03.文件上传之mime类型检测绕过 – 星雨の小破站

03.文件上传之mime类型检测绕过

2025-1-18 17:19

|

web安全,文件上传漏洞

|

336

210 字

|

1 分钟内

本文最后更新于521 天前，其中的信息可能已经过时，如有错误请发送邮件到big_fw@foxmail.com

一、介绍

MIME(Multipurpose Internet Mail Extensions)多用途网络邮件扩展类型，可被称为Media type或Content type，它设定某种类型的文件当被浏览器打开的时候需要用什么样的应用程序，多用于HTTP通信和设定文档类型例如HTML。之所以叫多用途网络邮件扩展类型，因为它最早被用于电子邮件系统，后用于浏览器。

Pasted image 20241109163532.png

Pasted image 20241109163505.png

Pasted image 20241109163704.png

Pasted image 20241109163840.png

Pasted image 20241109163850.png

那么在我们抓包的时候，content-type里面的值，就是文件的mime类型，如果后台是根据这个来判断文件类型的，那么就存在mime类型的检测绕过。

二、绕过方式

抓包

Pasted image 20241109164424.png

更改类型为
image/jpeg

Pasted image 20241109164530.png

成功上传

Pasted image 20241109164729.png

复制路径

文末附加内容

暂无评论

发送评论编辑评论

Markdown

悄悄话

邮件提醒

|´・ω・)ノ

ヾ(≧∇≦*)ゝ

(☆ω☆)

（╯‵□′）╯︵┴─┴

￣﹃￣

(/ω＼)

∠( ᐛ 」∠)＿

(๑•̀ㅁ•́ฅ)

→_→

୧(๑•̀⌄•́๑)૭

٩(ˊᗜˋ*)و

(ノ°ο°)ノ

(´இ皿இ｀)

⌇●﹏●⌇

(ฅ´ω`ฅ)

(╯°A°)╯︵○○○

φ(￣∇￣o)

ヾ(´･･｀｡)ノ"

( ง ᵒ̌皿ᵒ̌)ง⁼³₌₃

(ó﹏ò｡)

Σ(っ °Д °;)っ

( ,,´･ω･)ﾉ"(´っω･｀｡)

╮(╯▽╰)╭

o(*////▽////*)q

＞﹏＜

( ๑´•ω•) "(ㆆᴗㆆ)

颜文字

Emoji

小恐龙

花!