网安筑基:Web后端——从PHP基础到文件上传与WebShell

$upload_dir = './uploads/';  // 存储文件保存目录，字符串类型$age = 20;                   // 存储数字，数值类型

2.2 字符串拼接

① 拼接规则

PHP 中，拼接两个字符串，使用英文点号 . 完成。

② 核心案例（文件上传漏洞 100% 出现）

$upload_dir = './uploads/';            // 定义文件保存目录$file_name = 'test.php';               // 定义文件名$file_path = $upload_dir . $file_name; // 拼接得到完整路径：./uploads/test.php

网安重点： 文件上传漏洞中，攻击者就是利用这个语法，通过篡改文件名，让恶意文件被拼接成合法路径保存到服务器。

2.3 超全局变量

① 什么是超全局变量

• 全局：

• 超：
  PHP 官方内置的变量，专门用来接收用户传递的各种数据，天生存在，直接调用即可。

② 核心特点

• 所有超全局变量都是大写的数组形式
• 专门用来接收"用户从浏览器传递给服务器的数据"
• 是后端接收前端参数的核心方式，也是所有 Web 漏洞的"数据入口"

③ 必学的 3 个超全局变量

第一：$_FILES — 文件上传专属

$_FILES['file']['name']      // 获取用户上传文件的原始文件名，比如 头像.jpg、test.php$_FILES['file']['tmp_name']  // 获取临时文件名+临时路径（PHP自动生成，攻击者无法篡改）$_FILES['file']['size']      // 获取文件大小⚠️ 

第二：$_GET — 接收 GET 请求传递的参数

// 访问网址 http://www.xxx.com/index.php?user=admin&pwd=123$user = $_GET['user'];  // 接收的值是 admin$pwd = $_GET['pwd'];    // 接收的值是 123

特点：数据藏在请求体中，URL中不可见，适合传递敏感数据、大文件、表单信息。

第三：$_POST — 接收 POST 请求传递的参数

$user = $_POST['username'];  // 接收账号$pwd = $_POST['password'];    // 接收密码

2.4 PHP 后端如何接收前端传递的参数

这是所有 Web 交互的核心，也是所有漏洞的起点：

核心结论： 所有的 Web 漏洞，本质都是“后端接收了前端的恶意参数，并且没有做过滤，直接使用/执行”。

三、文件上传完整流程

文件上传是网站最常见的功能（头像上传、附件上传、图片上传），整个流程分为 4 个固定步骤，顺序不变、逻辑不变，所有网站的文 件上传都是这个流程！

我们用"寄快递"来比喻：

步骤 1：用户选文件 → 填快递单

用户在浏览器中，通过上传表单选择要上传的文件，点击"上传"按钮；浏览器把文件的基本信息（文件名、大小、类型）整理好，准备发送给服务器。

步骤 2：浏览器打包 → 用 POST 请求发货

浏览器将用户选择的文件，以"二进制数据包"的形式打包，通过 POST 请求发送给服务器。

为什么必须用 POST？因为 GET 请求能传递的数据量极小，无法承载文件的大小，POST 请求无数据量限制，是文件上传的唯一方式。

步骤 3：服务器接收 → 存入临时仓库

服务器收到浏览器发送的文件数据包后，不会直接保存到指定目录，而是会先把文件存入服务器的"临时目录"，并由 PHP 自动生成一个"临时文件名"，这个文件名就是 $_FILES['file']['tmp_name']。

核心特点： 临时文件是一次性的，PHP 脚本执行结束后，临时文件会被服务器自动删除，不会残留。

步骤 4：PHP 代码做最终决策 → 完成上传（核心）

这是整个文件上传流程的核心步骤，也是文件上传漏洞产生的唯一环节！

PHP 会完成 3 个核心操作：

1. 决定"要不要接收这个文件"（是否过滤文件类型、文件名）
2. 决定"把文件存到哪里"（指定保存目录，比如 ./uploads/）
3. 决定"给文件起什么名字"（使用原始文件名还是重新命名）

