我们尝试直接上传小马， 创建一个木马文件 进行上传 提示到该文件不允许被上传，在这里我们可以知道这里是利用了js检测，此时上传文件的数据包并没有上传到服务端，只是在客户端浏览器使用Javascript对数据包进行检测。
**原理：**在选择文件时，会调用JS的selectfile函数，函数的作用是先将文件名转换为小写，然后通过substr获取文件名最后一个点号后面的后缀（包括点号）。如果后缀不是.jpg则会弹窗提醒。如果上传文件没有错，再通过file_exists判断在upload目录下文件是否已经存在，不存在就通过move_uploaded_file将文件保存在upload目录。
在这里有两种方法可以绕过客户端Javascript的检测 1.使用浏览器的插件，删除检测文件后缀的js代码，然后上传文件即可绕过。 2.先把文件后缀改为允许上传的后缀，来绕过js的检测，再抓包，把后缀名改为可执行文件的后缀名即可上传成功。
在此我使用第二种方法进行演示 首先将需要上传的文件后缀改为允许上传的后缀，如jpg，png，gif
上传，并抓包 修改此处后缀，将jpg修改为php，放包 上传成功，因为我们上传的并不是一张图片，所以没有显示。 尝试使用蚁剑进行连接 使用蚁剑连接前，我们需要知道所上传文件的位置 将上传的文件在浏览器上拖动到新窗口即可 在蚁剑上新建连接 成功
