rm-rf/* 不会别人从头像或者其他图片png上传口上传的，然后使用burpsuite抓包改Content-Type: image的meta数据。 然后使用类似fwrite()的函数写入一句话木马或者shell绕过waf。之后使用蚁剑，哥斯拉之类的shell工具连上进行操作的吧。 这种东西无论是看雪，还是i春秋，就连土司都玩烂了 上传图片不转码？，转一次码可以过滤99%的php shell上传。上传目录不禁止php执行吗 站库没分离的话我更感觉是sql进来的，sql往硬盘上写文件
丰仔 #19 rm-rf/* 通过裁剪头像的一个步骤，被裁剪的图像会被先上传到服务器，再输出到前端，这个过程里面没有过滤干净，但是裁剪完后上传的图片是有转码的 James的回答在这里https://www.nodeloc.com/d/1246/11
James #19 rm-rf/* 因为操作后他把网站都有文件都删除了，也没有留下日志。 顺便也把数据库删了。 但从操作权限来看，只有网站用户的权限，动过的只有网站下的文件。现在是站库分离的。所以不是sql进来的。 上传头像这里是因为使用了一个 Crop插件，这个插件先把源文件保存在了服务器上，可能这点被利用了。
。上传目录不禁止php执行吗
