前置知识： 本文为 Web 安全系列第三篇，对应前置内容：

• 第一篇：网安筑基：Web 服务解析漏洞利用与防御
• 第二篇：网安筑基：Web前端三剑客及XSS漏洞攻防基础

本篇（第三篇）聚焦 PHP 后端安全，从 PHP 语言基础出发，深入理解文件上传漏洞的成因、WebShell 的本质，以及后端安全的核心思维。

---

一、PHP 是什么？

1.1 官方定义

PHP（全称：PHP: Hypertext Preprocessor，超文本预处理器）是一门开源的服务器端脚本编程语言，专为 Web 开发设计。

三个关键词：

关键词	含义
服务器端	代码在远程服务器上运行，用户只能看到运行结果（网页、图片、文字），看不到 PHP 源码
脚本语言	无需编译，服务器上的 PHP 引擎直接解析执行，开发/运行效率高
Web 专属	天生为网站开发而生，专门处理网站的后台业务逻辑

1.2 PHP 在网站中的角色

网站由「前端」和「后端」组成，两者分工明确，缺一不可：

• 前端（HTML/CSS/JS）：只负责「展示」，运行在用户电脑，决定网站"长什么样"
• 后端（PHP）：网站的"核心大脑"，只负责「处理业务逻辑」，运行在服务器，决定网站"能做什么"

PHP 负责的核心操作：

1. 验证用户账号密码，判断能否登录
2. 接收用户上传的文件、表单信息，并处理/保存
3. 操作数据库，实现数据增删改查（存储用户信息、文章内容）
4. 处理用户的所有请求，返回对应结果给前端

1.3 网安为什么必须学 PHP

原因 1：PHP 市场占比极高，是漏洞重灾区

在国内，80% 以上的小型网站、论坛、政务系统、企业平台的后端都是基于 PHP 开发（Discuz 论坛、织梦 CMS、帝国 CMS、各类商城网站）。不懂 PHP，就看不懂网站的运行逻辑，更看不懂漏洞的成因。

原因 2：不懂 PHP，看不懂漏洞的底层原理

所有 Web 漏洞（文件上传、SQL 注入、XSS、代码执行、文件包含），针对 PHP 网站的占比超过 70%。比如：

• 文件上传漏洞就是 PHP 代码写得不严谨导致的
• SQL 注入就是 PHP 接收参数时没有过滤导致的
• WebShell 能生效，本质就是 PHP 的函数执行逻辑被利用

原因 3：不懂 PHP，看不懂漏洞的利用方式

挖漏洞的核心是"找到代码的缺陷"，渗透测试的核心是"利用代码的缺陷"。如果连 PHP 的基础语法、参数接收、函数作用都看不懂，就算找到了漏洞，也不知道怎么利用。

原因 4：PHP 是网安入门最友好的后端语言

PHP 语法简单、易懂、贴近自然语言。相比 Java、Python、Go，PHP 的入门成本最低。我们只需要学"网安相关的 PHP 基础"，不需要学完整的开发体系，性价比极高。

---

二、PHP 核心基础语法

2.1 变量

① 变量的定义

变量是用来存储数据的容器，比如存储文件的保存路径、用户上传的文件名、接收的参数等。

② 核心规则

• 变量必须以 $ 开头，比如：$name、$upload_dir、$file_name
• 变量名区分大小写，$name 和 $Name 是两个不同的变量
• 变量可以直接赋值，不需要提前声明类型，PHP 会自动识别

$upload_dir = './uploads/';  // 存储文件保存目录，字符串类型
$age = 20;                   // 存储数字，数值类型

③ 网安常用变量场景

在漏洞代码中，最常见的 PHP 变量就是文件上传相关的：

变量	含义
$upload_dir	文件保存目录
$file_name	文件名
$file_path	文件完整路径

2.2 字符串拼接

① 拼接规则

PHP 中，拼接两个字符串，使用英文点号 . 完成。

② 核心案例（文件上传漏洞 100% 出现）

$upload_dir = './uploads/';            // 定义文件保存目录
$file_name = 'test.php';               // 定义文件名
$file_path = $upload_dir . $file_name; // 拼接得到完整路径：./uploads/test.php

网安重点： 文件上传漏洞中，攻击者就是利用这个语法，通过篡改文件名，让恶意文件被拼接成合法路径保存到服务器。

2.3 超全局变量

① 什么是超全局变量

• 全局：在 PHP 代码的任何位置都可以直接使用，不需要提前定义
• 超：PHP 官方内置的变量，专门用来接收用户传递的各种数据，天生存在，直接调用即可

② 核心特点

• 所有超全局变量都是大写的数组形式
• 专门用来接收"用户从浏览器传递给服务器的数据"
• 是后端接收前端参数的核心方式，也是所有 Web 漏洞的"数据入口"