最后，PHP 调用核心函数 move_uploaded_file()，将临时目录中的文件"搬运"到指定的保存目录。

文件上传核心函数：move_uploaded_file()

move_uploaded_file(临时文件路径, 目标保存路径);// 完整示例：move_uploaded_file(file_path);

核心特点：

• 安全特性：
   只能搬运通过 POST 请求上传的临时文件，无法搬运服务器上的其他文件，能有效防止攻击者伪造文件上传
• 无过滤特性：
   这个函数只是"搬运工"，只负责搬文件，不会检查文件的类型、内容、是否为恶意文件
• 核心结论：
   这个函数本身没有漏洞，文件上传漏洞的产生，永远不是这个函数的问题，而是 PHP 代码没有在搬运前做过滤校验

四、文件上传漏洞详解

4.1 什么是文件上传漏洞

文件上传漏洞，是指网站的 PHP 上传代码，没有对用户上传的文件进行严格的过滤和校验，导致攻击者可以将"恶意的 PHP 脚本文件"伪装成合法文件（图片、文档），成功上传到服务器，并且能被服务器解析执行的高危漏洞。

4.2 漏洞产生的核心原因

所有的文件上传漏洞，产生的原因只有一个，没有例外：

后端的 PHP 上传代码，没有对用户上传的文件进行有效的过滤校验，直接使用了攻击者可控的原始文件名，直接将文件保存到服务器。

最典型的无过滤漏洞代码：

<?php$upload_dir = './uploads/';$file_name = $_FILES['file']['name'];      // 直接使用攻击者可控的文件名$file_path = $upload_dir . $file_name;     // 直接拼接路径if(move_uploaded_file($_FILES['file']['tmp_name'], $file_path)) {    echo "上传成功！";}?>

漏洞点分析：代码中没有检查文件是不是图片、没有检查文件名是不是恶意后缀、没有过滤特殊字符，攻击者传什么文件，服务器就保存什么文件。

4.3 漏洞的危害

文件上传漏洞是 Web 安全中危害最高的漏洞之一。一旦存在这个漏洞，攻击者可以：

1. 上传恶意的 PHP 脚本文件到服务器
2. 通过浏览器访问这个文件的地址，让服务器解析执行脚本
3. 拿到服务器的权限，进而控制整个网站、数据库，甚至服务器本身
4. 泄露网站的用户数据、管理员账号密码，甚至篡改网站内容

4.4 漏洞的核心利用条件

攻击者上传了恶意文件后，想要让文件生效，必须满足 2 个条件（缺一不可）：

核心口诀： 上传成功 + 可访问 + 可解析 = 漏洞利用成功！

4.5 上传成功 ≠ 漏洞成立

这是一个关键的区别：

核心结论： 危险发生在上传成功之后——文件被执行才是关键！

五、WebShell 详解

5.1 WebShell 的官方定义

WebShell 是攻击者通过漏洞，上传到目标服务器的、能被服务器解析执行的、可以远程控制服务器的 PHP 脚本文件，也被称为"网站后门"、“网页后门”。

5.2 WebShell 的核心特点

• 特点 1：
  本质就是一个普通的 PHP 文件，后缀是 .php，和正常的 PHP 文件没有任何区别
• 特点 2：
  不是病毒、不是工具，只是一段包含"恶意执行逻辑"的 PHP 代码
• 特点 3：
  核心能力是"接收攻击者的远程指令，并让服务器执行"，实现对服务器的远程控制

5.3 WebShell 生效的 3 个必备条件

和文件上传漏洞的利用条件完全一致：

1. 成功上传：
   WebShell 文件被成功保存到目标服务器的指定目录
2. 可访问：
   攻击者能通过浏览器，访问到这个 WebShell 文件的完整地址
3. 可解析：
   文件所在目录支持 PHP 解析，服务器能把它当成 PHP 脚本执行

5.4 最经典的两种 PHP WebShell

① 代码执行型 WebShell： <?php eval($_POST[123]); ?>

• 核心函数：system()
• 函数作用：将“接收到的字符串”当成“服务器的操作系统命令”，直接交给服务器执行
• 运行逻辑：攻击者通过 POST 请求，向这个文件传递任意的 PHP 代码（比如删库、查数据），eval() 会把这些代码执行，实现对网站的控制

