远程命令执行漏洞原理：
由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。
远程命令执行漏洞实例：
<?php $log_string = $_GET[‘log’]; system("echo \"".date("Y-m-d H:i:s ")." ".$log_string."\" >> /logs/".$pre."/".$pre.".".date("Y-m-d").".log");} ?> 恶意用户只需要构造xxx.php?log=`id`形式的URL，即可通过浏览器在远程服务器上执行任意系统命令。id为shell命令格式。