Bahnbrechende lokale JS-Verifizierungslösung
Eine Art der JS-Überprüfung, auf die wir beim Hochladen von Schwachstellen häufig stoßen, ist ziemlich ärgerlich. Die Methode zur Beurteilung, ob die JS-Überprüfung auf einer Website aktiviert ist, kann nicht anhand der Beurteilungsgeschwindigkeit beurteilt werden, da die JS-Überprüfung für die lokale Überprüfung auf dem Client verwendet wird . Wenn Sie also ein falsches Dateiformat hochladen, wird die Beurteilung bald zeigen, dass der von Ihnen hochgeladene Dateityp falsch ist. Dann können wir beurteilen, dass die Website die js-Überprüfung verwendet.
js-Verifizierungsumgehungs-Democode:
<?php
/**
* Created by cracer
* Date: 15-10-7
* Time: 下午1:19
* Name: upload1.php
* cracer：http://www.cracer.com/
*/
//文件上传漏洞演示脚本之js验证
$uploaddir = 'uploads/';
if (isset($_POST['submit'])) {
if (file_exists($uploaddir)) {
if (move_uploaded_file($_FILES['upfile']['tmp_name'], $uploaddir . '/' . $_FILES['upfile']['name'])) {
echo '文件上传成功，保存于：' . $uploaddir . $_FILES['upfile']['name'] . "\n";
}
} else {
exit($uploaddir . '文件夹不存在,请手工创建！');
}
//print_r($_FILES);
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html;charset=gbk"/>
<meta http-equiv="content-language" content="zh-CN"/>
<title>文件上传漏洞演示脚本--JS验证实例</title>
<script type="text/javascript">
function checkFile() {
var file = document.getElementsByName('upfile')[0].value;
if (file == null || file == "") {
alert("你还没有选择任何文件，不能上传!");
return false;
}
//定义允许上传的文件类型
var allow_ext = ".jpg|.jpeg|.png|.gif|.bmp|";
//提取上传文件的类型
var ext_name = file.substring(file.lastIndexOf("."));
//alert(ext_name);
//alert(ext_name + "|");
//判断上传文件类型是否允许上传
if (allow_ext.indexOf(ext_name + "|") == -1) {
var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
alert(errMsg);
return false;
}
}
</script>
<body>
<h3 id="文件上传漏洞演示脚本-JS验证实例">文件上传漏洞演示脚本--JS验证实例</h3>
<form action="" method="post" enctype="multipart/form-data" name="upload" onsubmit="return checkFile()">
<input type="hidden" name="MAX_FILE_SIZE" value="Bahnbrechende lokale JS-Verifizierungslösung04800"/>
请选择要上传的文件：<input type="file" name="upfile"/>
<input type="submit" name="submit" value="上传"/>
</form>
</body>
</html>Hinweis: Es ist am besten, wenn der Ordnerpfad und der Dateiname auf Englisch sind, da andernfalls möglicherweise ein Fehler gemeldet wird .
Speichern Sie einfach den Code als upload.php und erstellen Sie dann im selben Verzeichnis einen Upload-Ordner, um die hochgeladenen Dateien zu speichern.
JS-Überprüfungs-Bypass-Methode
Die JS-Überprüfung lässt sich am besten umgehen. Es scheint ein Sprichwort zu geben, dass die clientbasierte Überprüfung unsicher ist. Hier gibt es verschiedene Umgehungsmethoden.
Wie kann festgestellt werden, ob der Datei-Upload auf einer clientseitigen JS-Überprüfung basiert?
Es gibt viele Methoden, z. B. das direkte Anzeigen der Website-Quelldatei und die Verwendung eines Paketerfassungstools, um zu überprüfen, ob der Client ein Datenpaket an den Server übermittelt hat. Wenn nicht, verwenden Sie die js-Überprüfung und laden Sie eine Datei unter hoch zufällig, und sehen Sie sich das Rückgabeergebnis an.
