有网页源码 怎么做网站艾瑞指数

现在的现实生活中，存在文件上传的点，基本上都是白名单判断（很少黑名单了）

对于白名单，我们有截断，图片马，二次渲染，服务器解析漏洞这些，于是今天我就来补充一种在uploadlabs没有的上传类型！！！ 生僻字上传

首先声明：这一关源自于webug的文件上传的靶场，以及本文涉及到的照片存在引用

对于上面图片的这种界面，我们一眼万年，文件上传！！！！上传.php .PHp .php3 .htaccess .user.ini .phtml 这些都是不可以的，就可以估摸出来时白名单上传了

我们可以上传一个这样的格式

webshell.php.jpg

发现能成功上传

这样，就能说明

1. 正常的jpg图片可以上传成功好像有点废话
2. 他只对格式最后的结尾进行了校验
3. 并不会检查你有几个 . . 或者说是不会检测格式中的php字段而阻止你的上传

于是就有了今天的主角！！！ 生僻字截断！！！

如果上传一个这种的格式，php后面的那个生僻字无法被解析，所以后面的就被丢弃了

  

最后上传到服务器的就变成了这样的格式！！！！！

所以以后在挖洞的过程中，是不是我们的fuzz字典又多了一个捏！！！嘻嘻