浅谈一次edusrc | 文件上传成功getshell
💡
原文中文，约2600字，阅读约需7分钟。
📝
内容提要
本文介绍了微信小程序的漏洞挖掘，重点讨论存储型XSS和文件上传漏洞。作者分享了Proxifier工具的使用方法及注册码，并提供了基础的渗透测试思路，适合初学者。强调小程序的漏洞挖掘相较于web应用更为简单，同时提醒读者注意合法性和安全性。
🎯
关键要点
- 微信小程序的漏洞挖掘相较于web应用更为简单，适合初学者。
- 存储型XSS漏洞在微信小程序中较为常见，特别是在上传头像和身份证信息的地方。
- 使用Proxifier工具进行抓包，提供了注册码和配置方法。
- 通过上传.html文件可以触发存储型XSS漏洞。
- 文件上传漏洞可以利用上传jsp木马进行getshell。
- 文章内容偏向基础的漏洞挖掘，适合刚入门的学习者。
- 强调合法性和安全性，未授权的攻击属于非法行为。
❓
延伸问答
微信小程序的漏洞挖掘有什么特点？
微信小程序的漏洞挖掘相较于web应用更为简单，适合初学者。
如何利用Proxifier工具进行抓包？
Proxifier工具可以通过配置代理设置进行抓包，提供了安装和便携版的使用方法。
存储型XSS漏洞在微信小程序中如何触发？
可以通过上传.html文件到头像或身份证信息上传点来触发存储型XSS漏洞。
文件上传漏洞如何被利用进行getshell？
可以尝试上传jsp后缀的木马文件，如果网站对文件上传过滤不严，就能成功执行该代码并获取shell。
文章中提到的合法性和安全性有什么重要性？
文章强调未授权的攻击属于非法行为，提醒读者在进行漏洞挖掘时注意合法性和安全性。
初学者在进行漏洞挖掘时应该注意什么？
初学者应注意合法性和安全性，避免进行未授权的攻击，同时可以从微信小程序入手。
➡️
