网安小白第一次写文章，如果有不足之处请多多指正。
一、JavaScript本地限制
1、识别：上传文件是弹出对话快框
2、绕过：通过burpsuit抓包，然后在brupsuit中将文件名改掉
二、服务端校验
1、校验方法
（1）文件头content-type字段校验（image/gif）
抓包---然后修改文件头content-type
或者图片中插木马
（2）文件内容检验
在文件幻数后面加上自己的一句话木马就行了
文件相关信息检测：
一般就是检查图片文件的大小，图片文件的尺寸之类的信息。
绕过方法：
伪造好文件幻数，在后面添加一句话木马之后，再添加一些其他的内容，增大文件的大小。（可利用工具生成，将木马查找图片的注释区，不影响图片的正常使用）
三、白名单绕过
利用解析漏洞、00截断、.htaccess 文件攻击等
四、黑名单绕过
1.攻击者可以从黑名单中找到Web开发人员忽略的扩展名，如：cer
2.对文件的后缀名进行大小写转换，比如黑名单中有php，可以将文件的后缀改为pHp，仅限 windows平台
3.在windows系统下，如果文件名以“.”或者空格作为结尾，系统会自动删除“.”与空格，利用此 特性也可以绕过黑名单验证。（asp.或asp_）
五、解析漏洞
各种解析漏洞请自行百度（敲黑板：主要是不用的服务器的不用的解析漏洞）
六、00截断（一种绕过方法）
在文件名的后面加一个空格，注意这里是修改16进制，将00改成2e。
七、.htaccess 文件攻击
https://www.sohu.com/a/125498727_609556
