当前位置： 首页 > news >正文

Upload-Lab第3关：如何巧妙应对黑名单文件后缀检测？

news 文章来源：https://blog.csdn.net/sinat_28521487/article/details/141191324 2025/1/17 3:37:48

关卡介绍

在Pass03中，我们面临的挑战是绕过文件上传功能的黑名单检测机制。黑名单检测是一种常见的安全措施，它通过检查上传文件的后缀来阻止特定类型的文件（如 .php, .exe）被上传。在这一关，我们需要找到一种方法，上传一个可以执行的恶意文件，同时绕过黑名单检测。
Pass03的源码

解题思路

为了绕过黑名单检测，可以尝试以下几种方法：

  1. 双重后缀名：利用系统只检测第一个后缀名，而实际执行第二个后缀名。
  2. 大小写混淆：某些系统对后缀名的检测是大小写敏感的。
  3. 文件名后缀添加特殊字符：在后缀名后添加一些特殊字符，可能会绕过检测。
  4. 使用其他可执行后缀：如果服务器支持多种脚本语言，可以尝试其他语言的可执行文件后缀。

题目中提示：**不允许上传.asp,.aspx,.php,.jsp后缀文件！**就用下面的替代被禁止的那些。

  • ASP: asa/cer/cdx
  • ASPX: ashx/asmx/ascx
  • PHP: php4/php5/phtml
  • JSP: jspx/jspf

实践步骤

    相关文章：

    Upload-Lab第3关：如何巧妙应对黑名单文件后缀检测？

    关卡介绍 在Pass03中，我们面临的挑战是绕过文件上传功能的黑名单检测机制。黑名单检测是一种常见的安全措施，它通过检查上传文件的后缀来阻止特定类型的文件（如 .php, .exe）被上传。在这一关，我们需要找到一种方法，上传一个可以执行的恶意文件，同时绕过黑名单检测。 …...

    编程日记 2024/8/15 6:48:00

    SSLVPN对比IPSECVPN安全设备的起源、发展、以及目前行业使用场景

    前言 SSL VPN（Secure Sockets Layer Virtual Private Network）是一种利用SSL/TLS（Transport Layer Security，传输层安全）协议来创建安全连接的技术，它允许远程用户通过公共网络（通常是互联网&am…...

    编程日记 2024/8/15 6:46:59

    Hadoop大数据集群搭建

    一、虚拟机配置网络 1、配置文件 进入“/etc/sysconfig/network-scripts”目录，查看当前目录下的“ifcfg-ens33”文件 对“ens33”文件进行配置 2、重启网络 systemctl restart network 3、测试网络 Ping www.baidu.com 4、设置虚拟机主机名称 5、绑定主机名和…...

    编程日记 2024/8/15 6:43:56

    【技术前沿】MetaGPT入门安装部署——用多个大语言模型解决任务！一键安装，只需填写OpenAI API

    项目简介 MetaGPT 是一个多智能体框架，旨在构建全球首家 “AI 软件公司”。该项目通过为 GPT 分配不同的角色，模拟产品经理、架构师、工程师等职业，协同完成复杂的软件开发任务。MetaGPT 将一个简单的需求转化为完整的软件开发流程&#xff…...

    编程日记 2024/8/15 6:41:54

    #compsoer基本使用01#

    Composer 是 PHP 的依赖管理工具，它允许开发人员管理和安装项目所需的依赖包。 1:查看Compsoer的全局配置命令 composer config -g --list --verbose 这个可以查看composer的镜像地址。例如 [repositories.packagist.org] type (string) : composer [repositor…...

    编程日记 2024/8/15 6:40:53

    基于c++的yolov5推理之前处理详解及代码（一）

    目录 一、前言： 二、关于环境安装： 三、首先记录下自己的几个问题 问题：c部署和python部署的区别？ 四、正文开始 4.1 图像预处理讲解 1、BGR---->RBG 2、等比例放缩图片（涉及到短边的填充） 3、归一化…...

