我最近收到了一封质量异常差的网络钓鱼邮件；“请立即在以下链接下登录，因为我们是您的银行，您知道”-ish。该链接指向一个令人难以置信的 URL，.php末尾带有。
我在问自己为什么他们可能会使用 PHP 脚本，而不是仅仅伪造给定页面的外观并将输入的数据提交到表单。
我真的不想点击链接来查找，但我很想知道这个 PHP 文件将要做什么。有没有一种下载脚本的方法，比如你可以使用客户端 JavaScript？
还是我无法访问 PHP 文件，因为它是由服务器执行的？
是否有其他方法可以在没有任何危险的情况下分析此文件及其行为？
如果服务器配置正确，则无法下载 PHP 文件。它将在通过网络服务器调用时执行。查看它的作用的唯一方法是通过 SSH 或 FTP 或其他方法访问服务器。
这是因为 PHP 是一种服务器端语言，所有操作都在服务器上执行，然后将结果发送到您的浏览器（即客户端）。
如果你害怕弄乱你的系统，你可以使用带有 Ubuntu VM 的 Virtualbox 并从那里打开页面。如果您在安装后并在执行危险操作之前拍摄 VM 的快照，您可以稍后返回该快照并撤消脚本可能对 VM 执行的任何操作。
正如其他人所说，PHP 文件是在服务器端执行的，除非服务器设置得如此糟糕以至于它只会为源提供服务。
如果您想检查发送给您的客户的内容，而不会让它做任何不良行为，请使用记事本等文本编辑器打开 URL。也就是说，使用File → Open但打开 URL 而不是真实文件。
服务器将解释请求并将它通常发送的内容发送到浏览器。您的文本编辑器会收到它，但文本编辑器所能做的就是显示是否进行编辑。它永远不会靠近要执行的浏览器或其他渲染引擎。
该.php文件在服务器端执行，因此很遗憾无法获取源代码。但是，您可以尝试操纵 URL，希望系统管理员犯了错误。
当用户访问http://www.example.com/index.php 时，Web 服务器通过/usr/bin/php执行index.php来自的文件来生成 HTML 响应/var/www/html。
Web 服务器通常配置为.php仅执行文件，因此.jpg或任何其他文件类型都正常提供。
但是，如果一个健忘的系统管理员.php出于备份目的制作了该文件的副本，则您可能能够在不被执行的情况下检索该副本/usr/bin/php
因此，如果系统管理员将其复制为/var/www/html/index.php.bak，您可以通过浏览器访问http://www.example.com/index.php.bak来下载其源代码。
查找这些剩余文件是一项繁琐的任务，因此您可能想看看自动化 URL 模糊测试工具。
最后我推荐使用curl来做这些实验，因为它不会在你的机器上执行 JavaScript 或 Flash。
不，你不能，因为 PHP 是在服务器上执行的。结尾。