AI智能摘要
你是否曾为找不到WebShell上传后的路径而束手无策？本文带你复盘一次真实的渗透测试实战：通过御剑扫描发现上传入口，利用Burp拦截跳转，巧妙从Cookie中提取关键线索。当常规思路失效时，如何通过源码泄露定位文件存储规则？文章详细揭示了基于时间戳、verify值和文件名组合生成路径的上传机制，并演示了精准构造URL、成功连接菜刀获取flag的完整溯源过程，是提升实战能力的绝佳案例。
— AI 生成的文章内容摘要
首先用御剑扫描目录得到上传目录 /admin/upload1.php /admin/upload2.php
扫出来这么些，大概也够了，打开命名是upload1的php文件，不过中间可以看到有个上传页面一闪而过。看来有跳转，用burp拦截一下，点击了确定之后就会跳到真正的上传页面，burp拦截到的内容如下：
我已经上传了php一句话木马，但是属实找不到上传到了哪里，最后根据提示，在cookie中找到了漏洞，当cookie中uploadmd5这个字段中如果有文件名，就会返回过来存在文件的内容，那么这样的话就可以看到了上传页面的源码，源码中肯定就有保存的位置：
用浏览器重新发起请求，字段的值改为upload_file.php，返回过来了上传页面的源码：
发现了是加上了几个变量的文件路径，
file2=$path.time.'_'.$verify.’_’.$file1;
在上传时记住verify的值
file=上传时间_verify_file 组合上面记下的值，得到上传路径
接下来就构造一下URL：
http://ip/admin/uploadfile/20190227_60b257bc2ef99763_ma.php
到此已经大功告成，用菜刀连上直接就可以拿到key
- 本文由 枫少@KillBoy 发表于2019年3月21日 12:12:41
- it2021
- it2021.com
- WebShell文件上传分析溯源
- 墨者学院
- 墨者学院writeup
评论 42 访客 41 作者 1
1F
这种跳转拦截用burp确实方便，但新手容易卡在第一步
河北 廊坊 2F
之前搞渗透测试也卡在过找上传路径这一步，太真实了😭
山东 青岛 3F
verify的值是咋记住的？浏览器刷新不就没了？
江苏 连云港 4F
直接用菜刀连，这么直接的吗？
新疆 喀什 5F
图片里那个g123456.php就是传上去的shell吧？
北京 北京 6F
路径是时间加verify再加文件名，这命名规则有点东西
镰仓 7F
感觉步骤有点跳，对于完全没基础的人来说可能跟不上
浙江 嘉兴 8F
所以关键就是cookie里藏了源码？这漏洞挺隐蔽
广东 佛山 9F
搞定了？这就拿到key了？牛啊666
江苏 南京 10F
看了半天，还是没懂怎么定位到那个cookie字段的🤔
黑龙江 哈尔滨 11F
这操作够骚的，cookie藏源码这招我咋就没想到呢。
北京 北京 12F
verify值是不是在burp拦截的响应里能看到啊？
浙江 宁波 13F
路径组合那一步有点绕，得对着看几遍才明白。
首尔 首尔 14F
直接用菜刀连可还行，够粗暴的😂
首尔 首尔 15F
除了御剑和burp，还有啥其他工具推荐不？新手求带。
广东 广州 16F
图片里那些状态码200的，是不是表示上传成功了？
柔佛州 17F
感觉这个writeup写得挺干的，没废话。
福建 福州 18F
之前也碰到过类似的跳转，死活找不到上传点，原来是拦截的问题。
北京 北京 19F
所以uploadmd5这个字段名，是咋猜出来的？纯靠经验吗？
布里斯班 20F
看起来步骤都对，但实际环境会不会有别的防护？
上海 上海 21F
这操作也太绕了吧，新手直接看懵
江西 萍乡 22F
图片里那些200状态码，是不是都算成功上传了？
布里斯班 23F
cookie里藏路径这招挺隐蔽的
北京 北京 24F
burp拦截那步具体咋操作？求详细步骤
千叶 25F
之前做ctf也卡在找上传路径，简直噩梦😭
浙江 杭州 26F
cookie藏源码这招够隐蔽的，学到了新姿势
辽宁 抚顺 27F
直接用菜刀连也太莽了，不怕被ban吗😂
四川 成都 28F
verify值记不住的话是不是就白搞了？
福井 29F
御剑扫目录那步感觉可以再详细点说
河南 安阳 30F
这个writeup对小白确实不太友好，跳步严重
千叶 31F
所以关键就是抓包看响应找verify值？
山西 大同 32F
上传路径的命名规则挺有意思的，时间+verify+文件名
福建 莆田 33F
除了菜刀还有别的连接工具推荐吗？
新 赫尔辛基 34F
我喜欢 度假栏目。激励人心了解路线。 [url=https://iqvel.com/zh-Hans/a/%E4%B9%8C%E5%85%8B%E5%85%B0/%E7%AC%AC%E8%81%82%E4%BC%AF%E7%BD%97%E5%BD%BC%E5%BE%97%E7%BD%97%E5%A4%AB%E6%96%AF%E5%85%8B%E5%84%BF%E7%AB%A5%E9%93%81%E8%B7%AF]第聶伯羅彼得羅夫斯克兒童鐵路[/url] 研究你的文章, 我看出, 世界很美。由衷感谢 旅行灵感。
湖北 荆门 B1
@ Josephtug 这旅行灵感挺特别的
上海 上海 35F
cookie里藏路径这招真绝了
江苏 泰州 36F
verify值是在响应里直接拿到的吗？
B1
@ 夜影随 不是直接拿到的，是通过看源码知道的生成规则。
37F
原来上传页面一闪而过用burp拦截就能看到，之前遇到这种直接放弃了。
湖北 咸宁 B1
@ 天际漫游者 之前我也直接放弃了，原来还能拦下来看，学到了。
胡志明 胡志明 38F
时间戳和verify拼路径那块，我试了好几次才成功。
江苏 镇江 B1
@ 天真的童心 哈哈，同感，那个拼接我一开始也懵，多试几次就摸清了。