* 起点：仅放行图片后缀的上传点 * 关键步：上传内嵌代码的图片文件，再经文件包含接口编译执行 * 终点：远程代码执行，继承 Web 服务进程权限 * 最终定级：严重（单点上传只存储、单点包含只读文件，成链后 RCE，按终点定级） ### 一、业务背景 内容平台允许用户上传头像、商品图，上传点常只校验后缀或 MIME 类型。站点同时存在文件包含接口，把传入参数直接交给包含函数处理。攻击者上传一个合法图片格式、内部嵌有服务端代码的文件，再经包含接口让服务端编译执行，单点上传和单点包含都不致命，成链后才是 RCE。本链是上传类漏洞 "成链造成业务伤害" 的锁版样本。 ### 二、系统拓扑 * Web 服务：PHP 运行环境，前置云 WAF 拦截脚本后缀。 * 上传接口：仅放行 jpg、png 等图片后缀，无图片内容深度检测。 * 上传目录：与入口脚本同 Web 根目录，可被相对路径到达。 * 文件包含接口：参数直接进入包含函数，不做白名单。 * 信任边界：上传目录的文件可被包含接口跨目录读取编译。 ### 三、角色与账号 * 普通注册用户：可访问上传接口。