PHP上传表单易成木马入口，因$_FILES仅校验客户端可控的后缀与MIME；须在代码层用二进制头校验，如读取前4字节比对JPEG（\xff\xd8\xff）、PNG（\x89PNG）、GIF（GIF8）等签名。
PHP上传表单为什么容易成为木马入口
因为默认的 $_FILES 处理逻辑只校验文件名后缀和 MIME 类型，这两项全由客户端控制，攻击者可伪造 Content-Type、修改后缀（如 shell.php.jpg）、或利用空字节截断绕过检测。宝塔面板本身不干预 PHP 运行时的文件解析行为，所以光靠面板“禁止上传 .php 文件”这类界面设置毫无意义——只要 PHP 脚本能执行 move_uploaded_file()，木马就可能落地。
必须在 PHP 代码层做二进制头校验
仅靠扩展名或 $_FILES['type'] 判定类型是危险的。真实做法是读取上传文件前几个字节，比对已知签名（magic bytes）：
- 用
fopen($tmp_name, 'rb')打开临时文件，fread($fp, 4)读取头 4 字节 - 对图片类：检查是否为
\xff\xd8\xff（JPEG）、\x89PNG（PNG）、GIF8（GIF） - 拒绝任何匹配
、<script>、<pre class="brush:php;toolbar:false;">（ASP/PHP 短标签变体）等文本特征的二进制头</script></code></code> </li> <li>务必在 <code>move_uploaded_file() 前完成校验，且校验后立即关闭文件句柄</code> </li> </ul> <p>示例关键片段：</p> <pre class="brush:php;toolbar:false;">$f = fopen($_FILES['file']['tmp_name'], 'rb'); $head = fread($f, 4); fclose($f); if (strpos($head, '') !== false || strpos($head, '<script false die file type> <H3>上传目录必须禁用 PHP 解析（Nginx/Apache 配置级防护） <p>即使木马意外上传成功，只要 Web 服务器不解析它，就无法执行。这是最硬核的一道防线，不能依赖 PHP 层面的“删掉 .php 后缀”之类软处理。 <ul> <li>Nginx：在站点配置中对应上传目录的 <code>location 块内添加 <code>deny all; 或 <code>fastcgi_disable_upload_script（需自定义）；更通用的是 <code>location ~ \.(php|php5|phtml)$ { deny all; }，作用于指定路径下所有 PHP 类文件 <li>Apache：在上传目录的 <code>.htaccess 中写入 <code>RemoveHandler .php .php5 .phtml 和 <code>php_flag engine off，或直接 <code>Deny from all（如果该目录本就不需要对外访问） <li>宝塔操作路径：网站 → 设置 → 配置文件 → 在 <code>root 下方添加上述 location 或 <code>location ~ ^/uploads/.*\.(php|php5|phtml)$ 规则 <H3>宝塔面板的“上传白名单”功能实际效果很弱 <p>宝塔在「网站」→「过滤规则」里提供的“上传文件类型限制”，本质只是在 Nginx 的 <code>client_max_body_size 和简单后缀拦截层面起作用，它无法阻止攻击者把木马藏在合法后缀文件里（比如 ZIP 内含 <code>shell.php，再用 PHP 解压），也无法干预 <code>move_uploaded_file() 行为。开启后仍需配合前述两项——代码层校验 + 目录级解析禁用。 <p>真正有效的组合是：PHP 代码强制二进制头校验 → 上传目录 Nginx/Apache 禁用 PHP 执行 → 上传后文件改名（去掉原始后缀，用时间戳+随机字符串重命名）。少一个环节，木马就可能跑起来。</script><blockquote><p><span style="color: rgb(255, 0, 0);">php免费学习视频：<a href="https://pan.quark.cn/s/7fc7563c4182" rel="nofollow" target="_blank">立即使用 <br>踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！</script>