Wie im Bild oben gezeigt, erscheint bei der JS-Verifizierung direkt nach dem Absenden der hochgeladenen Datei eine Eingabeaufforderung und die Dateiübermittlung an den Server wird beendet. Die Umgehungsmethode lautet wie folgt:
A. Wir können den Code zur Überprüfung der hochgeladenen Datei direkt löschen, wenn die Datei im Onsubmit-Ereignis im Code hochgeladen wird.
ok, wir haben Firebug verwendet, um es zu entfernen
B. Ändern Sie die im Datei-Upload-JS-Code zulässigen Dateierweiterungen direkt in die Dateierweiterungen, die Sie hochladen möchten.
ok Die folgenden beiden Methoden sind relativ einfach zu bedienen. Ich werde sie hier nicht demonstrieren Fragen Sie mich auf QQ.
C. Verwenden Sie einfach das lokale Einreichungsformular und nehmen Sie entsprechende Änderungen vor.
D. Verwenden Sie zum Senden zunächst Proxy-Tools wie burpsuite oder fiddle, fangen Sie sie beim Hochladen ab und ändern Sie dann die Dateierweiterung in asp.
Die oben genannten 4 Methoden können von jedem frei verwendet werden und alle können die lokale JS-Überprüfung umgehen.
Verwandte Empfehlungen:
Empfohlene Zusammenfassung verwandter Artikel zur JS-Verifizierung
Regulärer Ausdruck der JS-Verifizierungstelefonnummer und des Mobiltelefons Telefonnummernformel
js, um zu überprüfen, ob die Ausweisinformationen legal sind
Das obige ist der detaillierte Inhalt vonBahnbrechende lokale JS-Verifizierungslösung. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!
Heiße KI -Werkzeuge
Undresser.AI Undress
KI-gestützte App zum Erstellen realistischer Aktfotos
AI Clothes Remover
Online-KI-Tool zum Entfernen von Kleidung aus Fotos.
Undress AI Tool
Ausziehbilder kostenlos
Clothoff.io
KI-Kleiderentferner
AI Hentai Generator
Erstellen Sie kostenlos Ai Hentai.
Heißer Artikel
Heiße Werkzeuge
Notepad++7.3.1
Einfach zu bedienender und kostenloser Code-Editor
SublimeText3 chinesische Version
Chinesische Version, sehr einfach zu bedienen
Senden Sie Studio 13.0.1
Leistungsstarke integrierte PHP-Entwicklungsumgebung
Dreamweaver CS6
Visuelle Webentwicklungstools
SublimeText3 Mac-Version
Codebearbeitungssoftware auf Gottesniveau (SublimeText3)
Heiße Themen
1384
52
Lösung für das Problem, dass das chinesische Sprachpaket nicht auf einem Win11-System installiert werden kann
Mar 09, 2024 am 09:48 AM
Lösung für das Problem, dass das Win11-System das chinesische Sprachpaket nicht installieren kann. Mit der Einführung des Windows 11-Systems begannen viele Benutzer, ihr Betriebssystem zu aktualisieren, um neue Funktionen und Schnittstellen zu nutzen. Einige Benutzer stellten jedoch fest, dass sie das chinesische Sprachpaket nach dem Upgrade nicht installieren konnten, was ihre Erfahrung beeinträchtigte. In diesem Artikel besprechen wir die Gründe, warum das Win11-System das chinesische Sprachpaket nicht installieren kann, und stellen einige Lösungen bereit, die Benutzern bei der Lösung dieses Problems helfen. Ursachenanalyse Lassen Sie uns zunächst die Unfähigkeit des Win11-Systems analysieren
Fünf Tipps, die Ihnen zeigen, wie Sie das Problem lösen können, dass sich das Black Shark-Telefon nicht einschaltet!
