1. 為什么任意文件讀取是CTF入門最值得啃的第一塊硬骨頭剛接觸CTF那會兒我一度覺得Web方向的題目類型太雜SQL注入、XSS、文件上傳、命令執(zhí)行……每個都像一座獨(dú)立的山頭。后來帶我的前輩說了一句話點(diǎn)醒了我如果你只想先精通一類漏洞那就選任意文件讀取。原因很實(shí)在——它的原理足夠簡單但利用手法極其豐富從最基礎(chǔ)的路徑拼接到編碼繞過、偽協(xié)議、日志包含幾乎把Web安全里輸入信任這個核心命題演繹了個遍?？型杆銓τ脩糨斎氲降啄苡卸辔ｋU這件事會有肌肉記憶般的理解。任意文件讀取漏洞英文常寫作Arbitrary File Read本質(zhì)是服務(wù)端把用戶可控的輸入直接拼進(jìn)了文件操作函數(shù)導(dǎo)致攻擊者能讀取到預(yù)期之外的服務(wù)器文件。它和文件包含F(xiàn)ile Inclusion經(jīng)常被混為一談但兩者有明確邊界文件讀取偏向讀內(nèi)容文件包含偏向執(zhí)行代碼。很多新手一上來就背Payload結(jié)果遇到稍微變形一點(diǎn)的題目就懵了根本原因是沒搞清楚數(shù)據(jù)從請求到文件系統(tǒng)之間到底經(jīng)過了哪些環(huán)節(jié)。這篇筆記我打算按自己當(dāng)初從零摸索的順序來寫不搞那種先講定義再講分類的教科書套路。我會先帶你把漏洞的成因拆開看再講實(shí)戰(zhàn)里最常遇到的幾種繞過姿勢然后是偽協(xié)議這個重頭戲最后聊聊怎么把讀到的文件變成下一步的突破口。中間會穿插我自己踩過的坑比如為什么明明Payload沒錯卻讀不到文件、為什么有的題目讀/etc/passwd能成讀flag卻不行。適合剛?cè)腴TCTF Web方向、想系統(tǒng)搞懂一類漏洞的朋友也適合已經(jīng)會背Payload但想弄明白底層邏輯的人。提醒一句下面所有技術(shù)內(nèi)容僅用于CTF競賽和授權(quán)測試環(huán)境的學(xué)習(xí)研究任何未授權(quán)環(huán)境下的測試都是違規(guī)的這條線必須守住。2. 把漏洞成因拆到函數(shù)級別輸入是怎么一步步走到文件系統(tǒng)的2.1 從一次看起來沒問題的代碼說起先看一段非常典型的PHP代碼這類寫法在早期的CMS和練手項目里遍地都是?php $file $_GET[file]; include($file); ?很多人第一反應(yīng)是這不就是文件包含嗎。沒錯include確實(shí)是包含但當(dāng)你傳入的路徑指向一個純文本文件時它的效果就是把文件內(nèi)容讀出來并輸出這時候它和文件讀取在表現(xiàn)上沒區(qū)別。真正純粹的讀取漏洞長這樣?php $filename $_GET[filename]; echo file_get_contents($filename); ?或者用readfile、fopenfread、file、show_source等等。函數(shù)名不同但病根是同一個$_GET[filename]這個完全由用戶控制的字符串沒有經(jīng)過任何白名單校驗(yàn)就直接被當(dāng)成了文件路徑。這里有個關(guān)鍵認(rèn)知漏洞不在于用了哪個函數(shù)而在于信任邊界被打破了。服務(wù)端默認(rèn)用戶傳過來的路徑是安全的但用戶完全可以傳../../../../etc/passwd。這就是任意文件讀取的起點(diǎn)。2.2 路徑穿越../到底做了什么../在文件系統(tǒng)里表示上一級目錄。假設(shè)網(wǎng)站根目錄是/var/www/html/代碼里寫的是file_get_contents(data/ . $filename)那么拼接后的路徑是/var/www/html/data/加上你的輸入。如果你傳../../../../etc/passwd最終路徑就變成了/var/www/html/data/../../../../etc/passwd操作系統(tǒng)在解析路徑時會把data/..抵消成html再..抵消成www一路往上退到根目錄最后指向/etc/passwd。這就是路徑穿越Path Traversal也叫目錄遍歷。我當(dāng)初犯過一個低級錯誤數(shù)不清要退幾級。后來總結(jié)了個笨辦法但很管用——先確定當(dāng)前腳本所在目錄再數(shù)它到根目錄有幾層多退幾級也無所謂因?yàn)橥说礁夸浐笤?.還是根目錄。所以實(shí)戰(zhàn)里我習(xí)慣直接甩一長串../比如../../../../../../../../etc/passwd省得算。2.3 絕對路徑與相對路徑的取舍有時候你不需要穿越因?yàn)榇a可能直接接受絕對路徑?php $filename $_GET[filename]; readfile($filename); ?