PHP上传表单易成木马入口，因$_FILES仅校验客户端可控的后缀与MIME；须在代码层用二进制头校验，如读取前4字节比对JPEG（\xff\xd8\xff）、PNG（\x89PNG）、GIF（GIF8）等签名。
PHP上传表单为什么容易成为木马入口
因为默认的 $_FILES 处理逻辑只校验文件名后缀和 MIME 类型，这两项全由客户端控制，攻击者可伪造 Content-Type、修改后缀（如 shell.php.jpg）、或利用空字节截断绕过检测。宝塔面板本身不干预 PHP 运行时的文件解析行为，所以光靠面板“禁止上传 .php 文件”这类界面设置毫无意义——只要 PHP 脚本能执行 move_uploaded_file()，木马就可能落地。
必须在 PHP 代码层做二进制头校验
仅靠扩展名或 $_FILES['type'] 判定类型是危险的。真实做法是读取上传文件前几个字节，比对已知签名（magic bytes）：
- 用
fopen($tmp_name, 'rb')打开临时文件，fread($fp, 4)读取头 4 字节 - 对图片类：检查是否为
\xff\xd8\xff（JPEG）、\x89PNG（PNG）、GIF8（GIF） - 拒绝任何匹配
<?php、<script>、<pre class="brush:php;toolbar:false;">（ASP/PHP 短标签变体）等文本特征的二进制头</li> <li>务必在 <code>move_uploaded_file()</pre> 前完成校验，且校验后立即关闭文件句柄</script>
示例关键片段：
$f = fopen($_FILES['file']['tmp_name'], 'rb');
$head = fread($f, 4);
fclose($f);
if (strpos($head, '<?') !== false || strpos($head, '<script') !== false) {
die('Invalid file type');
}
上传目录必须禁用 PHP 解析（Nginx/Apache 配置级防护）
即使木马意外上传成功，只要 Web 服务器不解析它，就无法执行。这是最硬核的一道防线，不能依赖 PHP 层面的“删掉 .php 后缀”之类软处理。
- Nginx：在站点配置中对应上传目录的
location块内添加deny all;或fastcgi_disable_upload_script（需自定义）；更通用的是location ~ \.(php|php5|phtml)$ { deny all; }，作用于指定路径下所有 PHP 类文件 - Apache：在上传目录的
.htaccess中写入RemoveHandler .php .php5 .phtml和php_flag engine off，或直接Deny from all（如果该目录本就不需要对外访问） - 宝塔操作路径：网站 → 设置 → 配置文件 → 在
root下方添加上述 location 或location ~ ^/uploads/.*\.(php|php5|phtml)$规则
宝塔面板的“上传白名单”功能实际效果很弱
宝塔在「网站」→「过滤规则」里提供的“上传文件类型限制”，本质只是在 Nginx 的 client_max_body_size 和简单后缀拦截层面起作用，它无法阻止攻击者把木马藏在合法后缀文件里（比如 ZIP 内含 shell.php，再用 PHP 解压），也无法干预 move_uploaded_file() 行为。开启后仍需配合前述两项——代码层校验 + 目录级解析禁用。
立即学习“PHP免费学习笔记（深入）”；
真正有效的组合是：PHP 代码强制二进制头校验 → 上传目录 Nginx/Apache 禁用 PHP 执行 → 上传后文件改名（去掉原始后缀，用时间戳+随机字符串重命名）。少一个环节，木马就可能跑起来。
