1. upload-labs 靶场第一关的文件名校验方式在开发者工具中是可见的

👆可以看到它引用了一个名为 checkFile 的函数来对文件进行校验

2. 这种可以直接在 HTML 里面访问的内容，我们称之为“在全局作用域”

3. 在全局作用域，HTML 访问代码十分方便

但是对心怀不轨的黑客而言，更方便

4. 点击开发者工具上的“控制台”模块（英文版叫做 Console）

5. 在这里输入

checkFile

回车之后你会看到函数的代码就暴露在眼前了

6. 输入代码

checkFile = function(){return true}

然后回车，你就可以把原来的函数给替换掉，没错，就是这么简单粗暴！

7. 然后你就可以上传任意文件了

8. 当然，只有暴露在全局作用域的函数才可以这么简单地覆盖掉

更多的时候还是需要对页面进行深入的研究和调试才可以找到绕过的方法。

更多的时候，抓包修改比辛苦调试更划算。