文件上传与解析攻击

校验不严的文件上传功能常成为攻击者直接获取服务器权限的捷径。本模块演练 WebShell 上传、前端校验绕过、扩展名黑白名单与 .htaccess 绕过、MIME 类型与文件头魔数伪造（图片马），以及 SVG XXE/XSS 利用与服务端纵深防御。