③ 必学的 3 个超全局变量

第一：$_FILES — 文件上传专属

$_FILES['file']['name']      // 获取用户上传文件的原始文件名，比如 头像.jpg、test.php
$_FILES['file']['tmp_name']  // 获取临时文件名+临时路径（PHP自动生成，攻击者无法篡改）
$_FILES['file']['size']      // 获取文件大小

⚠️ name 可篡改，tmp_name 不可篡改。攻击者可以把恶意 PHP 文件改成 头像.jpg.php 伪装成图片，这是文件上传漏洞的核心利用点。

第二：$_GET — 接收 GET 请求传递的参数

// 访问网址 http://www.xxx.com/index.php?user=admin&pwd=123
$user = $_GET['user'];  // 接收的值是 admin
$pwd = $_GET['pwd'];    // 接收的值是 123

特点：参数在 URL 中可见，适合传递非敏感的查询数据。

第三：$_POST — 接收 POST 请求传递的参数

$user = $_POST['username'];  // 接收账号
$pwd = $_POST['password'];    // 接收密码

特点：数据藏在请求体中，URL中不可见，适合传递敏感数据、大文件、表单信息。

网安重点： WebShell 的核心代码中，100% 会用到 $_POST，比如 $_POST[123]，用来接收攻击者的恶意指令。

2.4 PHP 后端如何接收前端传递的参数

这是所有 Web 交互的核心，也是所有漏洞的起点：

请求方式	超全局变量	典型场景
GET 请求	$_GET['参数名']	查询数据、搜索内容、分页
POST 请求	$_POST['参数名']	登录、注册、提交表单、文件上传
文件上传	$_FILES['file']['name']	所有文件上传操作

核心结论： 所有的 Web 漏洞，本质都是"后端接收了前端的恶意参数，并且没有做过滤，直接使用/执行"。

---

三、文件上传完整流程

文件上传是网站最常见的功能（头像上传、附件上传、图片上传），整个流程分为 4 个固定步骤，顺序不变、逻辑不变，所有网站的文 件上传都是这个流程！

我们用"寄快递"来比喻：

步骤 1：用户选文件 → 填快递单

用户在浏览器中，通过上传表单选择要上传的文件，点击"上传"按钮；浏览器把文件的基本信息（文件名、大小、类型）整理好，准备发送给服务器。

步骤 2：浏览器打包 → 用 POST 请求发货

浏览器将用户选择的文件，以"二进制数据包"的形式打包，通过 POST 请求发送给服务器。

为什么必须用 POST？因为 GET 请求能传递的数据量极小，无法承载文件的大小，POST 请求无数据量限制，是文件上传的唯一方式。

步骤 3：服务器接收 → 存入临时仓库

服务器收到浏览器发送的文件数据包后，不会直接保存到指定目录，而是会先把文件存入服务器的"临时目录"，并由 PHP 自动生成一个"临时文件名"，这个文件名就是 $_FILES['file']['tmp_name']。

核心特点： 临时文件是一次性的，PHP 脚本执行结束后，临时文件会被服务器自动删除，不会残留。

步骤 4：PHP 代码做最终决策 → 完成上传（核心核心核心）

这是整个文件上传流程的核心步骤，也是文件上传漏洞产生的唯一环节！

PHP 会完成 3 个核心操作：

1. 决定"要不要接收这个文件"（是否过滤文件类型、文件名）
2. 决定"把文件存到哪里"（指定保存目录，比如 ./uploads/）
3. 决定"给文件起什么名字"（使用原始文件名还是重新命名）

最后，PHP 调用核心函数 move_uploaded_file()，将临时目录中的文件"搬运"到指定的保存目录。

文件上传核心函数：move_uploaded_file()

move_uploaded_file(临时文件路径, 目标保存路径);

// 完整示例：
move_uploaded_file($_FILES['file']['tmp_name'], $file_path);

核心特点：

• 安全特性： 只能搬运通过 POST 请求上传的临时文件，无法搬运服务器上的其他文件，能有效防止攻击者伪造文件上传
• 无过滤特性： 这个函数只是"搬运工"，只负责搬文件，不会检查文件的类型、内容、是否为恶意文件
• 核心结论： 这个函数本身没有漏洞，文件上传漏洞的产生，永远不是这个函数的问题，而是 PHP 代码没有在搬运前做过滤校验

---

四、文件上传漏洞详解

4.1 什么是文件上传漏洞

文件上传漏洞，是指网站的 PHP 上传代码，没有对用户上传的文件进行严格的过滤和校验，导致攻击者可以将"恶意的 PHP 脚本文件"伪装成合法文件（图片、文档），成功上传到服务器，并且能被服务器解析执行的高危漏洞。

