文件上传漏洞实战｜伪装成JPG图片的Webshell

我写了一个PHP一句话木马，内容是*，然后用文本编辑器在一张正常JPG图片的末尾追加了这段代码。文件头部还是JFIF，显示正常图片，后面藏着PHP代码，这就是“图片马”。

上传头像时选了这个文件，系统只检查了后缀名和MIME类型，显示“上传成功”。接着我访问/uploads/avatar.jpg，图片能正常打开，但木马没触发。因为在图片后面追加的PHP代码只会被当作图片数据输出，不会被服务器解析成PHP来执行。

我换了方法，上传了一个shell.php.jpg文件。系统依然只检查了后缀名，服务器配置又把.jpg当成普通图片处理。我尝试修改Content-Type为application/x-httpd-php，再用访问/uploads/shell.php.jpg的方式去请求文件，这时服务器把整个文件当作PHP解析了，Webshell被激活。接下来就是标准流程：列出目录、上传大马、反弹shell、连数据库、改成绩。访问日志里显示的是/uploads/shell.php.jpg这个路径，不仔细看根本发现不了问题。