i春秋-第三届“百越杯”福建省高校网络空间安全大赛-Do you know upload？

进去提示有提示文件包含漏洞

拿到源码发现这里上传验证只有MIME验证 可直接抓包改 image/gif 绕过 

接下来就是这次学到的点了 

 菜刀连接过后怎么都找不到flag文件，但是这里找到了数据库配置文件

这里显示了服务器名 和 用户名和密码还有数据库名

这里猜想答案应该在数据库里，然后直接编辑

T 数据库类型 H 服务器名 u 用户名 p 密码

然后管理数据库

 发现什么都没有

尝试改动上面的语句

 回车拿到flag