4.2 漏洞产生的核心原因

所有的文件上传漏洞，产生的原因只有一个，没有例外：

后端的 PHP 上传代码，没有对用户上传的文件进行有效的过滤校验，直接使用了攻击者可控的原始文件名，直接将文件保存到服务器。

最典型的无过滤漏洞代码：

<?php
$upload_dir = './uploads/';
$file_name = $_FILES['file']['name'];      // 直接使用攻击者可控的文件名
$file_path = $upload_dir . $file_name;     // 直接拼接路径
if (move_uploaded_file($_FILES['file']['tmp_name'], $file_path)) {
    echo "上传成功！";
}
?>

漏洞点分析：代码中没有检查文件是不是图片、没有检查文件名是不是恶意后缀、没有过滤特殊字符，攻击者传什么文件，服务器就保存什么文件。

4.3 漏洞的危害

文件上传漏洞是 Web 安全中危害最高的漏洞之一。一旦存在这个漏洞，攻击者可以：

1. 上传恶意的 PHP 脚本文件到服务器
2. 通过浏览器访问这个文件的地址，让服务器解析执行脚本
3. 拿到服务器的权限，进而控制整个网站、数据库，甚至服务器本身
4. 泄露网站的用户数据、管理员账号密码，甚至篡改网站内容

4.4 漏洞的核心利用条件

攻击者上传了恶意文件后，想要让文件生效，必须满足 2 个条件（缺一不可）：

条件	说明
条件 1	文件成功上传到服务器，并且知道文件的完整访问地址（可访问）
条件 2	文件存放的目录，被服务器配置了 PHP 解析权限（可解析）

核心口诀： 上传成功 + 可访问 + 可解析 = 漏洞利用成功！

4.5 上传成功 ≠ 漏洞成立

这是一个关键的区别：

	上传成功	漏洞成立
定义	文件仅被保存到服务器指定目录，但未被解析执行	文件被服务器解析执行，攻击者可控制服务器
状态特征	文件存在于服务器硬盘；可通过 URL 访问文件；未被服务器解析执行；无实际危害	文件成功上传到服务器；文件位于可解析目录；被服务器解析执行；攻击成功，服务器被控
文件状态	静态文件	动态脚本

核心结论： 危险发生在上传成功之后——文件被执行才是关键！

---

五、WebShell 详解

5.1 WebShell 的官方定义

WebShell 是攻击者通过漏洞，上传到目标服务器的、能被服务器解析执行的、可以远程控制服务器的 PHP 脚本文件，也被称为"网站后门"、“网页后门”。

5.2 WebShell 的核心特点

• 特点 1： 本质就是一个普通的 PHP 文件，后缀是 .php，和正常的 PHP 文件没有任何区别
• 特点 2： 不是病毒、不是工具，只是一段包含"恶意执行逻辑"的 PHP 代码
• 特点 3： 核心能力是"接收攻击者的远程指令，并让服务器执行"，实现对服务器的远程控制

5.3 WebShell 生效的 3 个必备条件

和文件上传漏洞的利用条件完全一致：

1. 成功上传：WebShell 文件被成功保存到目标服务器的指定目录
2. 可访问：攻击者能通过浏览器，访问到这个 WebShell 文件的完整地址
3. 可解析：文件所在目录支持 PHP 解析，服务器能把它当成 PHP 脚本执行

5.4 最经典的两种 PHP WebShell

① 代码执行型 WebShell：<?php eval($_POST[123]); ?>

• 核心函数： eval()
• 函数作用： 将"接收到的字符串"当成"合法的 PHP 代码"，直接交给服务器解析执行
• 运行逻辑： 攻击者通过 POST 请求，向这个文件传递任意的 PHP 代码（比如删库、查数据），eval() 会把这些代码执行，实现对网站的控制
• 危害范围： 控制网站的 PHP 程序，操作网站的数据库、文件、内容

② 系统命令型 WebShell：<?php system($_POST[123]); ?>

• 核心函数： system()
• 函数作用： 将"接收到的字符串"当成"服务器的操作系统命令"，直接交给服务器执行
• 运行逻辑： 攻击者通过 POST 请求，传递任意的系统命令（比如查看服务器文件、新建账号、删除文件），system() 会把这些命令执行
• 危害范围： 控制整个服务器的操作系统，权限极高，危害远大于第一种

核心要点： eval 控制网站，system 控制服务器，两者危害层级不同。

5.5 WebShell 的核心原理

无论哪种 WebShell，核心原理只有一句话，也是所有 Web 漏洞的底层根源：

PHP 代码将"未做任何过滤的、攻击者完全可控的用户输入（$_POST 接收的参数）“，当成了"合法的执行指令”，直接执行。

简单说：服务器"盲目信任"了攻击者的输入，把攻击者的恶意指令当成了正常的代码/命令去执行，最终导致服务器被控制。

5.6 WebShell 和文件上传漏洞的关系

• WebShell 是"攻击的武器"
• 文件上传漏洞是"把武器送进服务器的通道"
• 攻击者通过"文件上传漏洞"将"WebShell 文件"上传到服务器，再通过访问 WebShell 实现对服务器的控制

