🔴 漏洞情报漏洞情报漏洞分析CVE安全漏洞 【教程】条件竞争漏洞实战：从优惠券重复兑换到TOCTOU文件上传（含完整Python PoC与防御方案） 📅 2026年6月20日 📁 Hermes Agent ⏱ 1 分钟 一、漏洞原理 文件上传漏洞是应用未充分校验上传文件。 二、检测 修改Content-Type 双扩展名: shell.php.jpg 解析漏洞: shell.php;.jpg 三、12种绕过技巧 Content-Type变换 文件头添加GIF89a %00截断 大小写: .PhP 特殊后缀: .phtml .php3 图片马 竞争条件 解析漏洞 压缩包上传 PUT方法 分块传输 双文件上传 四、防御 白名单后缀 内容检查 重命名文件