在上传漏洞中我们常碰到的一种js验证比较烦人，对于网站是否启用的js验证的判断方法，无法就是利用它的判断速度来判断，因为js验证用于客户端本地的验证，所以你如果上传一个不正确的文件格式，它的判断会很快就会显示出来你上传的文件类型不正确，那我们就能判断出该网站是使用的js验证。
js验证绕过演示代码：
nbsp;html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">文件上传漏洞演示脚本--JS验证实例 function checkFile() { var file = document.getElementsByName('upfile')[0].value; if (file == null || file == "") { alert("你还没有选择任何文件，不能上传!"); return false; } //定义允许上传的文件类型 var allow_ext = ".jpg|.jpeg|.png|.gif|.bmp|"; //提取上传文件的类型 var ext_name = file.substring(file.lastIndexOf(".")); //alert(ext_name); //alert(ext_name + "|"); //判断上传文件类型是否允许上传 if (allow_ext.indexOf(ext_name + "|") == -1) { var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name; alert(errMsg); return false; } }文件上传漏洞演示脚本--JS验证实例
登录后复制
注意：文件夹路径与文件名最好是英文，否则可能报错。
代码保存为upload.php即可，然后还有在同级目录下创建个uploads文件夹，用来存放上传的文件。
js验证绕过方法
JS验证是最好绕过，好像有句话是基于客户端的验证都是不安全的，这里我们有多种绕过方法。
如何判断文件上传是基于客户端JS验证？
方法也比较多，比如直接查看网站源文件、使用抓包工具查看客户端是否向服务器提交了数据包，如果没有则是js验证、随便上传一个文件，看返回结果。
如上图所示，JS验证的会在你提交了上传文件以后，直接弹出一个提示，并终止文件向服务器提交。绕过方法如下：
A、我们直接删除代码中onsubmit事件中关于文件上传时验证上传文件的相关代码即可。
ok我们用firebug去掉后
B、直接更改文件上传JS代码中允许上传的文件扩展名你想要上传的文件扩展名。
ok以下两种方法操作也比较简单我这里就不演示了，有为什么问题QQ上问我就可以了
C、使用本地提交表单即可，作相应的更改。
D、使用burpsuite或者是fiddle等代理工具提交，本地文件先更改为jpg，上传时拦截，再把文件扩展名更改为asp即可。
以上4种方法，大家可以自由使用，都可以绕过本地JS验证。
相关推荐：
关于js验证的相关文章汇总推荐
js验证电话号码手机号码的正则表达式
js验证身份证信息是否合法
以上就是突破JS本地验证解决办法的详细内容，更多请关注【创想鸟】其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至253000106@qq.com举报，一经查实，本站将立刻删除。
发布者：PHP中文网，转转请注明出处：https://www.chuangxiangniao.com/p/2783350.html
