今天我们来讲pass-09，我觉得是没有什么太大的意思，因为这是相当于投机取巧的一个方法
我们抓包，先试一下效果
在文件名的后面，加个. .，然后，我们看一下效果
上传成功了，那我们就访问一下这个文件，抓包关掉
没有问题，我们在蚁剑里面连接一下
这样是可以的，我们去分析一下后台代码，看一下，为什么加了个. .就可以了
$file_name = deldot($file_name);
这个方法在common.php里面
如果我们传了.php. .，代码会先删除末尾的点，变成.php.
$file_ext = strrchr($file_name, '.');
它会找到点一开始出现的位置，然后一直到结尾，返回字符串，那就是.php. 的文件名
$file_ext = strtolower($file_ext); //转换为小写
这个没有什么影响
$file_ext = trim($file_ext); //首尾去空
把空格给去掉了，最终它会剩下一个.php.，这个.php.就是利用我们windows文件的特性，进行绕过，又回到我们前面几篇文章讲的内容里面了
这个方法是钻了个空子，多加了个点，相当于欺骗这两句代码
$file_name = trim($_FILES['upload_file']['name']);
$file_name = deldot($file_name);
这个思路是比较猥琐的，如果说，我们在做黑盒测试的时候，如果一旦遇到这种题目，你真的很难想到，会有这种绕过方法，所以说，绕过经验是比较重要的，我们要根据自己的经验，用不同的测试方法，进行绕过，找到最终绕过的方式