PHP 8.3 下上传与文件包含漏洞联动利用的本质是：上传提供可执行载体（如图片马、phar），文件包含触发代码执行；需满足上传路径可达、类型可解析、包含参数可控三条件，且须适配PHP 8.3禁用%00截断、强化open_basedir等新特性。
PHP 8.3 环境下，上传漏洞与文件包含漏洞的联动利用，本质是用上传落点提供恶意代码载体，再用文件包含触发执行。这种组合在真实渗透中极为常见，尤其在老旧 CMS（如 zzcms 8.3）或自定义后台中高频出现。关键不在于单个漏洞多强，而在于两者能否打通——上传让文件落地，包含让代码运行。
上传漏洞提供“落脚点”
上传漏洞要能被利用，需满足两个基本条件：
- 允许上传可解析的文件类型（如
.php、.phtml，或绕过校验的.jpg.php）； - 上传后的文件路径可预测或可探测（例如头像目录
/upload/avatar/123.jpg，或临时目录/tmp/phpXXXXXX）。
常见绕过方式包括：
- 利用 MIME 类型白名单宽松（只校验
image/jpeg，不校验内容）； - 后缀黑名单不全（如未过滤
.pht,.phar,.php5）； - 服务端重命名逻辑缺陷（如仅截取第一个点，
shell.php.jpg→shell.php）； - 图片马注入：用十六进制编辑器在 JPG 文件末尾插入
<?php system($_GET['cmd']); ?>，多数 PHP 环境仍会执行该段代码。
文件包含漏洞完成“最后一击”
上传成功后，若目标存在 include($_GET['page']) 或类似动态包含逻辑，且参数未过滤、未限定路径，就可构造请求调用刚上传的文件。重点在于路径可达性：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 若上传到 Web 可访问目录（如
/uploads/），直接传 URL 路径：?page=uploads/shell.php； - 若上传到非 Web 目录（如
/tmp/），需借助其他本地可控文件做跳板（如日志、session、proc/self/environ）； - 若有路径拼接（如
include('pages/' . $_GET['f'] . '.php')），可用../穿透目录，并配合空字节%00（PHP /. 截断后缀（部分旧配置仍有效）。
PHP 8.3 的特殊注意事项
PHP 8.3 默认禁用空字节截断（%00 在路径中不再截断字符串），也强化了 open_basedir 和 allow_url_include 的默认限制。因此：
- 不再依赖
shell.jpg%00这类传统截断； - 更需关注
php://filter读源码（如?page=php://filter/read=convert.base64-encode/resource=config.php）辅助定位上传路径； -
phar://协议在 PHP 8.3 中默认启用，若上传phar.zip并可控文件名，可通过phar://uploads/exploit.zip/test.txt触发反序列化（需配合其他漏洞）； - 注意
session.upload_progress.enabled已被官方建议设为0（CVE-2026-109619 关联项），但若未修复，可能结合上传进度文件实现 LFI→RCE。
实操链路示例（简化）
- 上传一张带 PHP 一句话的图片：
shell.jpg内容末尾含=system($_GET['c'])?>； - 上传成功后返回路径，如
/uploads/20261027120543_shell.jpg； - 访问包含点：
/index.php?page=../uploads/20261027120543_shell.jpg； - 执行命令：
/index.php?page=../uploads/20261027120543_shell.jpg&c=id。
不复杂但容易忽略路径权限、Web 服务器配置（如 Nginx 对 .jpg 强制 Content-Type: image/jpeg 不解析 PHP）、以及 PHP 版本对协议的支持变化。
