田阳县建设局网站wordpress用户管理插件

打开题目链接，很常见的文件上传框

经过尝试，发现上传东西后会调用upload.php，猜测文件被传到upload目录下

随便传了几个类型的文件，访问upload目录

发现.php文件以及.htaccess、.user.ini这种配置文件都没有传上去

但是通过抓包我们可以发现，其实php文件以及配置文件都是上传成功了的（响应200）

说明文件上传成功，但是服务器在短时间内就立刻将其删掉了

这种情况只能采取条件竞争

条件竞争原理：当我们成功上传了php文件，服务端会在短时间内将其删除，我们需要抢在它删除之前访问文件并生成一句话木马文件，所以访问包的线程需要大于上传包的线程。

这里我们先写一个用于上传的php文件（我这里命名为m.php），内容如下：

<?php fputs(fopen("shell.php", "w"), '<?php @eval($_POST["shell"]); ?>'); ?>

我们可以使用多线程并发的访问上传的文件，总会有一次在上传文件到删除文件这个时间段内访问到上传的php文件（m.php），一旦我们成功访问到了上传的文件（m.php），那么它就会向服务器写一个shell（shell.php）。

换句话说，我们最终利用的并不是我们上传的文件，上传只是为了能有一刻成功访问，一旦访问成功，便会写入一句话木马，我们最终利用的就是新写入的php文件。

上传m.php，利用burpsuite抓包（这个是上传包）

设置上传包的线程数（这里设置为30）

设置攻击载荷，选择没有负载，并且勾上无限期地重复

这里注意一个小细节：

如果没有清除有效负载的位置

开始攻击后的请求包中filename为空

清除之后，再开始攻击

filename=m.php（即我们上传的文件）

接下来我们抓访问包：

我们直接尝试访问shell.php，使用burpsuite进行抓包

同理设置线程数（这里设置为80）

注意：访问包的线程数一定要大于上传包的线程数

设置攻击载荷，选择没有负载，并且勾上无限期地重复

设置好之后开始攻击

最开始可能访问包都是404或者500

但是过一会儿你再次筛选状态码，你就会看到200的响应

这说明条件竞争成功，已经成功向服务器写入了shell.php

我们访问upload目录查看，确实已经存在shell.php

接下来使用蚁剑连接即可

在html目录下找到flag.php

cyberpeace{b2ccdb64cfd4c8f30450d306dab8da1c}