    编程日记 2024/8/15 6:39:51

    Oracle（55）什么是并行查询（Parallel Query）？

    并行查询（Parallel Query）是数据库管理系统中的一种查询优化技术，它允许数据库引擎同时使用多个处理器或线程来执行查询操作。通过将查询任务分解为多个子任务，并在多个处理器上同时执行这些子任务，可以显著提高查询的…...

    编程日记 2024/8/15 6:38:50

    关于 Lora中 Chirp Spread Spectrum(CSS)调制解调、发射接收以及同步估计的分析

    本文结合相关论文对CSS信号的数学形式、调制解调、发射接收以及同步估计做了全面分析，希望有助于更好地理解lora信号 long-range (LoRa) modulation, also known as chirp spread spectrum (CSS) modulation, in LoRaWAN to ensure robust transmission over long d…...

    编程日记 2024/8/15 6:36:48

    Java - API

    API全称"Application Programming Interface"，指应用程序编程接口 API（JDK17.0）链接如下 : Overview (Java SE 17 & JDK 17) (oracle.com)https://docs.oracle.com/en/java/javase/17/docs/api/中文版： Java17中…...

    编程日记 2024/8/15 6:34:46

    力扣 3152. 特殊数字Ⅱ

    题目描述 queries二维数组是nums数组待判断的索引区间（左闭右闭）。需要判断每个索引区间中的nums相邻元素奇偶性是否不同，如果都不同则该索引区间的搜索结果为True，否则为False。 暴力推演：也是我最开始的思路 遍历q…...

    编程日记 2024/8/15 6:33:44

    识别和缓解软件安全威胁的最佳工具

    软件安全威胁会给企业带来重大损失，从经济损失到声誉受损。 企业必须主动识别和缓解这些威胁，防止它们造成危害。 幸运的是，有许多工具可以帮助企业识别和缓解软件安全威胁。 在本博客中，我们将探讨识别和缓解软件安全威胁的顶…...

    编程日记 2024/8/15 6:32:44

    Linux下的压缩与解压：掌握核心命令行工具

    目录 一.前言 二.压缩文件概述 三.tar：Linux 的通用归档工具 常用 tar 命令 四.gzip：强大的压缩程序 常用 gzip 命令 五.zip 和 unzip：处理 ZIP 压缩文件 常用 zip 和 unzip 命令 实用技巧和最佳实践 六.结语 一.前言 在 Linux …...

    编程日记 2024/8/15 6:31:42

    BGP选路实验

    要求： 1.如图连接网络，合理规格IP地址，AS200内IGP协议为OSPF； 2.R1属于AS 100；R2-R3-R4小AS234、R5-R6-R7小AS567，同时声明大AS 200，R8属于AS300； 3.R2-R5、R4-R7之间为联邦EBGP邻居…...

    编程日记 2024/8/15 6:30:41

    白骑士的C#教学高级篇 3.3 网络编程

    网络编程是现代应用程序开发中至关重要的一部分。C# 提供了一套丰富的 API 来处理基本网络通信、Web请求与响应。在本节中，我们将深入探讨这些内容，帮助您掌握如何在 C# 中进行网络编程。 基本网络通信 基本网络通信通常涉及套接字（Socket&a…...

    编程日记 2024/8/15 6:28:39

    AI大模型赋能游戏：更智能、更个性化的NPC

    参考论文：https://arxiv.org/abs/2403.10249 在传统游戏中，NPC（非玩家角色）的行为往往是预先设定好的，缺乏灵活性和变化性。然而，基于大模型的NPC可以利用其强大的推理和学习能力，实时生成对话…...

    编程日记 2024/8/15 6:26:37

    pymysql的上下文管理器：简化数据库操作

    pymysql的上下文管理器：简化数据库操作 当我们使用 pymysql 操作数据库时，管理数据库连接和游标的生命周期是一项重要的任务。Python 的上下文管理器提供了一种优雅的方式来处理资源的获取和释放。在本文中，我们将探索如何创建一个简单的 py…...

    编程日记 2024/8/15 6:25:36

    AI秘境-墨小黑奇遇记 - 修炼成神经（二）

    在解开了感知机和门电路的谜题后，墨小黑对人工智能的世界渐渐产生了浓厚的兴趣。他开始意识到，自己不仅是在学习一门复杂的技术，更是在探索一个充满未知与挑战的神秘领域。 入夜，墨小黑一脸无奈地盯着电脑屏幕，思考着自…...

