以只允许上传图片为例 1 . 前端绕过 前端只需要上传时后缀为jpg、png等格式，在burpsuite中修改为php、asp等即可。 2 .MIME检测绕过 在bp中可以发现 content-type这一项，把后面的值改为 image/gif即可。 3 . 00截断绕过 我们可以上传文件名为 xxx.php.jpg的文件然后在bp中将点号（.）的16进制2e改为00即可
4.拓展名绕过 1.当不允许上传php我们可以尝试php3、php5、phtml、pht 2.将php改为PHp或其他的可以上传的形式（大小写） 3.当服务器端操作系统为windows时，可以上传 xxx.php.或者xxx.php加上空格，windows会自动去掉点号和空格 5.上传特殊文件绕过 1 .htaccess文件 把SetHandler application/x-httpd-php 这句话写成入.htaccess文件，然后上传个jpg，它就当php解析了，然后我们再上传写入一句话的图片 2 .usr.ini文件 
auto_prepend_file：指定一个文件，自动包含在要执行的文件前 我们可以先上传1.jpg文件，然后在 .usr.ini中写入 auto_prepend_file=1.jpg并上传即可。
6 服务器漏洞 1 IIS解析漏洞 IIS7.0/7.5对任意文件名只要在URL后面加上“/任意文件名.php”就会按照 php的格式去解析 ，例如 :127.0.0.1/1.jpg/shell.php 2 nginx解析漏洞 同上
