上傳圖片，點(diǎn)擊查看頁(yè)面的源碼，

可以看到頁(yè)面的文件名校驗(yàn)是放在前端的；而且也沒(méi)有發(fā)起網(wǎng)絡(luò)請(qǐng)求；

所以，可以通過(guò)直接修改前端代碼，刪除?checkFileExt(this.value) 這部分；

又或者先把文件名改成圖片格式，然后通過(guò)burpsuite 抓包，修改文件后綴名；

如 aa.jpg? ?改成? bb.php ，然后上傳成功；訪問(wèn) uploads/bb.php

從而實(shí)現(xiàn)繞過(guò)；這個(gè)php文件可以是一句話木馬，可以是可執(zhí)行腳本等；