黑名单机制。
如果被过滤可以试试PHP5看看过滤没（或者其他变种变形），但是得看环境有些环境会被当成下载，有些会直接打开。
白名单机制
只允许这几个特定后缀可以上传，比黑名单更安全。
直接从信息图中获取文件类型。
文件类型是由这个黄框判定↑（这个信息是上传自带的）
这东西的作用是判断文件的类型，如果把它改掉的话，就会直接绕过。
这不就是相当于把从后缀中获取文件类型换成了从信息头中获取吗？
*如何判断前端，F12就可以改的那种，就是前端。
./本目录，./../上级目录。↓
因为dir接受path中的值，而源代码中又没有过滤，所以就可以做到任意文件读取（①文件遍历漏洞），甚至可以跨目录，跨网盘↓
①由于遍历文件夹时没有控制参数，导致你可以随便跨。
php中的open basedir可以控制文件路径在一个固定区域（固定在一个目录）