web渗透测试题

那道题我盯了二十分钟。登录框就三个输入框——用户名、透测密码、渗试题验证码，透测页面底下还印着一行小字：“仅用于内部测试，渗试题请勿攻击。透测”越这么说，渗试题越像在挑衅。透测

我试了 admin' or 渗试题'1'='1，页面没报错，透测但也没进去。渗试题换成 admin'--，透测密码随便填，渗试题验证码刷新了三次才看清。透测提交之后，渗试题浏览器转圈，然后跳转到了 /dashboard.php。成了。SQL注入，经典得不能再经典。但题目没这么简单——进去之后发现是个空后台，只有一句“欢迎，管理员”，旁边挂着一张图表，数据全是零。

这才是渗透测试题有意思的地方。你以为拿下了，其实才刚摸到门把手。

后台有个“导出用户列表”按钮，点了之后下载一个 CSV。我抓包看了一眼，请求是 GET /export.php?file=users.csv。把 users.csv 换成 ../../../../etc/passwd，服务器直接吐回来一段 root:x:0:0:root:/root:/bin/bash。路径穿越，又送一分。但 /etc/passwd 加密了，读不到明文密码。我翻了一下目录，发现 /var/www/html/uploads/ 下面有个 backup.zip，下载下来一看，是网站源码。

源码里藏了个 debug.php，注释写着“TODO: remove before production”。访问它，页面显示一个表单，可以执行系统命令。输入 ls -la，返回了目录列表。输入 cat /home/flag.txt，拿到了 flag。整个过程不到十五分钟。

但有些题不按套路走。我遇到过一道，前端登录框做了严格的参数化查询，SQL注入打不动。验证码是后端生成的，但图片里混了噪点，OCR识别率不到30%。我卡了半小时，最后发现注册功能有个“邀请码”字段，提交时抓包，把 invite_code= 后面的值改成数组：invite_code[]=1&invite_code[]=2。服务器返回了一个PHP警告，路径泄露了——/var/www/htdocs/register.php。顺着路径猜备份文件，register.php.bak 直接下载，里面硬编码了数据库密码。

这种题考的不是工具，是耐心。你得像翻旧货市场一样，把每个参数、每个响应头、每个报错信息都翻一遍。有时候一个 X-Powered-By: PHP/5.6.40 就能让你知道该找什么版本的漏洞。

文件上传也是高频考点。题目让你传头像，只允许 jpg/png。你传个 shell.php 肯定被拦。但如果你把文件名改成 shell.php.jpg，有些后端只检查后缀，就过了。再狠一点，Content-Type: image/jpeg 配合文件头 GIF89a，加上一句话木马，服务器照单全收。我见过最阴的，是上传后文件被重命名为 md5(文件名).jpg，路径不可预测。但响应里返回了完整URL，你抓包就能拿到。

还有命令注入。输入框让你填IP地址做ping测试，你填 127.0.0.1; cat /etc/passwd，回显直接出来。如果过滤了空格，用 ${ IFS} 代替；过滤了分号，用 %0a 换行。这些技巧在CTF里快被用烂了，但真实渗透中，一个没过滤的 ping 功能就能让你从外网摸到内网。

最后说一句，别迷信自动化工具。sqlmap跑一遍，可能什么都没扫出来，因为题目故意把注入点放在了一个需要先登录才能访问的接口上。你得手动抓包，把Cookie带上，再让sqlmap去跑。工具是死的，题是活的。

那道题我最后交卷的时候，flag是 flag{ sqli_2_rce_1s_fun}。挺俗的，但确实fun。

(责任编辑：综合)