這種情況下直接傳/etc/passwd就行不用../。但更多時候代碼會做拼接比如$dir . $filename這時候就必須用相對路徑穿越。判斷該用哪種有個小技巧先傳一個絕對路徑試試如果返回報錯或者空再換相對路徑穿越。報錯信息本身也是情報比如failed to open stream: No such file or directory會告訴你拼接后的完整路徑長什么樣這對接下來的繞過極有幫助。2.4 為什么有的題目讀不到/etc/passwd這是新手最常問的問題。原因通常有三類第一權(quán)限問題。Web服務(wù)進(jìn)程比如www-data用戶可能沒有讀取目標(biāo)文件的權(quán)限。/etc/passwd通常是全局可讀的所以它成了探路石但/etc/shadow一般只有root能讀讀不到很正常。第二路徑被過濾或改寫。代碼可能把../替換成了空字符串或者做了realpath規(guī)范化后限制了目錄范圍。第三目標(biāo)文件根本不在那個位置。不同系統(tǒng)、不同發(fā)行版的文件路徑有差異比如flag文件可能被放在/flag、/tmp/flag、/var/www/html/flag.php等任意位置。我的經(jīng)驗(yàn)是讀不到/etc/passwd不代表漏洞不存在可能只是路徑或權(quán)限的問題。這時候要換思路比如讀當(dāng)前目錄下的文件、讀配置文件、讀源碼。3. 繞過過濾的實(shí)戰(zhàn)手法從替換到編碼的完整鏈路3.1 過濾../的幾種常見寫法與對應(yīng)繞過出題人也不傻直接讓你傳../太簡單了所以會加過濾。我整理了幾種最常見的過濾邏輯和對應(yīng)的繞過思路過濾方式代碼示例繞過思路刪除../str_replace(../, , $input)用....//刪除中間的../后剩下../刪除..str_replace(.., , $input)用.../或....//刪除后仍能拼出穿越轉(zhuǎn)義../str_replace(../, #46;#46;/, $input)嘗試雙重編碼或換用絕對路徑只允許特定后綴if(!preg_match(/\.jpg$/, $input)) die()用%00截斷PHP5.3.4或路徑參數(shù)繞過重點(diǎn)說....//這個經(jīng)典繞過。假設(shè)代碼是str_replace(../, , $input)你傳....//....//....//etc/passwd替換過程是這樣的字符串里找../....//中第3、4個字符是..第5個是/但../要求連續(xù)三個字符是.、.、/而....//的前三個字符是.、.、.不匹配。等等這里要仔細(xì)....//的字符序列是....//。str_replace從左往右掃描找到第一個../需要連續(xù)三個字符。在....//里位置1-3是...不是../位置2-4是..加.也不是位置3-5是../即../所以替換掉位置3-5后剩下../也就是../。完美繞過了。這個邏輯我當(dāng)初推了好幾遍才想通建議你也拿張紙畫一下字符位置比死記硬背強(qiáng)。3.2 URL編碼與雙重編碼的適用場景當(dāng)過濾發(fā)生在解碼之前時URL編碼就能派上用場。比如代碼先檢查原始輸入里有沒有../檢查完再解碼使用那你傳%2e%2e%2f就能繞過檢查因?yàn)榻獯a后才是../。雙重編碼則是應(yīng)對解碼一次后再檢查的情況傳%252e%252e%252f第一次解碼變成%2e%2e%2f如果檢查在這一步它看到的是%2e不是.放行第二次解碼才變成../。這里有個坑我踩過不是所有場景都支持雙重編碼取決于代碼解碼了幾次。盲目套用雙重編碼可能因?yàn)槎嘟獯a一次導(dǎo)致路徑錯誤。判斷方法是先傳單次編碼如果被攔再試雙重。3.3 后綴限制與截斷的那些事有的題目要求文件名必須以.jpg結(jié)尾比如?php $file $_GET[file]; if (strpos($file, .jpg) false) { die(only jpg allowed); } include($file); ?這種用strpos判斷包含而非結(jié)尾的直接傳../../../etc/passwd.jpg就行因?yàn)槁窂嚼锎_實(shí)有.jpg但實(shí)際文件不存在系統(tǒng)會忽略不存在的部分嗎不會它會報錯。所以更靠譜的是利用空字節(jié)截斷僅PHP5.3.4傳../../../etc/passwd%00.jpg%00是空字節(jié)在C語言層面表示字符串結(jié)束后面的.jpg被忽略。不過現(xiàn)在PHP版本普遍較高空字節(jié)截斷基本失效了。更通用的是路徑參數(shù)繞過比如傳../../../etc/passwd/.././x.jpg這種利用系統(tǒng)對路徑的規(guī)范化處理?