DVWA_文件上传实验

一、低级安全水平文件上传实验

环境：
DVWA靶机
kali linux（burpsuite）
步骤：
有时我们需要上传文件，比如图片、文档等文件。网站可能会对我们的文件大小或者文件格式进行限制。
本次实验为解决对文件大小上传的限制。分为两种方法，修改前端代码、使用burpsuite对浏览器进行监听然后修改http请求

打开网站页面进行上传文件，这里如果上传成功则会显示出文件的路径，失败则会提示。

这里上传上传两种文件，一种为在规定大小内的(demo.txt)，一种为大于规定大小的文件(myLogoR.jpg)
先上传demo.txt

可以发现，提示上传的路径所以上传成功
接下来上传第二个文件

提示上传失败，接下来我们开始试验两种解决办法：

1. 修改前端代码方法
   调出浏览器控制台可以发现，html代码中写入了一个隐藏的标签，上面限制了文件最大可以上传多少
   
   此时，我们点击value中的数字，修改的大一些，然后点击upload。成功上传！
   

2. 使用burpsuite对浏览器监听（其实用截获这个词更好一点）然后修改http请求
   首先需要对浏览器进行代理设置，如图
   
   这里的目的则是当我们访问时，如果burpsuite开启侦听则会拦截http请求，可以选择转发、丢弃等。我们先要把burpsuite的侦听按钮打开，然后选择文件然后点击upload时，burpsuite则会进行拦截，此时浏览器则处于停滞等待状态。然后我们修改burpsuite拦截到的请求包中的内容，再选择转发，此时也会达到能够上传的目的。
   
   很明显，我们上传文件的大小为393017大于网站所限制的大小100000，所以我们修改100000为任何大于393017的数字即可成功上传。
   
   本次实验就做到这里。

二、中级安全水平文件上传实验

环境：
同初级安全水平
步骤：
上一实验中，对文件大小做了限制，本次实验中可以在源代码中查看到，对文件的大小和文件的格式均做出了限制（格式必须为jpg格式）

依旧采取burpsuite对文件格式进行修改

实验的环境可以关注我的微信公众号，后台回复“靶机环境”即可获得。