靶子代码：
前端效果：
这是个没有任何防护的文件上传代码，同时还热心的附上了上传文件的路径。
我们写好php木马后，什么额外工作也不需要做，直接上传就行了。上传后在浏览器里访问该文件，其就会被执行。
注意，该文件扩展名必须为.php，否则浏览器访问时不会得到执行。
上传的同时，抓包，看下包的内容。
决定木马能否执行的是filename那里的.php ；
而有些过滤则是基于Content-Type；因此，修改Content-Type里的内容，可以绕过一些防御。
若过滤是基于文件后缀的，或者是更复杂的过滤，就比较麻烦了。
<?php eval($_GET['wow']); ?> 就是所谓的一句话木马，是我们要写在上传的文件中的。
eval() 函数把字符串按照 PHP 代码来计算。
若该木马得到执行，我们就可以在浏览器用get传参远程执行自己写的php代码了。
像这样：
参考：
https://blog.csdn.net/levones/article/details/80654233