Mar 24, 2024 pm 12:27 PM
Da sich die Smartphone-Technologie ständig weiterentwickelt, spielen Mobiltelefone eine immer wichtigere Rolle in unserem täglichen Leben. Als Flaggschiff-Telefon mit Schwerpunkt auf Spieleleistung erfreut sich das Black Shark-Telefon bei Spielern großer Beliebtheit. Manchmal sind wir jedoch auch mit der Situation konfrontiert, dass das Black Shark-Telefon nicht eingeschaltet werden kann. Zu diesem Zeitpunkt müssen wir einige Maßnahmen ergreifen, um dieses Problem zu lösen. Als Nächstes geben wir Ihnen fünf Tipps, wie Sie das Problem lösen können, dass sich das Black Shark-Telefon nicht einschaltet: Schritt 1: Überprüfen Sie zunächst die Akkuleistung. Stellen Sie zunächst sicher, dass Ihr Black Shark-Telefon über genügend Strom verfügt. Möglicherweise ist der Akku des Telefons leer
Der Treiber kann auf diesem Gerät nicht geladen werden. (Persönlich getestet und gültig)
Mar 14, 2024 pm 09:00 PM
Jeder weiß, dass das Gerät möglicherweise nicht richtig funktioniert oder nicht richtig mit dem Computer interagiert, wenn der Computer den Treiber nicht laden kann. Wie lösen wir also das Problem, wenn auf dem Computer eine Meldung angezeigt wird, dass der Treiber auf diesem Gerät nicht geladen werden kann? Der unten stehende Editor zeigt Ihnen zwei Möglichkeiten, wie Sie das Problem einfach lösen können. Der Treiber kann auf diesem Gerät nicht geladen werden. Lösung 1. Suchen Sie im Startmenü nach „Kernel Isolation“. 2. Deaktivieren Sie die Speicherintegrität. Die Meldung oben lautet: „Die Speicherintegrität wurde deaktiviert. Ihr Gerät ist möglicherweise anfällig.“ Klicken Sie einfach darauf und ignorieren Sie es. 3. Das Problem kann nach einem Neustart der Maschine behoben werden.
Wie kann das Problem des automatischen Speicherns von Bildern beim Veröffentlichen auf Xiaohongshu gelöst werden? Wo ist das beim Posten automatisch gespeicherte Bild?
Mar 22, 2024 am 08:06 AM
Durch die kontinuierliche Entwicklung der sozialen Medien ist Xiaohongshu zu einer Plattform für immer mehr junge Menschen geworden, auf der sie ihr Leben teilen und schöne Dinge entdecken können. Viele Benutzer haben beim Posten von Bildern Probleme mit der automatischen Speicherung. Wie kann man dieses Problem lösen? 1. Wie kann das Problem des automatischen Speicherns von Bildern beim Veröffentlichen auf Xiaohongshu gelöst werden? 1. Cache leeren Zuerst können wir versuchen, die Cache-Daten von Xiaohongshu zu löschen. Die Schritte sind wie folgt: (1) Öffnen Sie Xiaohongshu und klicken Sie auf die Schaltfläche „Mein“ in der unteren rechten Ecke. (2) Suchen Sie auf der persönlichen Center-Seite nach „Einstellungen“ und klicken Sie darauf. (3) Scrollen Sie nach unten und suchen Sie nach „; Option „Cache löschen“. Klicken Sie auf „OK“. Nachdem Sie den Cache geleert haben, geben Sie Xiaohongshu erneut ein und versuchen Sie, Bilder zu posten, um zu sehen, ob das Problem mit dem automatischen Speichern behoben ist. 2. Aktualisieren Sie die Xiaohongshu-Version, um sicherzustellen, dass Ihr Xiaohongshu
So lösen Sie verstümmelte chinesische Zeichen unter Linux
Feb 21, 2024 am 10:48 AM
