文件上传基本概念

文件上传漏洞

文件上传是Web必备的功能之一，上传头像，文件，脚本等，如果服务器没有进行足够的过滤或者配置不当，就可以上传任意文件包括脚本和exe程序等。

1. 漏洞成因
   1. 服务器配置不当会导致任意文件上传
   2. Web应用开发了文件上传功能，对上传文件没有限制
   3. 程序开发时没有考虑系统特性，从而导致限制被绕过
2. 漏洞的危害

上传漏洞最直接的危害就是上传任意文件，包括恶意脚本，程序，如果web服务器所保存上传文件的可写目录具有执行权限，那么就可以直接上传后门文件，导致网站沦陷，如果攻击者通过其他的漏洞进行提权操作，拿到系统管理权限，从而导致服务器崩溃，该服务器下的其他站也不会幸免。

通过上传漏洞获得的网站后门就是webshell

1. webshell

在计算机科学中shell被称为壳（区别于核），是指为使用者提供操作界面的软件（命令解释器）类似于windows里的cmd，linux下的bash。

Webshell的本质是在服务器端可运行的脚本文件，后缀名为.php/.asp/.aspx/.jsp/

也就是说webshell接受来自web用户的命令再到服务器端执行

1. 大马小马

大马代码量大，内容的丰富，功能齐全，每个团队都有自己定制的大马

这就是类似大马的界面

小马，其实就是一句话，因为代码量小，功能强大，但是需要配合菜刀或者蚁剑使用，菜刀是一句话木马的管理器，也是命令操作的接口，菜刀在连接一句话木马的时候需要填写密码，实际上就是变量名，上传一个php的一句话密码就是cmd，以下是各个脚本的一句话