一般服务器会禁止上传文件类型，比如只允许JPG,PNG，那么php呢？

首先通过浏览器抓包通过对比正常上传与上传PHP文件的包的类型分析两种包类型区别，然后通过分析对比来区别服务器一般拦截那些参数？

一般会拦截文件名后缀，还有文件类型，文件类型。这三种，那么通过抓包工具如果是拦截文件类型的话就可以通过修改文件类型来，绕过。

还有一种是是通过拦截文件后缀与类型来拦截的，那么可以通过一张图片与文本来实现合成，这里利用cmd.exe来实现。

执行：

copy 1.jpg/b+1.txt/a 2.jpg

到了这里就可以利用nginx解析漏洞与文件包含漏洞来实现。

利用nginx畸形解析需要cgi.fix_pathinfo函数支持

防范文件上传漏洞方法：1、文件重命2、 文件压缩重生成3、存储目录执行权限4、存储目录与web分离