突破JS本地验证解决办法
在上传漏洞中我们常碰到的一种js验证比较烦人，对于网站是否启用的js验证的判断方法，无法就是利用它的判断速度来判断，因为js验证用于客户端本地的验证，所以你如果上传一个不正确的文件格式，它的判断会很快就会显示出来你上传的文件类型不正确，那我们就能判断出该网站是使用的js验证。
js验证绕过演示代码：
<?php
/**
* Created by cracer
* Date: 15-10-7
* Time: 下午1:19
* Name: upload1.php
* cracer：http://www.cracer.com/
*/
//文件上传漏洞演示脚本之js验证
$uploaddir = 'uploads/';
if (isset($_POST['submit'])) {
if (file_exists($uploaddir)) {
if (move_uploaded_file($_FILES['upfile']['tmp_name'], $uploaddir . '/' . $_FILES['upfile']['name'])) {
echo '文件上传成功，保存于：' . $uploaddir . $_FILES['upfile']['name'] . "\n";
}
} else {
exit($uploaddir . '文件夹不存在,请手工创建！');
}
//print_r($_FILES);
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html;charset=gbk"/>
<meta http-equiv="content-language" content="zh-CN"/>
<title>文件上传漏洞演示脚本--JS验证实例</title>
<script type="text/javascript">
function checkFile() {
var file = document.getElementsByName('upfile')[0].value;
if (file == null || file == "") {
alert("你还没有选择任何文件，不能上传!");
return false;
}
//定义允许上传的文件类型
var allow_ext = ".jpg|.jpeg|.png|.gif|.bmp|";
//提取上传文件的类型
var ext_name = file.substring(file.lastIndexOf("."));
//alert(ext_name);
//alert(ext_name + "|");
//判断上传文件类型是否允许上传
if (allow_ext.indexOf(ext_name + "|") == -1) {
var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;
alert(errMsg);
return false;
}
}
</script>
<body>
<h3>文件上传漏洞演示脚本--JS验证实例</h3>
<form action="" method="post" enctype="multipart/form-data" name="upload" onsubmit="return checkFile()">
<input type="hidden" name="MAX_FILE_SIZE" value="204800"/>
请选择要上传的文件：<input type="file" name="upfile"/>
<input type="submit" name="submit" value="上传"/>
</form>
</body>
</html>注意：文件夹路径与文件名最好是英文，否则可能报错。
代码保存为upload.php即可，然后还有在同级目录下创建个uploads文件夹，用来存放上传的文件。
js验证绕过方法
JS验证是最好绕过，好像有句话是基于客户端的验证都是不安全的，这里我们有多种绕过方法。
如何判断文件上传是基于客户端JS验证？
方法也比较多，比如直接查看网站源文件、使用抓包工具查看客户端是否向服务器提交了数据包，如果没有则是js验证、随便上传一个文件，看返回结果。
如上图所示，JS验证的会在你提交了上传文件以后，直接弹出一个提示，并终止文件向服务器提交。绕过方法如下：
A、我们直接删除代码中onsubmit事件中关于文件上传时验证上传文件的相关代码即可。
ok我们用firebug去掉后
B、直接更改文件上传JS代码中允许上传的文件扩展名你想要上传的文件扩展名。
ok以下两种方法操作也比较简单我这里就不演示了，有为什么问题QQ上问我就可以了
C、使用本地提交表单即可，作相应的更改。
D、使用burpsuite或者是fiddle等代理工具提交，本地文件先更改为jpg，上传时拦截，再把文件扩展名更改为asp即可。
以上4种方法，大家可以自由使用，都可以绕过本地JS验证。
相关推荐：
以上是突破JS本地验证解决办法的详细内容。更多信息请关注PHP中文网其他相关文章！
热AI工具
Undresser.AI Undress
人工智能驱动的应用程序，用于创建逼真的裸体照片
