这几天在做渗透测试的时候，发现一个有趣的东西。目标有上传漏洞，但是无论如何都没法让webshell执行。访问任何jsp文件都跳到登录的地 方，然后尝试过变换jsp的大小写，虽然不跳了，但是直接不解析，利用apache的解析漏洞上传文件，也不解析。后来只能放弃…
今天在工作中做另外一个站的渗透测试的时候，有个很特别的东西，JSPX，发现可以解析。然后去找了下是否apache默认解析jspx的文件。 qingshen大牛，直接把配置的截图发过来，瞅了下，果然是类似iis解析cer、asa这类文件，作为一个jsp的映射。后来去网上找有没有 jspx的马，结果是没有找到的说，后来无才大牛丢了一个过来，上传，解析，搞定目标。呱呱…
下面共享一个jspx的一句话木马，拒绝500,解压密码paxmac.org。
下载地址：