；蛘呷绻a用的是file_get_contents且允許遠(yuǎn)程可以配合偽協(xié)議。3.4 一個完整的繞過推演實(shí)例假設(shè)題目代碼如下?php $file $_GET[file]; $file str_replace(../, , $file); $file str_replace(.., , $file); if (preg_match(/etc|passwd|flag/i, $file)) { die(hacker!); } include(pages/ . $file); ?分析一下先刪../再刪..然后過濾了etc、passwd、flag這些關(guān)鍵詞。第一步繞過刪除用....//經(jīng)過兩次替換后....//會先被str_replace(../,)處理。前面分析過....//里位置3-5是../刪掉后剩../。然后第二個str_replace(..,)會把這個../里的..刪掉只剩/。糟糕這樣穿越就沒了。所以這里要調(diào)整用....//....//第一次替換后變成../../第二次替換..后變成//還是不行。看來雙重刪除..的情況下....//這招失效了。那換思路既然..被刪能不能用別的方式表示上級目錄在Linux里..是唯一的上級表示法沒有替代。但我們可以利用絕對路徑如果include能接受絕對路徑的話。不過代碼前面拼了pages/絕對路徑會被拼成pages//etc/passwd不行。這時候可以考慮偽協(xié)議比如php://filter它不依賴路徑穿越直接讀文件內(nèi)容。傳php://filter/convert.base64-encode/resourceindex.php經(jīng)過替換后..和../都不存在關(guān)鍵詞過濾也繞過了沒有etc/passwd/flag完美。這個推演過程說明沒有萬能Payload必須根據(jù)過濾邏輯動態(tài)調(diào)整。我習(xí)慣先把過濾規(guī)則一條條列出來然后逐個擊破最后組合驗(yàn)證。4. 偽協(xié)議任意文件讀取的降維打擊武器4.1php://filter為什么是讀源碼的首選php://filter是PHP特有的流包裝器它允許在讀取文件時應(yīng)用過濾器。最常用的就是convert.base64-encode把文件內(nèi)容Base64編碼后輸出。為什么要編碼因?yàn)橹苯幼xPHP源碼源碼里的?php ?會被當(dāng)成PHP代碼執(zhí)行你看到的可能是執(zhí)行結(jié)果而不是源碼。Base64編碼后內(nèi)容變成純文本就能完整看到源碼了。標(biāo)準(zhǔn)Payloadphp://filter/convert.base64-encode/resourceindex.php讀出來的是一串Base64解碼后就是源碼。這個手法在CTF里出現(xiàn)頻率極高幾乎每套Web題都會考。我當(dāng)初的困惑是為什么resource后面不能跟路徑穿越其實(shí)可以resource../../index.php也是合法的只是很多時候目標(biāo)文件就在當(dāng)前目錄不需要穿越。4.2php://filter的進(jìn)階過濾器鏈除了Base64還有幾個過濾器組合很實(shí)用convert.base64-encode最常用讀源碼必備。convert.iconv.UTF-8.UTF-16編碼轉(zhuǎn)換有時能繞過關(guān)鍵詞檢測。string.strip_tags去除HTML標(biāo)簽讀某些文件時有用。zlib.deflate壓縮輸出適合讀大文件。更高級的玩法是過濾器鏈構(gòu)造通過多個convert.iconv組合可以在不依賴Base64的情況下實(shí)現(xiàn)任意文件讀取甚至繞過某些WAF。這個技術(shù)門檻較高新手可以先掌握Base64這一種遇到瓶頸再研究鏈?zhǔn)綐?gòu)造。4.3data://與php://input的配合data://協(xié)議允許把數(shù)據(jù)直接當(dāng)作文件內(nèi)容data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8解碼后是?php phpinfo();?。當(dāng)include配合data://時就能執(zhí)行任意代碼。但data://需要allow_url_includeOn默認(rèn)是關(guān)閉的所以實(shí)戰(zhàn)中不如php://filter通用。php://input則是讀取POST請求體配合include可以執(zhí)行POST過去的數(shù)據(jù)。這兩個協(xié)議在文件包含題里更常見但和文件讀取也有交集——比如你可以用php://filter讀源碼發(fā)現(xiàn)里面有include($_GET[x])再用data://或php://input拿shell。