本文仅作为学习参考使用，本文作者对任何使用本文进行渗透攻击破坏不负任何责任。
一，文件上传漏洞简介。
1，什么是文件上传漏洞。
文件上传漏洞，是指web应用允许用户上传诸如：木马，病毒，执行文件等恶意语句，并利用服务器对其的处理不当，从而执行恶意代码或获取服务器控制权的漏洞。
2，一句话木马。
一句话木马，简称webs hell，是一种简单，直接的攻击方式。通常是一行简单的代码，实现远程控制或执行恶意操作的程序。通常由PHP,ASP,ASPX,JSP等语言编写。以下为代码样例：
PHP：
<?php @eval($_POST['pass']);?>
这段代码的含义是：使用eval函数，以POST形式，提交名为pass的变量的php代码。攻击者可在客户端构造包含恶意代码的GET请求，当服务器执行这段PHP代码时，就会执行攻击者指定的恶意操作。
3，webshell工具。
Webshell工具，是在成功入侵并控制Web服务器后，为了继续维持对服务器的访问权限而放置的恶意脚本或软件。常见的工具有：中国菜刀（Cknife）；中国蚁剑（AntSword）；冰蝎（Cobalt Strike）；哥斯拉（Godzilla）；Metasploit等。
二，简单利用。
1，生成一句话木马。
此处使用webshell工具：哥斯拉生成。因为手写的一句话木马可能无法创建。
点击管理，生成。
生成php的一句话木马。
在桌面上生成名为a.php的一句话木马的php文件。
打开后可以看到，其本质是经过加密处理的一句话木马。
计算机设备可能提醒有病毒木马存在，并会直接删除，建议在测试时临时关闭病毒检测以及安全卫士。
2，上传至目标服务器。
此处直接拖入phpstudy的www目录下以模仿文件上传
3，拿到shell。
成功上传。
测试链接，成功，点击添加。
4，执行操作。
右键进入。
在命令执行和任务管理界面，即可进行任意操作。