Web 应用架构解析与安全漏洞实战指南

4. 文件包含漏洞

• 本地文件包含 (LFI)：读取服务器敏感文件（如 /etc/passwd）。
• 远程文件包含 (RFI)：需开启 allow_url_include，可加载外部恶意脚本。
• 利用条件：知晓路径、有执行权限、存在包含点。

5. XSS (跨站脚本攻击)

• 反射型：参数存在于 URL 中，点击恶意链接触发，一次性失效。
• 存储型：恶意脚本存入数据库，访问页面即触发，危害更大且持久。
• 防御：输出编码、设置 HttpOnly Cookie。

6. 越权访问

• 水平越权：同级别用户修改参数访问他人数据。
• 垂直越权：普通用户调用管理员接口。
• 防御：后端校验当前用户身份与操作权限。

7. CSRF (跨站请求伪造)

诱导用户在已登录状态下执行非意愿操作。防御措施包括添加 Token 校验、检查 Referer 等。

8. SSRF (服务端请求伪造)

诱导服务器向内网发起请求，可用于探测内网端口、读取敏感文件（如 file:///etc/passwd）。

9. 暴力破解与业务逻辑漏洞

• 短信轰炸：高频调用验证码接口。
• 验证码绕过：利用逻辑缺陷跳过验证。
• 防御：限流、图形验证码、行为分析。

CTF Web 实战技巧

CTF 题目常结合特定语言特性设计陷阱，PHP 因其灵活性和历史遗留问题成为重灾区。

PHP 特性利用

• 弱类型比较：strcmp, md5, hash 接收数组时返回 NULL，导致比较恒为真。
• 自动转换：is_numeric 会将 404a 转换为 404。
• 变量覆盖：利用 $$ 或 GLOBALS 覆盖已有变量。
• 信息泄露：注释 (<!-- -->)、robots.txt、JS 源码、Vim 备份文件 (.swp)。

代码执行绕过

• 无字母限制：使用变量函数 system() 直接传参。
• 无字母限制：利用异或、自增构造字符，如 $_ 作为变量名。
• 长度限制：取反运算，将 ASCII 转为十六进制 URL 编码。

命令执行

熟悉 Linux 管道符与逻辑运算符：

• ; 和 &：顺序执行。
• |：前失败则执行后。
• ||：逻辑或。
• &&：逻辑与。
• %0a：换行符绕过。

文件读取与包含

• 伪协议：data://text/plain,aaa 传入文本，php://input 读取 POST 数据。
• 目录遍历：../../ 配合日志文件或图片马。

总结

Web 安全的核心在于假设所有输入皆不可信。无论是 API 调用还是 CTF 解题，理解底层架构、数据流向及语言特性是发现漏洞的关键。构建健壮的验证体系，从认证、授权到参数校验层层设防，才能有效抵御攻击。