前期我就是这样连这个包都错过了，需要一步一步的放，然后修改后缀，发现这里只有前端校验：
上传成功：
这时你会想，咦，这里为啥还是.jpg文件？不是上传的是.php？哈哈，一开始就是这里我试了超多超多遍，后来才发现其实这里没关系的，他后面还要再上传一次，这里只要把文件改成.php就行，他相当于记录在了这上面，但是只是不是现在显示，文件上传不要觉得大惊小怪，这只是小场面。
继续抓包，找到下面的确定修改，这里才是更新的主要地方：
抓包：
找到这个包，别放太快，杂包确实多，之前也是没注意没抓到这个包，导致我还好奇：咦？这地方上传东西都不带发包的？这里也是坑，踩过的才知道有多无语。
找到数据包下面，
这里才是我们刚刚上传的文件：
于是我们将他改成.php后缀：
当然，这个地方的前面也有一个东西：
这个地方你也改的话就是到时候你上传的位置就直接是last6.php了，这里不改也没事，到时候你访问的时候将.jpg改成.php一样可以访问，因为下面那个才是决定文件真正属性的地方。
然后放包：
尝试访问一下：
发现无法404
不过不得不说这404做的也确实有心了，是想说我是什么牛马？
然后我们将url中的last6.jpg改成last6.php：
可以访问是吧，说明那个确实只是做个样子，但是这里不解析，还乱码，乱码的话改一下浏览器编码就能解决：
这里不解析所以菜刀也肯定连不上咯，于是我开始自闭，是哪里出问题了吗，千思万想，突然想到，之前那个上传的地方有点怪，于是我把冰蝎码改了一个名字，改成last7.jpg吧，重新再来一次：
重新再上传一次：
还是熟悉的地方，熟悉的操作
熟悉的页面，然后我把我刚刚上传的文件图片拔下来对比：
突然发现，这个folder这个参数后面怎么回事？1491464069？
这个地方不会是指定路径的吧？
于是我试试跳转符号：
哦吼，惊喜啊，看来这个是指定上传点的啊，这个地方也试了好多遍才知道的，哎，只怪自己太单纯了。
但是又一个问题，我该上传到哪里他才能解析呢，一般来说是上传到网站根目录下吧，但是根目录又是哪里呢？我查了很久也不知道，然后我翻repeater里的包，突然看到前面在传另一个上传点的的那个回包，一开才发现，卧槽，这里居然有路径？？？
又掏出了我的这个图，惊喜吧？
原来他的路径在/var/www/html/ischool/uploader/server/php这个地方啊，我激动的，赶紧来试一波，于是我将上传路径改成：/var/www/html/ischool/下（网站根目录）：
但是这样尝试了很多次都没成功，到底是哪里出问题了？想着想着，最后在朋友的指点下终于明白这句话的意思了，原来是1491464069*uploader_uid*391439882707这个目录不可写入，于是我又看了一下我之前上传的图片的网站：
https://xxxxxxxxxxxxxxxxx/ischool/resources/VolunteerSystem/V_823cd351b92e00f646353e5cdaa9ad9d7ee9171d/signup/23924/1491464069/last6.php
我若有所思，将后面的1491464069后面的*uploader_uid*391439882707去掉，然后folder的值变成：
folder=1491464069/../../../../../../../var/www/html/ischool/
这里/../多少个都没事，只要够用就好，多了最多跳转到根目录下
然后这里是给了成功的提示，我激动的快要哭了，所以继续之前的操作，放包，：
提交修改：
这里改一下，改成last7.php：
然后全部放包：
可以看到终于全部修改完成了。于是我来访问一下，刚刚上传的目录是/var/www/html/ischool/,所有应该在网站根目录下，尝试访问一波：
可以看到，访问百页，说明上传成功了。此前理成功最近的一步了：
于是打开我的冰蝎：
这里注意，由于这个网站是需要翻墙才能访问的，所以我全过程都是burpsuitt代理抓包，所以冰蝎也要代理，：
冰蝎代理好后，直接连接：
然后发现连接成功：
此刻，犹如中了一个亿一样的激动，确实，整个过程从SQL注入到getshell，这期间包含了整个实战性的攻击过程，有很多失败，但都被一一化解了。只能说确实是千辛万苦了。
相关文章：
一次奇妙的getshell之旅
1. 资产收集时发现一个网站： https://xxxxxxxxxx/ischool/publish_page/0/ 发现存在管理员登陆: 这里之前在该旁站找到一个SQL注入，然后找到的这个账户密码（这里如何从SQL注入找到账户密码前借鉴前面的报告。）： 账号&…...
