文件上传

0.最基础的当然是没有过滤的：

这种除非是你自己写的练习的小页面，否则emm

1.最基础的前端JS校验：

一开始先上传符合要求的文件后缀，如JPG这种，然后使用抓包工具（burpsuite）修改文件的后缀。

现在这种很少了，就是一些基础的CTF比赛练习题可能会出现。

参考练习upload-labs Pass-02

2.后端黑名单绕过;

就是文件名各种变形绕过了，常见的PHP可以写成php3、phtml、php4、php5、php7这种形式，这种的前提就是网站可以解析这种变形的php后缀。
像asp的文件有aspx这种，jsp有jspx这种

阿西 = = 差点忘了还有一种就是乱七八糟命名绕过法，只针对黑名单~~~

前提是网站使用Apache搭建的，因为Apache的对文件的解析规则是从右往左找认识的文件后缀来解析，比如我们上传一个123.php.123的文件，是可以上传的哦~然后我们用菜刀去连接发现是可以连接的，因为服务器不知道.123是什么文件后缀不认识就抛弃了.123继续往后找，结果找到一个认识的.php就去解析他了。。。。这个能成功的前提是网站没有对用户上传的文件进行重命名 = 。=

如果重命名了就是XXXX.123，emmmmm肯定不知道是啥的 = =

参考练习upload-labs Pass-03

黑名单绕过也可以用00截断这话总凡事

待续------