AI Clothes Remover
用于从照片中去除衣服的在线人工智能工具。
Undress AI Tool
免费脱衣服图片
Clothoff.io
AI脱衣机
Video Face Swap
使用我们完全免费的人工智能换脸工具轻松在任何视频中换脸！
热门文章
热工具
记事本++7.3.1
好用且免费的代码编辑器
SublimeText3汉化版
中文版，非常好用
禅工作室 13.0.1
功能强大的PHP集成开发环境
Dreamweaver CS6
视觉化网页开发工具
SublimeText3 Mac版
神级代码编辑软件(SublimeText3)
Win11系统无法安装中文语言包的解决方法
Mar 09, 2024 am 09:48 AM
Win11系统无法安装中文语言包的解决方法随着Windows11系统的推出，许多用户开始升级他们的操作系统以体验新的功能和界面。然而，一些用户在升级后发现他们无法安装中文语言包，这给他们的使用体验带来了困扰。在本文中，我们将探讨Win11系统无法安装中文语言包的原因，并提供一些解决方法，帮助用户解决这一问题。原因分析首先，让我们来分析一下Win11系统无法
五招教你解决黑鲨手机开不了机的问题！
Mar 24, 2024 pm 12:27 PM
随着智能手机技术的不断发展，手机在我们日常生活中扮演着越来越重要的角色。而作为一款专注于游戏性能的旗舰手机，黑鲨手机备受玩家青睐。然而，有时候我们也会面临到黑鲨手机开不了机的情况，这时候我们就需要采取一些措施来解决这一问题。接下来，就让我们来分享五招教你解决黑鲨手机开不了机的问题：第一招：检查电池电量首先，确保你的黑鲨手机有足够的电量。可能是因为手机电量耗尽
小红书发布自动保存图片怎么解决？发布自动保存图片在哪里？
Mar 22, 2024 am 08:06 AM
随着社交媒体的不断发展，小红书已经成为越来越多年轻人分享生活、发现美好事物的平台。许多用户在发布图片时遇到了自动保存的问题，这让他们感到十分困扰。那么，如何解决这个问题呢？一、小红书发布自动保存图片怎么解决？1.清除缓存首先，我们可以尝试清除小红书的缓存数据。步骤如下：（1）打开小红书，点击右下角的“我的”按钮；（2）在个人中心页面，找到“设置”并点击；（3）向下滚动，找到“清除缓存”选项，点击确认。清除缓存后，重新进入小红书，尝试发布图片看是否解决了自动保存的问题。2.更新小红书版本确保你的小
无法在此设备上加载驱动程序怎么解决？(亲测有效)
Mar 14, 2024 pm 09:00 PM
大家都知道，如果电脑无法加载驱动程序，该设备可能就无法正常工作或与计算机进行正确的交互。那在电脑上弹出无法在此设备上加载驱动程序的提示框，我们要如何解决呢？下面小编就教大家两招轻松解决问题。 无法在此设备上加载驱动程序解决方法 1、开始菜单搜索“内核隔离”。 2、将内存完整性关闭，上方提示“内存完整性已关闭。你的设备可能易受攻击。”点击后方忽略即可，不会对使用有影响。 3.重启机器之后即可解决问题。
Linux中文乱码怎么解决
Feb 21, 2024 am 10:48 AM
Linux中文乱码问题是使用中文字符集和编码时常见的一个问题。出现乱码的原因可能是文件编码设置不正确，系统语言环境未安装或未设置，以及终端显示配置错误等。本文将介绍几种常见的解决方法，并提供具体的代码示例。一、检查文件编码设置使用file命令查看文件编码在终端中使用file命令，可以查看文件的编码：file-ifilename如果输出中有"charset
解决PyCharm无法打开的方法分享
Feb 22, 2024 am 09:03 AM
标题：如何解决PyCharm无法打开的问题PyCharm是一款功能强大的Python集成开发环境，但有时候我们可能会遇到无法打开PyCharm的问题。在本文中，我们将分享一些常见的解决方法，并提供具体的代码示例。希望能帮助到遇到这个问题的小伙伴们。方法一：清除缓存有时候PyCharm的缓存文件可能会导致程序无法正常打开，我们可以尝试清除缓存来解决这个问题。具
如何解决默认网关自动消失的问题
Feb 24, 2024 pm 04:18 PM
默认网关自动消失怎么解决在现代社会中，互联网已经成为人们生活中不可或缺的一部分。无论是工作还是娱乐，我们都需要稳定的网络连接来完成各种任务。而默认网关是连接本地网络与外部互联网的关键要素之一。然而，有时我们可能会遇到默认网关自动消失的问题，导致无法上网。那么，当默认网关消失时，我们应该如何解决这个问题呢？首先，我们应该明确默认网关的概念。默认网关是一个网络路
华为浏览器已停止访问该网页怎么解决
Feb 26, 2024 pm 01:28 PM
华为浏览器已停止访问该网页怎么解决？在使用华为手机浏览器访问某些网站时，可能会出现禁止访问的提示，使用户无法正常浏览相关内容。这对用户而言非常不便。那么，当我们遇到华为手机浏览器网站禁止访问的情况时，该怎么办呢？下面小编将为您提供华为浏览器网站禁止访问解决方法，希望对您有所帮助。华为浏览器网站禁止访问解决方法1、打开华为手机浏览器后，点击下方的三点图标，然后点击设置。2、进入设置后，点击【安全与隐私】3、将【安全浏览】右侧的开关关闭，即可解除网站访问限制。以上便是华为浏览器网站禁止访问解决方法的
