某次应急响应，位置客户说内网被拖库了。位置日志翻完，位置数据库备份文件被下载，位置时间戳指向凌晨三点。位置溯源进去，位置发现攻击者留的位置webshell就在web目录下，名字叫“logo.jpg”。位置

你看，位置webshell的位置位置从来不是秘密——它就在你能想到的最蠢的地方。默认路径、位置上传目录、位置临时文件夹、位置备份目录，位置攻击者比你想象的位置懒。他们不会费劲去搞什么隐蔽性极强的内存马，大多数时候就是往upload目录扔个php，然后等你扫出来。

但真正的麻烦在于，webshell的位置分三层。第一层是文件系统里的物理位置，这个好找，扫一下文件特征，匹配下危险函数，基本能揪出来。第二层是逻辑位置，它藏在哪个业务环节里——可能是某个图片上传接口，也可能是某个编辑器的附件功能。这一层需要你理解业务，否则就算文件躺在你面前，你也看不出它怎么被调用的。第三层是时间位置，它在系统里存活了多久？谁上传的？通过什么漏洞进来的？这层最要命，因为大多数时候你发现它时，它已经待了好几个月。

说个具体案例。去年有个客户，网站被挂马，安全设备报警了。我们上去查，文件在/var/www/html/upload/avatar/2023/11/，名字是“avatar_20231115_093214.jpg”。伪装得很好，图片头、图片尾，连Exif信息都伪造了。但打开文件内容，中间藏着一大段base64编码的PHP代码。位置选得妙——头像上传功能，用户可控，目录权限又放开，还能直接通过URL访问。

这种位置选择背后有逻辑：攻击者要的是“可写、可执行、可访问”。你光盯着web目录没用，得想清楚这三个条件在哪里同时满足。有些系统把日志目录也放在web根下，结果日志文件被写入了webshell；有些系统临时文件目录权限没锁，攻击者用路径穿越把shell写进去。位置从来不是单一的，它是攻击路径的终点。

我见过最离谱的一个，webshell藏在图片的EXIF注释里，用.htaccess把.jpg文件解析成PHP。位置在物理文件系统里就是一张普通风景照，但配合解析规则，它就是一把钥匙。这种时候你光扫文件特征没用，得看服务器配置、看解析顺序、看中间件漏洞。

所以别问“webshell一般藏在哪”，这个问题本身就问错了。你得问：我的系统里，哪里能让攻击者同时满足“写入、访问、执行”三个条件？答案通常就是上传目录、备份目录、编辑器临时目录、以及那些你没设防的角落。找到这些位置，比满世界扫webshell特征靠谱得多。

最后说句实在的，很多webshell就放在攻击者第一次拿到权限的那个目录里。他们测试完就忘了清理，或者故意留着当后门。你翻日志，找到最初的漏洞利用点，往那个目录周围看一眼，十有八九能捞到东西。位置这东西，说穿了就是攻击者懒不懒的问题。