前端每次挑选篮球明星，都会通过get请求，传了文件名，把页面展示出来，由于文件名时前端传给后台;并且查看源码，没有对参数做限制；
尝试直接从前端修改filename 参数；
filename=../../../../../../../../../etc/passwd这样就变成包含passwd文件；
Pikachu-File Inclusion- 本地文件包含
什么鬼昵称2024-10-06 2:34
前端每次挑选篮球明星，都会通过get请求，传了文件名，把页面展示出来，由于文件名时前端传给后台;并且查看源码，没有对参数做限制；
尝试直接从前端修改filename 参数；
filename=../../../../../../../../../etc/passwd这样就变成包含passwd文件；