Das verstümmelte Linux-Chinesisch-Problem ist ein häufiges Problem bei der Verwendung chinesischer Zeichensätze und Kodierungen. Verstümmelte Zeichen können durch falsche Dateikodierungseinstellungen, nicht installiertes oder eingestelltes Systemgebietsschema, Konfigurationsfehler bei der Terminalanzeige usw. verursacht werden. In diesem Artikel werden mehrere gängige Problemumgehungen vorgestellt und spezifische Codebeispiele bereitgestellt. 1. Überprüfen Sie die Dateikodierungseinstellung. Verwenden Sie den Dateibefehl im Terminal, um die Kodierung der Datei anzuzeigen: file-ifilename
Teilen Sie die Methode zur Lösung des Problems, dass PyCharm nicht geöffnet werden kann
Feb 22, 2024 am 09:03 AM
Titel: So lösen Sie das Problem, dass PyCharm nicht geöffnet werden kann. PyCharm ist eine leistungsstarke integrierte Python-Entwicklungsumgebung, aber manchmal kann es vorkommen, dass PyCharm nicht geöffnet werden kann. In diesem Artikel stellen wir einige gängige Problemumgehungen vor und stellen spezifische Codebeispiele bereit. Ich hoffe, das hilft denjenigen, die auf dieses Problem stoßen. Methode 1: Cache leeren Manchmal können die Cache-Dateien von PyCharm dazu führen, dass das Programm nicht normal geöffnet wird. Wir können versuchen, den Cache zu leeren, um dieses Problem zu lösen. Werkzeug
So lösen Sie das Problem, dass das Standard-Gateway automatisch verschwindet
Feb 24, 2024 pm 04:18 PM
So lösen Sie das Problem, dass das Standard-Gateway automatisch verschwindet. In der modernen Gesellschaft ist das Internet zu einem unverzichtbaren Bestandteil des Lebens der Menschen geworden. Ob bei der Arbeit oder zur Unterhaltung, wir alle benötigen stabile Netzwerkverbindungen, um verschiedene Aufgaben zu erledigen. Das Standard-Gateway ist eines der Schlüsselelemente, die das lokale Netzwerk mit dem externen Internet verbinden. Allerdings kann es manchmal vorkommen, dass das Standard-Gateway automatisch verschwindet, was dazu führt, dass kein Zugriff auf das Internet mehr möglich ist. Wie sollen wir also dieses Problem lösen, wenn das Standard-Gateway verschwindet? Zunächst sollten wir das Konzept des Standard-Gateways klären. Das Standard-Gateway ist eine Netzwerkroute
So lösen Sie das Problem, dass der Huawei-Browser nicht mehr auf diese Webseite zugreift
Feb 26, 2024 pm 01:28 PM
Wie kann das Problem gelöst werden, dass der Huawei-Browser nicht mehr auf diese Webseite zugreift? Wenn Sie mit dem mobilen Browser von Huawei auf bestimmte Websites zugreifen, wird möglicherweise eine Meldung mit dem Hinweis angezeigt, dass der Zugriff verboten ist, wodurch Benutzer daran gehindert werden, verwandte Inhalte normal zu durchsuchen. Dies ist für Benutzer sehr unpraktisch. Was sollten wir also tun, wenn wir auf eine Situation stoßen, in der der Zugriff auf die Website des Huawei-Mobilbrowsers verboten ist? Der folgende Editor bietet Ihnen Lösungen für das Problem, den Zugriff auf die Huawei-Browser-Website zu verbieten. Ich hoffe, dass er Ihnen hilfreich sein wird. Lösung für das Verbot des Zugriffs auf die Huawei-Browser-Website 1. Klicken Sie nach dem Öffnen des Huawei-Mobilbrowsers unten auf das Dreipunktsymbol und dann auf Einstellungen. 2. Nachdem Sie die Einstellungen eingegeben haben, klicken Sie auf [Sicherheit und Datenschutz] 3. Schalten Sie den Schalter auf der rechten Seite von [Sicheres Surfen] aus, um die Zugriffsbeschränkungen für die Website aufzuheben. Das Obige ist die Lösung für das Verbot des Zugriffs auf Huawei-Browser-Websites.
