bypass任意文件上传系列会总结最常见的绕过思路和方法
1.首先上传点，我们得判断他是不是黑白名单，是否存在waf（检测机制）
可以看到这里有个上传功能，上传简历和图片，这有可能是前端验证，我们先上传个jpg文件
然后抓包
这里的话我们就要判断是不是黑白名单还是任意文件上传，这个时候我们只要吧jpg后缀改成jpgx进行判断
如果是白名单想都不要想只能上传指定的后缀。
可以上传，这个时候我们试下脚本文件，比如jsp
我们可以看见上传jsp文件被拦截，仔细一看原来是防火墙拦截
到这里的话就得讲绕过思路了
常见绕waf呢我这里先讲一种，不然后面我就写（编）不下去了
双写filename绕过
原理呢，这个上传只判断Content-Disposition的filename的文件名
filename如果为多个这里waf就会判断最前面的那个是不是waf里面设置好了的黑名单（不代表所有waf）
比如这样
或这样（注意filename="2.jsp";filename="2.jspjsp" 的中间有个；）