一、文件上传漏洞的原理

文件上传漏洞是指攻击者通过某种方式将恶意文件上传到目标服务器，从而获取服务器控制权、篡改数据或执行其他恶意操作的安全漏洞。其原理主要包括以下几点：

• 许多网站和应用程序都有合法的文件上传功能，比如用户上传头像、文档、图片等。正常情况下，服务器会对上传的文件进行一定的检查和处理。但是，如果这些检查机制不完善，攻击者就可以利用这个合法的上传途径，上传恶意文件。
• 例如，一个允许用户上传图片的论坛，正常情况下应该只允许上传符合规定格式（如 JPEG、PNG 等）的图像文件。但是，如果服务器端没有对文件类型进行严格验证，攻击者就可能上传一个包含恶意脚本的 PHP 文件，伪装成图片文件（通过修改文件扩展名等手段）。

二、webshell

webshell的收集项目地址（链接）包含了各种常用的webshell
1、一句话木马

• 代码短，只有一行代码。
• 场景多，可以单独生产文件，也可以
• 插入到图片中，安全性高，隐秘性强，可变形免杀

<?php>
    @eval($_POST['muma']);
<?>

2、小马

• 体积小，功能少
• 只有文件上传功能

3、大马

• 体积大、功能全
• 能够管理数据库、文件管理、对站点进行快速的信息收集，甚至能够提权

webshell工具

中国菜刀
中国蚁剑
weevely
哥斯拉 godzilla
冰蝎 behinder