buuctf(web):[ACTF2020 新生赛]Upload

打开连接如图

首先随便上传一句话木马，但是发现不可以

查看源代码，发现

 

 可能是前端绕过，所以禁用js，重新上传

 

 也没有成功，可能后端也做了过滤，尝试其他格式的一句话木马

 发现后缀名为phtml的一句话木马可以上传成功

 

并且给出了上传路径，那么使用蚁剑连接

在根目录下获得flag