制作 WAR 后门，实现上传木马拿 Shell

0、简介

发现后台存在 WAR 文件上传点，可以通过上传带有后门的 WAR 包，实现 Webshell 的落地和远程控制。

---

1、制作 WAR 木马

以管理员权限打开 CMD，切换到 JDK 的 bin 目录，使用 jar 命令将 JSP 木马打包成 WAR 文件。

cd "C:\Program Files\Java\jdk1.8.0_131\bin"
jar cvf shell.war xx.jsp

具体操作截图：

---

2、上传并获取 Shell

将 shell.war 文件上传到后台上传点后，通过蚁剑或菜刀等 Webshell 管理工具访问：

http://x.x.x.x:8080/shell/xx.jsp

成功拿到 Shell 后，可以远程执行命令。

---

💡 提示

• 制作木马时，xx.jsp 文件需为功能完整的 Webshell 脚本。
• 上传前确保目标服务器支持 WAR 包自动部署（如 Tomcat）。
• 此技巧用于安全测试，禁止用于非法攻击。

---

这样，你就可以通过上传 WAR 包木马，快速实现 Webshell 获取和远程控制。