web后端

PHP基础与文件上传安全核心知识总结一、PHP核心基础PHP本质全称超文本预处理器服务器端开源脚本语言专为Web开发设计仅在服务器运行用户仅能看到运行结果无法获取源码是网站的「后台大脑」负责处理登录验证、文件上传、数据库操作、请求响应等核心业务逻辑与负责前端展示的HTML/CSS/JS分工明确。网安必学PHP的原因市场占比极高国内80%以上中小型网站基于PHP开发是漏洞重灾区不懂PHP无法理解Web漏洞底层原理与利用方式PHP语法简单是网安入门最友好的后端语言仅学网安相关基础即可满足渗透测试需求。核心语法变量以$开头区分大小写无需提前声明类型网安常用变量为文件上传相关的$upload_dir保存目录、$file_name文件名、$file_path完整路径。字符串拼接使用英文点号.是文件上传漏洞的核心语法攻击者可通过篡改文件名拼接出合法恶意文件路径。超全局变量PHP官方内置的大写数组可在代码任意位置使用是后端接收前端参数的唯一方式也是所有Web漏洞的「数据入口」必学3个核心超全局变量$_FILES文件上传专属接收上传文件所有信息$_FILES[file][name]原始文件名攻击者可篡改漏洞核心利用点、$_FILES[file][tmp_name]临时路径/文件名PHP自动生成不可篡改PHP安全机制是网安必记属性$_GET接收GET请求参数参数在URL中可见适用于非敏感查询$_POST接收POST请求参数参数藏在请求体中适用于登录、文件上传等敏感/大数据量操作WebShell代码100%会用到。二、文件上传完整流程文件上传是网站通用功能全流程分4步仅第4步由PHP代码决策是漏洞唯一产生环节可用「寄快递」类比用户选文件整理文件基本信息类似「填快递单」浏览器打包以二进制数据包通过POST请求发送GET请求有数据量限制POST是文件上传唯一方式类似「发货」服务器接收将文件存入临时目录PHP自动生成临时文件名$_FILES[file][tmp_name]临时文件为一次性脚本执行后自动删除类似「存入临时仓库」PHP代码决策核心PHP决定是否接收文件、保存目录、文件命名最终调用move_uploaded_file()函数将临时文件搬运至指定目录完成上传。核心函数move_uploaded_file()语法为move_uploaded_file(临时文件路径, 目标保存路径)是安全函数仅能搬运POST上传的临时文件无过滤特性仅做「搬运工」漏洞并非函数本身问题而是PHP代码未在搬运前做过滤校验。三、文件上传漏洞定义网站PHP上传代码未对用户上传文件做严格过滤校验导致攻击者将恶意PHP脚本伪装成合法文件图片、文档等成功上传并被服务器解析执行的高危漏洞。核心成因唯一原因是后端PHP代码直接使用攻击者可控的原始文件名未对上传文件做有效的过滤、校验典型为无过滤上传代码直接拼接路径并执行文件搬运。漏洞危害Web安全中危害最高的漏洞之一攻击者可上传恶意脚本拿到服务器权限控制网站/数据库泄露/篡改用户数据甚至控制服务器本身。核心利用条件缺一不可恶意文件成功上传至服务器且知道完整访问地址可访问 文件存放目录被服务器配置PHP解析权限可解析口诀上传成功可访问可解析漏洞利用成功。关键区分上传成功≠漏洞成立仅文件保存到服务器无解析执行无实际危害只有文件被服务器解析执行才会导致服务器被控漏洞真正成立。四、WebShell定义攻击者通过漏洞上传到服务器的、可被解析执行的、能远程控制服务器的PHP脚本文件又称「网站后门」是渗透测试中攻击服务器的核心「武器」。核心特点本质是普通.php文件非病毒/工具仅含恶意执行逻辑核心能力是接收攻击者远程指令并让服务器执行实现远程控制。生效必备条件与文件上传漏洞利用条件一致成功上传文件可访问文件所在目录支持PHP解析。经典两种形态必背所有复杂WebShell的基础代码执行型?php eval($_POST[123]); ?核心函数eval()将接收的字符串当作PHP代码执行仅能控制网站的PHP程序操作数据库/文件等系统命令型?php system($_POST[123]); ?核心函数system()将接收的字符串当作服务器操作系统命令执行可控制整个服务器危害远高于代码执行型。核心原理PHP代码将未做过滤的、攻击者可控的用户输入$_POST接收的参数直接当作合法的代码/命令执行本质是服务器「盲目信任」攻击者输入。五、核心关联与安全原则WebShell与文件上传漏洞的关系文件上传漏洞是「将武器送进服务器的通道」WebShell是「攻击武器」攻击者通过文件上传漏洞将WebShell上传至服务器再通过访问WebShell实现远程控制是渗透测试最经典的攻击链路。所有Web漏洞的根源后端盲目信任用户输入未对前端传递的参数做任何过滤、校验直接使用/执行。核心安全原则所有用户输入都不可信任必须进行严格的校验与过滤是防范文件上传、SQL注入、XSS等所有Web漏洞的基础。