商丘师范学院第五届网络安全及信息对抗大赛 Web Writeup 1. 传马（Web，困难，90pts） 页面只有一句提示：「好奇怪，为什么这个按钮点不动呢」。打开容器看到的是图片上传站，前端按钮带 disabled 属性。 assets/check.js 里已经把底牌写出来了： /* * 前端校验（全部可被绕过，仅提升"用户体验"） * 注意：提交按钮在 HTML 里带了 disabled 属性，正常情况下点不动。 * 真正的突破口是用 Burp 抓包改 filename / Content-Type。 */ 按钮点不动不影响直接发包。打开浏览器 DevTools，直接删掉 disabled 属性，然后在 DevTools Network 面板里抓到上传请求的 multipart/form-data ，把 filename 和 Content-Type 参数改一下： 把 filename