本文探讨了一种绕过后端文件上传检测的方法，通过使用.htaccess文件设置解析规则，使图片文件被服务器误认为PHP文件并成功执行。
闯关界面
首先上传一个shell.php文件看看对于上传文件的检测是前端检测还是后端检测：
之后我们来查看一下源代码：
从上面可以看到基本上过滤了所有的常见的后缀名，而且先全部进行小写转换，对文件后缀名进行拆分，之后来进行检测，看起来好像没有戏了，那么这种情况下怎么办呢？不妨试试.htaccess攻击看看：
首先我们上传一个.htaccess文件，文件内容如下：
SetHandler application/x-httpd-php
这样所有文件都会解析为php，然后再上传图片马，就可以解析：
可以看到上传的图片文件被成功的解析为了php文件~
扫一扫
3102
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