这是渗透测试中最经典、最常用的攻击链路：

攻击者 → 文件上传漏洞（送武器）→ 服务器可解析目录 → WebShell 执行 → 服务器被控

---

六、漏洞根源与安全思维

6.1 漏洞根源

盲目信任用户输入，未做严格校验。

文件上传漏洞案例

	信任内容	实际攻击
开发者	信任用户上传的文件名，认为用户会老老实实上传图片、文档等正常文件	$_FILES['file']['name'] = "hack.jpg.php"
攻击者	伪造文件名，将恶意 PHP 代码伪装成图片上传，利用开发者对文件名的信任	成功将 WebShell 上传到服务器可解析目录

WebShell 案例

	信任内容	实际攻击
WebShell 代码	信任用户传入的指令，通过 $_POST 或 $_GET 直接接收并执行，未做任何过滤和权限验证	攻击者通过 WebShell 向服务器发送恶意系统指令，实现文件浏览、数据窃取、权限提升等操作

核心安全原则：所有用户输入都不可信任，必须严格校验！

6.2 文件上传漏洞本质

文件上传漏洞的本质是 无过滤 + 文件可执行 的结合。

要点	说明
❌ 无过滤	直接使用可控的 name
❌ 可执行	文件在可解析目录
❌ 成功执行	控制服务器

---

七、与前篇博文的知识关联

7.1 攻击链路串联

本篇（第三篇）与前两篇形成完整的攻击链：

第一篇：Web 服务器漏洞（解析漏洞）
    ↓ 攻击者找到可解析目录
第二篇：Web 前端安全（XSS 漏洞）
    ↓ 攻击者窃取 Cookie，伪造身份
第三篇：Web 后端安全（文件上传 + WebShell）
    ↓ 攻击者上传恶意文件，拿下服务器

7.2 auditd 在后端安全中的作用

在服务器层面，可以用 auditd 监控可疑行为：

# 监控 uploads 目录的文件创建和写入
auditctl -w /var/www/html/uploads/ -p war -k web_upload

# 监控 PHP 解释器执行可疑文件
auditctl -w /usr/bin/php -p x -k php_execution

---

八、快速排查清单

8.1 文件上传漏洞自检

检查项	说明
☐ 是否校验文件扩展名	必须是白名单，禁止仅靠 Content-Type
☐ 是否重命名文件	禁止使用用户可控的原始文件名
☐ 是否检查文件内容	使用 getimagesize() 或文件头识别
☐ 上传目录是否可解析	禁止将上传目录配置为 PHP 可执行目录
☐ 是否使用 move_uploaded_file()	必须使用此安全函数，禁止 copy() / rename()

8.2 WebShell 自检

检查项	说明
☐ 是否过滤 $_POST / $_GET 参数	所有用户输入必须经过严格过滤
☐ 是否禁用危险函数	eval()、system()、exec() 等应在 php.ini 中禁用或限制
☐ 是否有 WAF 防护	部署 Web 应用防火墙
☐ 是否有文件完整性监控	监控 /var/www/html/ 目录的文件变更
☐ 是否有访问日志	记录所有文件访问请求，便于溯源

---

九、靶场推荐

靶场	说明
DVWA（Damn Vulnerable Web Application）	包含文件上传漏洞模块，适合入门
Upload-Labs	专为文件上传漏洞设计的练习靶场，涵盖 20+ 种绕过方法
Vulhub	Docker 靶场环境，支持快速搭建

⚠️ 免责声明： 以上靶场仅供学习研究使用，请勿对任何未授权目标进行渗透测试。

---

十、核心知识点总结

1. PHP 是服务器端脚本语言，只在服务器运行，是网站的"后台大脑"
2. 网安学 PHP 的核心原因：PHP 网站占比高、漏洞多，不懂 PHP 看不懂漏洞原理
3. PHP 变量以 $ 开头，字符串拼接用 .，是文件上传漏洞的核心语法
4. 超全局变量 $_GET/$_POST/$_FILES 是后端接收参数的唯一方式，是漏洞的入口
5. 文件上传分 4 步，漏洞只出现在 PHP 的决策环节，核心是"无过滤"
6. 文件上传漏洞的危害是能上传 WebShell，WebShell 是控制服务器的后门
7. 上传成功 ≠ 漏洞成立：文件被执行才是关键
8. 所有漏洞的根源：盲目信任用户输入，没有做过滤校验

---

本文整理自网络安全课程资料，内容仅供学习与安全意识提升使用。请勿将相关知识用于未经授权的系统测试，遵守法律法规。