Ты неправельно понял (или я тебя).
Скрипт ДОЛЖЕН загружать файлы. А если он пропускает какие-то символы, например при постинге сообщения в гостевой, то это тебе ничего не даёт, кроме xss||sql inj