内容简介：

1.前言
朋友前几天发来个地址，让一块儿给看一下。。于是就有了这一次苦逼的测试经历。。
2.初步探测
朋友说只有这一个地址可以碰，其他的别动。。大体看了一下，是一个什么自来水的公司的平台。心想：像这样的公司，其实还是比较好做的，资产比较少，也没什么防护。直到后面才发现，脸都被抽肿了。

比较幸运的是，没有验证码，可爆破。既然能提示，那就爆破试试吧。。看运气
既然是MD5加密，那就直接跑跑看，top500直接show hand
比较幸运，进来了。
因为不知道具体框架是什么，所以只能找慢慢找漏洞点，不过总算是进来了。

3.尝试利用
后台嘛，一开始想的就是最直接的方式还是上传。。最开始找到了头像...

查看原文

? 头疼的上传绕过waf