    编程日记 2024/8/15 6:24:34

    计算机网络之分组交换时延的计算

    一.类型 分组交换的时延包括一下几种： 1.1发送时延 发送时延，也叫传输时延，结点将分组的所有比特推向链路所需要的时间，即从发送分组的第一个比特算起，到该分组的最后一个比特发送完为止。 发送时延 分组长度 / 发…...

    编程日记 2024/8/15 6:23:33

    虚幻5|入门AI行为树，建立敌人

    本章分成两块部分一块是第一点的制作一个简单的AI，后面第二点之后是第二部分建立ai行为树。这两个部分是一个衔接，最好不要跳看 一，制作一个简单的AI 1.首先，我们创建一个敌人的角色蓝图，添加一个场景组件widget用于…...

    编程日记 2024/8/15 6:22:32

    ARM处理架构中的PMU(Performance Monitoring Unit)和 AMU(Activity Monitors Unit)简介

    在 ARM 架构中，PMU（Performance Monitoring Unit）和 AMU（Activity Monitors Unit）是用于性能分析和监控的硬件单元，但它们的功能和应用场景有所不同。以下是它们的主要区别： 1. PMU (Performance Monitoring Unit) 功能：PMU 是一种用于监控处理器性能的硬件单元。它可…...

    编程日记 2024/8/15 6:18:28

    Service服务在Android中的使用

    目录 一，Service简介 二，Service的两种启动方式 1，非绑定式启动Service 2，绑定式启动Service 三，Service的生命周期 1，非绑定式Service的生命周期 2，绑定式Service的生命周期 四&#xf…...

    编程日记 2024/8/15 6:16:26

    浅谈C语言位段

    1、位段的定义 百度百科中是这样解释位段的: 位段，C语言允许在一个结构体中以位为单位来指定其成员所占内存长度，这种以位为单位的成员称为“位段”或称“位域”( bit field) 。利用位段能够用较少的位数存储数据。 以下，我们均在VS2022的…...

    编程日记 2024/8/15 6:15:25

    arcgisserver登陆信息不正确

    密码明明对，但是登录提示登录信息不正确 Arcgis server 9.3.1 无法登录ArcGIS Manager 提示Incorrect Login Information 操作系统windows 2008 x64server 解决办法： 关闭window防火墙解决。 如果防火墙已经关闭： 通过修改用户口令后就可以重…...

    编程日记 2024/8/15 6:14:24

    KOLA: CAREFULLY BENCHMARKING WORLD KNOWLEDGE OF LARGE LANGUAGE MODELS

    文章目录 题目摘要简介KOLA 基准实验评估结论和未来工作道德声明 题目 KOLA：仔细对大型语言模型的世界知识进行基准测试 论文地址:https://arxiv.org/abs/2306.09296 项目地址:https://github.com/ranahaani/GNews 摘要 大型语言模型 (LLM) 的卓越性能要求评估方法…...

    编程日记 2024/8/15 6:13:22

    Robot Operating System——机器人关节的角度、速度和力矩

    大纲 应用场景定义字段解释 案例 sensor_msgs::msg::JointState 是 ROS (Robot Operating System) 中的一个消息类型，用于表示机器人关节的状态信息。它通常用于传输和处理机器人关节的角度、速度和力矩等信息。 应用场景 机器人控制 关节控制：在机器人…...

    编程日记 2024/8/15 6:11:20

    一分钟掌握java9新特性

    try-with-resources语句 /** * 在处理必须关闭的资源时，使用try-with-resources语句替代try-finally语句。 生成的代码更简洁，更清晰，并且生成的异常更有用 * java9 之前写法 */ public static String readFile1(String fileName){ tr…...

    编程日记 2024/8/15 6:09:18

    89. UE5 RPG 实现伤害 冷却 消耗技能描述

    在上一篇文章里，我们能够通过富文本显示多种格式的文字，并显示技能描述。在这一篇文章里，我们继续优化技能描述，将技能说需要显示的内容显示出来。 实现火球术的基础描述 首先，我们现实现火球术的基础描述&#xff0…...

