文件上传

上传的文件保存到 uploads/。vuln 模式不校验类型(用于触发 WAF 对 webshell / 双扩展名 / 危险 MIME 的检测规则)。上传目录默认已通过 Nginx 配置禁止解析 PHP,避免真的被 getshell。

测试用例:shell.php、shell.php.jpg、.htaccess、含 <?php 的图片、超大文件、畸形 multipart 边界等。