C# 集合（Collection）
文章目录 前言一、动态数组（ArrayList）二、哈希表（Hashtable）三、排序列表（SortedList）四、堆栈（Stack）五、队列（Queue）六、点阵列（BitArray&…...
深度学习模型：门控循环单元（GRU）详解
本文深入探讨了门控循环单元（GRU），它是一种简化版的长短期记忆网络（LSTM），在处理序列数据方面表现出色。文章详细介绍了 GRU 的基本原理、与 LSTM 的对比、在不同领域的应用以及相关的代码实现，…...
深入浅出：开发者如何快速上手Web3生态系统
Web3作为互联网的未来发展方向，正在逐步改变传统互联网架构，推动去中心化技术的发展。对于开发者而言，Web3代表着一个充满机遇与挑战的新领域，学习和掌握Web3的基本技术和工具，将为未来的项目开发提供强大的支持。那么…...
HCIA笔记6--路由基础与静态路由：浮动路由、缺省路由、迭代查找
文章目录 0. 概念1.路由器工作原理2. 跨网访问流程3. 静态路由配置4. 静态路由的应用场景4.1 路由备份4.2 浮动路由4.3 缺省路由 5. 迭代路由6 问题6.1 为什么路由表中有的下一跳的地址有接口？6.2 个人电脑的网关本质是什么？ 0. 概念 自治系统ÿ…...
【北京迅为】iTOP-4412全能版使用手册-第三十二章 网络通信-TCP套字节
iTOP-4412全能版采用四核Cortex-A9，主频为1.4GHz-1.6GHz，配备S5M8767 电源管理，集成USB HUB,选用高品质板对板连接器稳定可靠，大厂生产，做工精良。接口一应俱全，开发更简单,搭载全网通4G、支持WIFI、蓝牙、…...
图片预处理技术介绍4——降噪
图片预处理 大家好，我是阿赵。 这一篇将两种基础的降噪算法。 之前介绍过均值模糊和高斯模糊。如果从降噪的角度来说，模糊算法也算是降噪的一类，所以之前介绍的两种模糊可以称呼为均值降噪和高斯降噪。不过模糊算法对原来的图像特征的…...
Java基础面试题12：Java中的两种异常类型是什么？它们有什么区别？
在 Java 中，异常是非常重要的一部分。理解异常的种类和它们的区别，是每个 Java 开发者都需要掌握的基础技能。 Java 中的异常分类 Java 中异常的根本来源是 Throwable 类，它包含了两大类：错误（Error）和异常…...
MySQL5.6升级MySQL5.7
升级方式介绍 08 数据库服务版本升级方法 5.6 – 5.7 – 8.0 数据库版本升级方法： Inplace-本地升级 步骤一：在同一台服务器中，需要部署高版本数据库服务实例步骤二：低版本数据库中的数据进行备份迁移，迁移到高版本…...
Pytorch实现心跳信号分类识别(支持LSTM,GRU,TCN模型）
Pytorch实现心跳信号分类识别(支持LSTM,GRU,TCN模型） 目录 Pytorch实现心跳信号分类识别(支持LSTM,GRU,TCN模型） 1. 项目说明 2. 数据说明 （1）心跳信号分类预测数据集 3. 模型训练 （1）项目安装 &…...
走进科学json版：在 JSON 格式中，字符串值必须使用双引号 “ 来界定，而不能使用单引号 ‘
走进科学疑难问题出现 在调试fastapi程序的时候，报错碰到422错误 INFO: 192.168.0.99:46536 - "POST /v1/chat/completions/ HTTP/1.1" 422 Unprocessable Entity 干净利索，只有这一句报错，不管代码里加入多少print语句查看…...
【C#】书籍信息的添加、修改、查询、删除
文章目录 一、简介二、程序功能2.1 Book类属性：方法： 2.2 Program 类 三、方法：四、用户界面流程：五、程序代码六、运行效果 一、简介 简单的C#控制台应用程序，用于管理书籍信息。这个程序将允许用户添加、编辑、查看…...
