不安全文件（作业）

不安全文件的下载

由于前端程序员的疏忽，给小黑提供了一个接口去访问本地文件。
如下图，在新浏览页的url上可以看到，该下载是通过get传参的方式进行执行的，那么我们就可以从这里去猜测服务器的操作系统，使用正确的地址访问服务器里的文件。

有关防护：
对于此类问题，前端程序员需要对filename的参数值进行指定，防止其他恶意参数的执行。

不安全文件的上传

不安全的文件的上传，就是通过前端上传接口，将恶意文件传入服务器，从而进行恶意操作。
本次恶意文件为一句话木马 文件名yijuhua.php content:<?php system($_GET['x']);?>
一般的，前端代码会处理掉恶意文件的上传
接下来的思路就是打开源码，进行查看，如果是纯前端的过滤，那么我们可以将过滤代码删除，在进行上传。

上传成功后，找到上传文件的根目录，带参数进行访问即可。