• 危害范围：控制整个服务器的操作系统，权限极高，危害远大于第一种

② 系统命令型 WebShell：<?php system($_POST[123]); ?>

• 核心函数：system()
• 函数作用：将“接收到的字符串”当成“服务器的操作系统命令”，直接交给服务器执行
• 运行逻辑：攻击者通过 POST 请求，向这个文件传递任意的 PHP 代码（比如删库、查数据），eval() 会把这些代码执行，实现对网站的控制

• 危害范围：
   控制整个服务器的操作系统，权限极高，危害远大于第一种

核心要点：eval 控制网站，system 控制服务器，两者危害层级不同。

5.5 WebShell 的核心原理

无论哪种 WebShell，核心原理只有一句话，也是所有 Web 漏洞的底层根源：

PHP代码将"未做任何过滤的、攻击者完全可控的用户输入（$_POST接收的参数）“，当成了"合法的执行指令”，直接执行。

简单说：服务器"盲目信任"了攻击者的输入，把攻击者的恶意指令当成了正常的代码/命令去执行，最终导致服务器被控制。

5.6 WebShell 和文件上传漏洞的关系

• WebShell 是"攻击的武器"

• 文件上传漏洞是"把武器送进服务器的通道"

• 攻击者通过"文件上传漏洞"将"WebShell 文件"上传到服务器，再通过访问 WebShell 实现对服务器的控制

这是渗透测试中最经典、最常用的攻击链路：

攻击者 → 文件上传漏洞（送武器）→ 服务器可解析目录 → WebShell执行 → 服务器被控

六、漏洞根源与安全思维

盲目信任用户输入，未做严格校验。

文件上传漏洞案例

WebShell 案例

核心安全原则：所有用户输入都不可信任，必须严格校验！

6.2 文件上传漏洞本质

文件上传漏洞的本质是 无过滤 + 文件可执行 的结合。

七、与前篇博文的知识关联

7.1 攻击链路串联

本篇（第三篇）与前两篇形成完整的攻击链：

第一篇：Web 服务器漏洞（解析漏洞）    ↓ 攻击者找到可解析目录第二篇：Web 前端安全（XSS 漏洞）    ↓ 攻击者窃取 Cookie，伪造身份第三篇：Web 后端安全（文件上传 + WebShell）    ↓ 攻击者上传恶意文件，拿下服务器

7.2 auditd 在后端安全中的作用

在服务器层面，可以用 auditd 监控可疑行为：

# 监控 uploads 目录的文件创建和写入auditctl -w /var/www/html/uploads/ -p war -k web_upload# 监控 PHP 解释器执行可疑文件auditctl -w /usr/bin/php -p x -k php_execution

八、快速排查清单

8.1 文件上传漏洞自检

8.2 WebShell 自检

九、靶场推荐

⚠️ 免责声明： 以上靶场仅供学习研究使用，请勿对任何未授权目标进行渗透测试。

十、核心知识点总结

1. PHP 是服务器端脚本语言，只在服务器运行，是网站的"后台大脑"
2. 网安学 PHP 的核心原因：PHP 网站占比高、漏洞多，不懂 PHP 看不懂漏洞原理
3. PHP 变量以 $ 开头，字符串拼接用 . ，是文件上传漏洞的核心语法
4. 超全局变量 $_GET/$_POST/$_FILES是后端接收参数的唯一方式，是漏洞的入口
5. 文件上传分 4 步，漏洞只出现在 PHP 的决策环节，核心是"无过滤"
6. 文件上传漏洞的危害是能上传 WebShell，WebShell 是控制服务器的后门
7. 上传成功 ≠ 漏洞成立：文件被执行才是关键
8. 所有漏洞的根源：盲目信任用户输入，没有做过滤校验

本文整理自网络安全课程资料，内容仅供学习与安全意识提升使用。请勿将相关知识用于未经授权的系统测试，遵守法律法规。