博泽Brose EDI项目案例
Brose 是一家德国的全球性汽车零部件供应商，主要为全球汽车制造商提供机电一体化系统和组件，涵盖车门、座椅调节系统、空调系统以及电动驱动装置等。Brose 以其高质量的创新产品闻名，在全球拥有多个研发和生产基地，是全球第五大家…...
Macos用brew安装Nodejs亲手教程
首先确保brew已安装，搜索node资源，命令如下： brew search nodejs 演示结果如下： 安装nodejs brew install node22 或 brew install node 出现如下界面 表示正在安装，安装成功后，提示如下信息࿱…...
开发一套ERP 第十弹 图片作为配置文件,本地读取图片,定时更新图片类型
echo Hello World在同一数据库中在建一个图床数据表,产品一,一对应,图片命名 最优的方案，使用 rust 在构建一个 http server 用于管理非数据库资源,也可以将来对接不同的图床，部署方便 考虑到数据库资源和图片资源,都可以被远程访问这种方法最佳...
终端环境下关闭显示器
终端环境下关闭显示器 使用vbetool vbetool 使用 lrmi 来运行视频 BIOS 中的代码。目前，它能够更改 DPMS 状态、保存/恢复视频卡状态并尝试从头开始初始化视频卡。 vbetool dpms off...
基于PySpark 使用线性回归、随机森林以及模型融合实现天气预测
基于PySpark 实现天气预测与模型集成 在大数据分析与机器学习领域，Spark 提供了强大的计算能力和灵活的扩展性。本文将介绍如何利用 PySpark 完成以下任务： 1、数据预处理：清洗和编码天气数据。 2、特征工程：合并数值和分类特征…...
Android Studio 右侧工具栏 Gradle 不显示 Task 列表
问题： android studio 4.2.1版本更新以后AS右侧工具栏Gradle Task列表不显示，这里需要手动去设置 解决办法： android studio 2024.2.1 Patch 2版本以前的版本设置：依次打开 File -> Settings -> Experimental 选项&#x…...
Linux详解：文件权限
文章目录 前言Linux文件权限基础文件成员与三组权限字符 权限的修改修改文件所有者总结 前言 在浩瀚的操作系统世界中，Linux以其开源、灵活和强大的特性，成为了服务器、开发环境以及众多个人用户的首选。而在Linux的众多特性中，文件权限机制…...
Linux条件变量线程池详解
一、条件变量 【互斥量】解决了线程间同步的问题，避免了多线程对同一块临界资源访问产生的冲突，但同一时刻对临界资源的访问，不论是生产者还是消费者，都需要竞争互斥锁，由此也带来了竞争的问题。即生产者和消费者、消费…...
CLIP模型也能处理点云信息
✨✨ 欢迎大家来访Srlua的博文（づ￣3￣）づ╭❤～✨✨ 🌟🌟 欢迎各位亲爱的读者，感谢你们抽出宝贵的时间来阅读我的文章。 我是Srlua小谢，在这里我会分享我的知识和经验。&am…...
编译MT7620 OpenWrt的所有机型的固件
前置条件：准备VMware16Ubuntu16.04的编译环境 安装编译需要的插件 sudo apt-get install gcc g binutils patch bzip2 flex bison make autoconf gettext texinfo unzip sharutils libncurses5-dev ncurses-term zlib1g-dev gawk asciidoc libz-dev git-core uuid…...
C_字符串的一些函数
1.字符串输入函数 scanf("%s",数组名)； gets(数组名)； 区别： scanf(“%s”,数组名); 把空格识别为输入结束 #include <stdio.h>int main() {char a[10];printf("输入：");scanf("%s",a)…...
pytest自定义命令行参数
实际使用场景：pytest运行用例的时候，启动mitmdump进程试试抓包，pytest命令行启动的时候，传入mitmdump需要的参数（1）抓包生成的文件地址 （2）mitm的proxy设置 # 在pytest的固定文件中…...
【OpenAI库】从0到1深入理解Python调用OpenAI库的完整教程：从入门到实际运用
文章目录 Moss前沿AI一、初识OpenAI API1.1 获取API-Key（两种方案）1.2 安装OpenAI库 二、Python调用OpenAI API的基础设置2.1 设置API密钥和Base URL2.2 参数详解 三、构建一个简单的聊天应用3.1 创建聊天请求3.2 参数详解3.3 处理响应 四、完整代码示例…...