    编程日记 2024/8/15 6:08:17

    el-tree树状控件，定位到选中的节点的位置

    效果图 在el-tree 控件加 :render-content"renderContent" 在掉接口的方法中 实际有用的是setTimeout 方法和this.$refs.xxxxxx.setCheckedKeys([industrycodeList]) if(res.data.swindustrylist.length>0){res.data.swindustrylist.forEach(item > {industry…...

    编程日记 2024/8/15 6:07:16

    YOLO目标检测的单目（多目标测距），使用相机光学模型，支持目标检测模型训练，可输出目标位置和距离信息并可视化

    本项目旨在开发一个基于YOLO的目标检测系统，该系统不仅能检测图像中的多个目标，还能利用单目摄像头的图像估计每个目标与摄像头之间的相对距离。系统的核心组成部分包括目标检测、距离估计、模型训练以及结果可视化。 主要功能 目标检测：使用…...

    编程日记 2024/8/15 6:04:12

    unity简易lua文件迁移工具

    一. 了解商业游戏的Lua热更新开发方式 市面上的3种结合Lua热更新的开发方式 1.纯Lua开发（所有的游戏主要逻辑都用Lua实现） 好处：机动性强；坏处：代码效率略差 2.半C#，半Lua开发（核心逻辑C#开发…...

    编程日记 2024/8/15 6:03:11

    免费建站网站大全/网站超级外链

    核心思想&#xff1a;利用transform属性读取文本长度进行判断CSS动画向左移动的长度。 <!-- wxml --> <view classsrcoll_frame><view class"srcollText">{{remindMessage}}</view> </view> <!-- js --> Page({data: {remindMes…...

    编程日记 2025/1/17 2:58:43

    wordpress删除谷歌自提/网站ip查询站长工具

    本文来自 あたらしい経済 原文作者 | 中谷一马&#xff08;日本众议院议员&#xff09;译者 | Azuma出品 | Odaily星球日报&#xff08;ID&#xff1a;o-daily&#xff09;6月18日&#xff0c;Facebook正式公布了其数字货币项目Libra&#xff0c;该项目旨在利用区块链技术创造…...

    编程日记 2025/1/17 2:41:24

    做网站你给推广/温州网站优化推广方案

    上个月参加了一场西雅图当地的线下 iOS 开发者聚会。Jeff Szuhay 作为一个有20年开发经验的资深程序员&#xff0c;跟我讲了一套提高 iOS 开发效率的方法。相比于其他程序员在 App 启动时间、架构优化方面的经验&#xff0c;老爷子 Jeff 的优化基于硬件层面&#xff0c;匠心独运…...

    编程日记 2025/1/17 0:16:27

    wordpress一键安装空间/seo关键词找29火星软件

    Linux环境下使用JFS文件系统 JFS是IBM公司为linux系统开发的一个日志文件系统。从IBM的实力及它对Linux的态度来看&#xff0c;JFS应该是未来日志文件系统中最具实力的一个文件系统。JFS提供了基于日志的字节级文件系统&#xff0c;该文件系统是为面向事务的高性能系统而开发的…...

    编程日记 2025/1/16 23:52:42

    常州市新北区城乡建设局网站/公司策划推广

    2018年已经过去&#xff0c;各行各业都在盘点这一年的成绩&#xff0c;随着国产手机品牌的崛起&#xff0c;曾经不可一世的苹果&#xff0c;也逐渐没落&#xff0c;如今我们熟悉的很多黑科技都出自于国产自主手机品牌。不得不承认的是&#xff0c;近年来国产手机完成了化茧成蝶…...

    编程日记 2025/1/16 21:33:50

    做网站的空间是什么/杭州全网推广

    我们通过which 可以快速的查到命令的路径以及别名 [rootevan-01 ~]# which rm alias rmrm -i/usr/bin/rm [rootevan-01 ~]# which rmdir /usr/bin/rmdir [rootevan-01 ~]#which 是如何工作的&#xff1f;是如何快速查到&#xff0c;又是到哪儿查的呢 实际上是从这几个目录里面…...

    编程日记 2025/1/16 20:23:04