1、代码分析
我们可以看到DVWA中文件上传漏洞的代码，现在我们对这个进行渗透测试。
方法1：直接用脚本改成图片格式看是否可行。改成jpg或者jpeg或者png
通过这种方式，我们发现上传的时候会被拦截，所以这个方式不可取
方法2：将图片和脚本一起打包生成一个新的图片
copy /b 1.png+webshell.php 2.png #在window下面用拷贝的方式将1.png和weshell.php生成一个新的图片
此时新的图片和原来图片没有什么区别
再次上传的时候是可以上传成功的
执行访问图片的时候发现访问的是图片内容，没有执行脚本webshell.php
用文本打开发现php脚本已经嵌入在图片里面，但是执行不成功
用蚁剑打开发现也不能打开这个脚本
方法3：基于方法2我们继续深入，这个需要利用DVWA的文件包含漏洞组合利用。
后面加上文件的绝对路径来访问，从页面来看，访问已经成功了。
我们使用蚁剑来连接测试一下。这里需要注意需要多输入一个cookie，因为这个需要先登录DVWA系统。
输入cookie，cookie可以在登录浏览器中使用F12来查看
连接成功以后就可以用蚁剑的管理界面来操作系统了