设计模式---建造者模式
建造者模式 一种创建型设计模式，它允许你一步一步地构建复杂对象。通过使用建造者模式，你可以将对象的构建过程与其表示分离，使得同样的构建过程可以创建不同的表示。说白点就是，解决了构造函数创建对象的问题。 适用于那种构造函…...
安装MySQL 5.7 亲测有效
前言：本文是笔者在安装MySQL5.7时根据另一位博主大大的安装教程基础上做了一些修改而成 首先在这里表示对博主大大的感谢 下面附博主大大地址 下面的步骤言简意赅 跟着做就不会出错 希望各位读者耐下心来 慢慢解决安装中出现的问题~MySQL 5.7 安装教程（全…...
delphi 12 idhttpsever（S）+idhttp（C） 实现简单的JSON API服务
这篇博客展示了如何使用Delphi创建一个简单的HTTP服务器，并处理GET和POST请求。服务器监听6600端口，响应JSON格式的数据。客户端通过IdHttp组件进行GET和POST请求，获取并显示服务器响应的内容。 http服务器测试代码 procedure TForm1.FormSh…...
SVM支持向量机分类——基于Python实现
SVM支持向量机分类 1.描述统计 from numpy import * from scipy import * from pandas import * import matplotlib.pyplot as pltimport seaborn as sns glassread_csv(../data/第5章数据/Glass.csv,sep,) glass.head() glass[Type].value_counts()Type 2 76 1 70 7 …...
k8s使用的nfs作为sc。
k8s使用的nfs作为sc。 当前出现一个问题： 1.有一个pod他是通过流进行文件解压并写入到nfs服务器对应的目录中。 2.一个大压缩包下有20多个压缩包，递归解压。解压完成后应该是20多个文件夹，文件夹下有.json文件。 3.pod中的程序解压后去找以.j…...
tp6 合成两个pdf文件（附加pdf或者替换pdf）
最近在做项目有个需求，项目中需要根据设置的html合同模板自动生成PDF合同供客户下载签署，并根据回传的已签署合同尾页来替换原来未签署合同的尾页，合成新的已签署合同文本。 读取两个PDF文件并合成的 具体代码记录如下： use set…...
SpringBoot
SpringBoot简介 SpringBoot是由Pivotal团队提供的全新框架，其设计目的是用来简化Spring应用的初始搭建以及开发过程 SpringBoot快速入门 新建maven工程，导入SpringBoot父工程以及依赖 <?xml version"1.0" encoding"UTF-8"?>…...
2024第六届金盾信安杯Web 详细题解
比赛一共4道Web题,比赛时只做出三道,那道文件上传没有做出来,所以这里是另外三道题的WP 分别是 fillllll_put hoverfly ssrf fillllll_put 涉及: 绕过exit() 死亡函数 php://filter 伪协议配合base64加解密 一句话木马 题目源码： $content参数在开头被…...
The selected directory is not a valid home for Go SDK
在idea里配置go语言的环境时，选择go语言的安装目录，一直提示这个 The selected directory is not a valid home for Go SDK后来查了一下，发现原来idea识别不出来 需要改一下配置文件，找到go环境的安装目录，我是默认安…...
《智能体雏形开发（高阶实操）》开发计划概述
智能体雏形开发计划 通过本计划，逐步完成一个可以真实运行的智能体雏形。 最终完成一个**“用户日志文件生成日报，日报再进一步汇总成周报”**的任务驱动型智能体雏形 第一阶段：基础准备与环境搭建 1. 学习基础知识 了解智能体的概念、类型和技术框架。学习大模型（如阿里…...
【查询基础】.NET开源 ORM 框架 SqlSugar 系列
💥 .NET开源 ORM 框架 SqlSugar 系列 🎉🎉🎉 【开篇】.NET开源 ORM 框架 SqlSugar 系列【入门必看】.NET开源 ORM 框架 SqlSugar 系列【实体配置】.NET开源 ORM 框架 SqlSugar 系列【Db First】.NET开源 ORM 框架 SqlSugar 系列…...
【Linux】设计文件系统（C实现）
要求： (1)可以实现下列几条命令 dir 列文件目录 create 创建文件 delete 删除文件 read 读文件 write 写文件 (2)列目录时要列出文件名、存取权限（八进制）、文件长度、时间（创建时间，修改时间以及…...
