记一次运营商项目的渗透测试

这周又是接到某运营商的项目，运营商要求每个月常规测试一次，人麻了，每次都是那么多资产，已经记不得这是我测试的第几遍了。今天突发奇想又想到了一个新思路

拿到测试账号登录进去以后，日常测试，点到一个导入图片的功能点的时候，发现要求如下。

图片原始大小不超过3M

图片分辨率为1920*1080

要求这几个条件，那我就想到了导入图片，可能有任意文件上传（不解析就是垃圾）。后管系统没有越权，导入图片如果能够下载的话，可能存在任意文件下载以及SSRF........那这些太常规了。又想到最近老是SRC撞运气，撞了一堆的图片验证拒绝服务攻击。

那如果我上传一个大于3M的是一个简单的突破限制条件漏洞，但是如果这个图片我能够访问呢？我在请求图片大小的时候，也是会向服务器进行请求。

说干就干，从网上找到了一张大小为846kb的图片

点击导入的进行抓包，截图是高强度的马赛克不然容易出事

在数据块的地方，多复制几次，进行重放。

重新查看页面，找到图片，进行请求，发现上传成功，通过查看页面发现，时延确实挺高，可以造成了拒绝服务攻击

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。

欢迎关注公众号“呼啦啦安全”，原创技术文章第一时间推送。

原文始发于微信公众号（呼啦啦安全）：记一次运营商项目的渗透测试