上傳圖片，點擊查看頁面的源碼，

可以看到頁面的文件名校驗是放在前端的；而且也沒有發(fā)起網(wǎng)絡請求；

所以，可以通過直接修改前端代碼，刪除?checkFileExt(this.value) 這部分；

又或者先把文件名改成圖片格式，然后通過burpsuite 抓包，修改文件后綴名；

如 aa.jpg? ?改成? bb.php ，然后上傳成功；訪問 uploads/bb.php

從而實現(xiàn)繞過；這個php文件可以是一句話木馬，可以是可執(zhí)行腳本等；