一个webshell文件躺在服务器目录里，后门比任何防火墙都致命。脚本它可能叫“logo.jpg”，后门也可能是脚本“cache.php”，但本质都一样——攻击者留下的后门后门，让你服务器变成他家客厅。脚本

我见过最嚣张的后门html后门，整个文件就三行代码。脚本第一行伪装成图片请求，后门第二行把参数写进cookie，脚本第三行直接执行系统命令。后门你打开源码看，脚本干干净净，后门连注释都没有。脚本但只要你访问那个URL，后门服务器就悄悄把控制权交出去了。

这种脚本不依赖复杂漏洞，专挑管理员疏忽。比如某个上传点只校验了文件头，攻击者塞个html文件进去，浏览器不解析，但服务器端脚本会。更阴险的是用iframe嵌套，把后门藏在合法页面里，流量监控都查不出来。

我朋友的公司中过招。他们的官网被人改了首页，但所有文件校验都正常。后来发现是html后门在作怪——攻击者把恶意代码写进404错误页面。平时没人访问不存在的路径，自然没人发现。等搜索引擎爬虫触发404，后门就激活了，把整个数据库拖走。

写html后门不需要高深技术。一个textarea表单，一个提交按钮，配合服务器端解析漏洞就能实现。我见过有人用`