客户端校验
最简单的文件校验是本地js校验，一般都是要求只能上传jpg，png，gif图片格式：
应对措施：在本地禁用js。
服务端校验
服务端校验比较棘手一点。
MIME类型校验
虽然我们在客户端同过禁用js上传了文件，但服务端还会再对文件类型进行校验，并且校验的是MIME。
我们在开发者工具中，虽然看到文件发送成功:
但如果服务端对我们请求的数据中的MIME类型进行校验，发现并非image类型，仍会丢弃。
所以，我们要修改请求包中的MIME类型（使用burp suit），常见的MIME类型：
修改MIME类型：
文件头校验
有些题目中，服务端还会对上传的文件头进行校验，如果我们的文件头非图片格式，依然会被舍弃。
这时，我们就要用到图片码了！
在windos中，我们可以在cmd中用copy将文件进行捆绑。
我们只要将一张png图片和我们的php文件捆绑，不就有了png文件头，绕过服务端的校验了吗？
copy 1.png/b+2.php give_me_flag.php
照着这条指令，将文件进行修改就行了。
在用这条指令的时候，要注意关闭windows自带的病毒防护，不然会将一句话木马文件清掉。
后缀黑名单校验
在参考资料中，还看到服务端有这种校验，但笔者还未遇到，等遇到了再记录。
733
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
