文章总结： 该文档详细讲解了文件上传漏洞的深度绕过技术，包括后缀名、MIME类型、文件内容检测的多种绕过方法，并演示了通过修改文件头、Unicode编码等手段突破过滤。实战案例展示了上传PHP木马后利用蚁剑插件绕过disable_functions限制获得系统权限的过程，强调灵活变通在渗透测试中的关键作用。 综合评分： 72 文章分类： WEB安全,渗透测试,漏洞分析,安全工具,实战经验

---

关于文件上传漏洞深度绕过利用教程，后缀 / 内容 / 编码绕过搭配插件，突破命令执行限制

用户IT40 用户IT40

渗透安全HackTwo

2026年6月8日 00:14 广东

在小说阅读器读本章

去阅读

0x01 简介

时至今日，文件上传依旧是 Web 挖洞里的 “常青树”，防护再严也总有疏漏。这次实战见识了多重过滤组合拳，也验证了编码、文件头篡改等绕过手法依旧好用。就算碰到 disable_functions 锁死命令执行，借助插件也能轻松破局。老漏洞不老，灵活变通才是挖洞的关键。接下来将一步步拆解绕过技巧，包括文件头篡改、编码变形等手段，并分享针对禁用函数的专项突破方案，带你掌握多层防护下文件上传漏洞的深度利用技巧。

本文仅用于技术学习与合规交流，严禁非法滥用。因违规使用产生的一切后果，由使用者自行承担，与作者无关。

现在只对常读和星标的公众号才展示大图推送，建议大家把渗透安全HackTwo“设为星标”，否则可能就看不到了啦！****

参考文章：

https://xz.aliyun.com/spa/#/news/92118https://www.hacktwohub.com/

末尾可领取挖洞资料/加圈子 #渗透安全HackTwo

0x02 正文详情

知识铺垫：

对与文件上传漏洞，如果想getshell就必须要上传恶意木马且可以被对方服务器解析。

对于后缀绕过：（当然还有组件解析漏洞就不多提了）

对于MIME类型绕过（常见）：

image/png、image/jpeg、image/gif、text/jsp、text/php、text/html;

对与内容绕过：

文件头检测：（可以使用burp改变字节为下面）

对与限制敏感词：

这里不一一举例子 可以尝试使用冰蝎，等混淆马；或者一些绕过方式：

https://zhuanlan.zhihu.com/p/1984306099051071020（php）https://zhuanlan.zhihu.com/p/2028469513780310954（jsp）

漏洞过程：

（文件上传处多在举报的地方）这里点击我要举报：

确定协议  点击”我要投诉举报“：

然后点击图片随便上传一个图片：

下面是数据包：

我们放到重放器  然后直接放包  可以看到 PHPSESSID：

这个时候我们尝试 上传php后缀文件  也是没有过滤了  （很好）但是上传内容的时候被过滤了：

然后这里就使用了各种绕过都不行  这里 unicode转中文一波看看

然后这里就使用了各种绕过都不行  这里 unicode转中文一波看看

发现是文件类型错误了  我们尝试 改字节 ：

我们随便输入： 1231333

修改为：

我们尝试访问  拼接上路径 尝试访问：

我们尝试 上传一句话木马：

我们使用蚁剑连接：

成功看到文件路径：

但是使用虚拟终端执行命令的时候  不能执行：

我们再次访问phpinfo看到了有  disable_functions：

这个时候 我们利用蚁剑的插件：

使用 disable_functions-8.137.123.30的模式：

这里成功拿到shell：

因为是交到一些漏洞平台 就没往深处打了  点到为止就行了

我们这里给大家参考一些好的师傅的绕过方式，各位师傅可以收藏一下：

https://zhuanlan.zhihu.com/p/1984306099051071020（php一句话）https://zhuanlan.zhihu.com/p/2028469513780310954（jsp一句话）https://www.cnblogs.com/DumpInfou/p/18023278（dis_fun绕过）

0x03 总结

时至今日，文件上传依旧是 Web 挖洞里的 “常青树”，防护再严也总有疏漏。这次实战见识了多重过滤组合拳，也验证了编码、文件头篡改等绕过手法依旧好用。就算碰到 disable_functions 锁死命令执行，借助插件也能轻松破局。老漏洞不老，灵活变通才是挖洞的关键！🔥喜欢这类文章或挖掘SRC技巧文章师傅可以点赞转发支持一下谢谢！

内部星球VIP介绍V1.4（更多未公开挖洞技术欢迎加入星球）

如果你想学习更多另类渗透SRC挖洞技术/攻防/免杀/应急溯源/赏金赚取/工作内推，欢迎加入我们内部星球可获得内部工具字典和享受内部资源/内部群🔥

🚀1.每周更新1day/0day漏洞刷分上分，目前已更新至12494+;

🧰2.包含网上的各种付费工具/各种Burp漏洞检测插件/fuzz字典等等;

3.Fofa/Hunter/Ctfshow/360Quake/Shadon/零零信安/Zoomeye各种账号VIP会员共享等等;

🎥5.最新SRC挖洞文库/红队/代审/免杀/逆向视频资源等等;

🧪6.内部自动化漏扫赚赏金捡洞工具，免杀CS/Webshell工具等等;

💡7.漏洞报告文库、共享SRC漏洞报告学习挖洞技巧；

🎯6.最新0Day1Day漏洞POC/EXP分享地址（同步更新）;

https://t.zsxq.com/jVcxV(全网最新最完整的漏洞库)

🔥7.详情直接点击下方链接进入了解，后台回复” 星球 “获取优惠先到先得！后续资源会更丰富在加入还是低价！（即将涨价）以上仅介绍部分内容还没完！点击下方地址全面了解👇🏻

👉点击了解加入–>>2026内部VIP星球福利介绍V1.5版本-1day/0day漏洞库及内部资源更新

结尾

免责声明

获取方法

回复“app” 获取  app渗透和app抓包教程

回复“渗透字典” 获取 一些字典已重新划分处理（需要内部专属fuzz字典可加入星球获取，内部字典多年积累整理好用！持续整理中！）

回复“书籍” 获取 网络安全相关经典书籍电子版pdf

最后必看

文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！

---

往期推荐

1.内部VIP知识星球福利介绍V1.5版本0day推送

2.最新Nessus2026.2.9版本下载

3.最新BurpSuite2026.1.1专业版下载

4.最新xray1.9.11高级版下载Windows/Linux

5.最新HCL AppScan_Standard_10.9.1下载

渗透安全HackTwo

微信号：关注公众号获取

后台回复星球加入：知识星球

扫码关注 了解更多

上一篇文章：Nacos配置文件攻防思路总结|揭秘Nacos被低估的攻击面

喜欢的师傅可以点赞转发支持一下

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：渗透安全HackTwo 用户IT40 用户IT40《关于文件上传漏洞深度绕过利用教程，后缀 / 内容 / 编码绕过搭配插件，突破命令执行限制》