下载接口如何找到文件上传路径

#1
在一个java站中找到一个文件上传点,经过尝试应该是黑名单过滤,过滤最后一个"."后面的内容

后面尝试html的文件,访问也是无法解析,下载下来了




请问各位大佬,如何找到文件上传的路径和绕过黑名单的方法呢?
2022-12-13
#2
没源码基本不可能,可能上传文件都不是存放在网站目录下的,怎么访问呢
2022-12-13
#3
“后面尝试html的文件,访问也是无法解析,下载下来了”---引用你的话

说明人家配置的规则就是下载(我之前就碰到过,人家就是文件储存的目录,上传任何东西都是下载。绕过去上传了难道就能执行???),你就算是绕过了上传了.php 或者 .jsp  也是下载那绕过又有何意义呢?
个人博客:https://woj.app
打人不打脸,求放过。
2022-12-13
#4
这种上传目录直接写到其他盘符都可以,这都白名单了,估计有一点安全意识,上传的目录估计不会在web目录
2022-12-13
#5
也是要看的,有的网站就是这样,你用下载页面就是直接下载回来,但是访问目录路径就可以解析,上传目录的话,观察下网站的其他新闻或者是文章,看看他们正常的图片什么的上传路径是多少,或者自己字典跑一下,要嘛就是不在web目录下或者是规则就是不解析的那种oss存储
2022-12-13
#6
这怕是不得行吧,下载如何找上传
2022-12-13
#7
这个可能做了防护, 恐怕不得行
hello world
2022-12-13
#8
目录穿越试一下 不行就无
2022-12-13
#9
如果下载使用id这种,估计就是在其他盘符了
2022-12-13
#10
id  映射文件     估计没办法