Redis+Caffeine 多级缓存数据一致性解决方案
RedisCaffeine 多级缓存数据一致性解决方案 背景 之前写过一篇文章RedisCaffeine 实现两级缓存实战，文章提到了两级缓存RedisCaffeine可以解决缓存雪等问题也可以提高接口的性能，但是可能会出现缓存一致性问题。如果数据频繁的变更，可能会导…...
SpringMVC（二）
Model 以Map方式进行存储，用于向作用域中存值。 注意：在Model中增加模型数据，若不指定key，则默认使用对象的类型作为key Controller //控制器类 public class IndexController {RequestMapping("/index3")public Strin…...
leetcode--螺旋矩阵
LCR 146.螺旋遍历二维数组 给定一个二维数组 array，请返回「螺旋遍历」该数组的结果。 螺旋遍历：从左上角开始，按照 向右、向下、向左、向上 的顺序 依次 提取元素，然后再进入内部一层重复相同的步骤，直到提取完所有元…...
动手学深度学习10.5. 多头注意力-笔记练习（PyTorch）
本节课程地址：多头注意力代码_哔哩哔哩_bilibili 本节教材地址：10.5. 多头注意力 — 动手学深度学习 2.0.0 documentation 本节开源代码：...>d2l-zh>pytorch>chapter_multilayer-perceptrons>multihead-attention.ipynb 多头注…...
Selenium3＋Python如何操作键盘
selenium操作键盘，需要导入Keys类：“from selenium.webdriver.common.keys import Keys” 调用键盘操作的快捷键的方法 ： 单键值：直接传入对应的键值“element.send_keys”(快捷键的键值) 组合键：键值之间由逗号分隔…...
数据仓库的概念
先用大白话讲一下，数据仓库的主要目的就是存储和分析大量结构化数据的。 > 那么它的核心目的是：支持商业智能（BI）和决策支持系统，也就是说，它不仅仅是为了存储，更重要的是为了分析提供便利。…...
初级数据结构——二叉搜索树
目录 前言一、定义二、基本操作三、时间复杂度分析四、变体五、动态图解六、代码模版七、经典例题[1.——700. 二叉搜索树中的搜索](https://leetcode.cn/problems/search-in-a-binary-search-tree/)代码题解 [2.——938. 二叉搜索树的范围和](https://leetcode.cn/problems/ra…...
配置宝塔php curl 支持http/2 发送苹果apns消息推送
由于宝塔面板默认的php编译的curl未加入http2的支持，如果服务需要使用apns推送等需要http2.0的访问就会失败，所以重新编译php让其支持http2.0 编译方法： 一、安装nghttp2 git clone https://github.com/tatsuhiro-t/nghttp2.git cd nghttp…...
ARP表、MAC表、路由表的区别和各自作用
文章目录 ARP表、MAC表、路由表的区别和各自作用同一网络内:ARP表request - 请求reply - 响应 MAC地址在同一网络内,交换机如何工作? 不同网络路由表不同网络通信流程PC1到路由器路由器到PC2流程图 简短总结 ARP表、MAC表、路由表的区别和各自作用 拓扑图如下: 同一网络内:…...
限定符使用
正则表达式的元字符一次一般只能匹配一个位置或一个字符,如果想要匹配零个、一个或多个字符时,则需要使用限定符。限定符用于指定允许特定字符或字符集自身重复出现的次数。常用限定符如下: <asp:TextBox [^>]> 正则表达式字符类[^>]匹配除过“>”之外的任何字…...
【k8s】创建基于sa的token的kubeconfig
需求 创建一个基于sa的token的kubeconfig文件，并用这个文件来访问集群。 具体创建sa 和sa的token请参考文章: 【k8s】给ServiceAccount 创建关联的 Secrets-CSDN博客 创建sa apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata:namespace: jtkjdevnam…...
计算机网络——不同版本的 HTTP 协议
介绍 HTTP，即超文本传输协议（HyperText Transfer Protocol），是应用层的一个简单的请求-响应协议，它指定了客户端可能发送给服务器什么样的消息以及得到什么样的响应。本文将介绍 HTTP 协议各个版本。 HTTP/1.0 HTTP/1…...
【Linux】vim编辑器练习
1.在/tmp目录下建立一个名为mytest的目录，进入mytest目录 (1)进入/tmp目录 cd /tmp （2）创建mytest目录 mkdir mytest （3）查看是否创建成功 ls 或 ls -l （4）进入mytest目录 cd mytest …...