> For the complete documentation index, see [llms.txt](https://rodgar.gitbook.io/rodgar/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://rodgar.gitbook.io/rodgar/othe/owasp-top-10/abuso-de-subidas-de-archivos/laboratorio-3.md).

# Laboratorio 3

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FXWIRd50stoFzbmnaPJIt%2F1.png?alt=media&amp;token=71be035c-5c16-435c-ab01-031c577292bd" alt=""><figcaption></figcaption></figure>

***

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2F5oCBA3mnOrS66mS7yGmt%2F2.png?alt=media&amp;token=b4cf1988-e50a-4366-acdc-f3e90614c802" alt=""><figcaption></figcaption></figure>

Si intentamos subir el archivo observamos que no nos deja, vamos a pasar la peticion por Burp Suite para ver como se tramita.

***

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FNIJeeVzxJVKgScgkWgvd%2F3.png?alt=media&amp;token=971277ec-49e7-477e-b5e4-715b7fa43fc5" alt=""><figcaption></figcaption></figure>

Si cambiamos la extencion y que no sea php puero pues observamos que php5 me deja subir.

***

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2F6ZmUXmKOeA8tbH7SxNmu%2F4.png?alt=media&amp;token=fc9f81db-eb11-4e01-9ecf-e0438cfcd18b" alt=""><figcaption></figcaption></figure>

Ya con el archivo malicioso subido observamos que se nos interpreta de aca pa delante es facil ganar acceso.