4.4 偽協(xié)議被禁用時的退路有些環(huán)境會禁用偽協(xié)議比如allow_url_fopenOff。這時候php://filter還能用嗎能因?yàn)閜hp://filter屬于本地流不受allow_url_fopen限制。但data://、http://這些就廢了。如果連php://filter都被禁極少見那就只能回到最原始的路徑穿越老老實(shí)實(shí)讀文件。這時候要更注重路徑的準(zhǔn)確性以及利用報錯信息定位文件位置。我的習(xí)慣是拿到題目先試php://filter讀當(dāng)前文件能讀出來就說明偽協(xié)議可用后續(xù)思路會寬很多讀不出來再考慮路徑穿越。5. 從讀取到利用把文件內(nèi)容變成下一步的鑰匙5.1 讀配置文件找數(shù)據(jù)庫憑證任意文件讀取最直接的價值是信息收集。讀config.php、database.php、.env這類文件往往能拿到數(shù)據(jù)庫賬號密碼、API密鑰、后臺路徑等敏感信息。比如讀到一個config.php?php $db_host localhost; $db_user root; $db_pass Pssw0rd123; $db_name ctf; ?拿到這些如果數(shù)據(jù)庫端口對外開放就能直接連上去如果不開放可以結(jié)合SQL注入或其他漏洞進(jìn)一步利用。5.2 讀源碼找隱藏漏洞讀源碼是CTF里最關(guān)鍵的突破口之一。很多題目表面上看不出漏洞但源碼里藏著過濾邏輯、隱藏參數(shù)、后門文件路徑。比如讀到?php if ($_GET[debug] true) { show_source(__FILE__); } ?這就告訴你有個debug參數(shù)可以讀源碼?；蛘咦x到?php // TODO: remove this before deploy if ($_POST[cmd]) { system($_POST[cmd]); } ?直接就是一個命令執(zhí)行后門。我印象很深的一道題前臺怎么測都沒反應(yīng)后來用php://filter讀了index.php源碼發(fā)現(xiàn)它include了一個check.php再讀check.php里面有個extract($_GET)直接變量覆蓋繞過了所有驗(yàn)證。讀源碼的價值就在于此——它把黑盒變成了白盒。5.3 讀系統(tǒng)文件輔助提權(quán)或橫向在授權(quán)測試環(huán)境里讀/etc/passwd能枚舉用戶讀/etc/hosts能看內(nèi)網(wǎng)拓?fù)渥x/proc/self/environ能看環(huán)境變量有時含密鑰讀/root/.ssh/id_rsa能拿私鑰如果有權(quán)限。這些在CTF里可能用不上但在真實(shí)授權(quán)測試中價值巨大。CTF里更常見的是讀/flag、/flag.txt、/tmp/flag這些位置。如果直接讀不到可以讀/proc/self/cwd/flag當(dāng)前工作目錄下的flag或者讀/proc/self/cmdline看啟動命令推斷flag位置。5.4 日志包含從讀取到執(zhí)行的跨越當(dāng)日志文件可讀且可寫時任意文件讀取可以升級為日志包含攻擊。思路是先把PHP代碼寫入日志比如通過User-Agent頭再用文件包含漏洞包含日志文件從而執(zhí)行代碼。步驟大致是用Burp Suite或curl發(fā)送請求User-Agent設(shè)為?php system($_GET[cmd]);?。日志文件如/var/log/apache2/access.log會記錄這個User-Agent。用文件包含漏洞包含日志文件?file/var/log/apache2/access.logcmdid。日志里的PHP代碼被執(zhí)行命令執(zhí)行成功。這個手法要求日志路徑已知且可讀且包含漏洞存在。CTF里經(jīng)?？嫉鎸?shí)環(huán)境里日志權(quán)限通常較嚴(yán)不一定能讀。6. 我踩過的那些坑與排查思路6.1 Payload沒錯卻讀不到文件的排查清單遇到讀不到文件的情況我一般按這個順序排查確認(rèn)漏洞點(diǎn)是否真的存在傳一個肯定存在的文件比如當(dāng)前目錄的index.php看有沒有回顯。如果連這個都讀不到可能漏洞點(diǎn)找錯了。確認(rèn)路徑是否正確用報錯信息反推。比如報錯說failed to open stream: No such file or directory in /var/www/html/index.php on line 5說明拼接后的路徑不對調(diào)整../數(shù)量。確認(rèn)權(quán)限換一個全局可讀的文件試試比如/etc/hostname、/proc/version。確認(rèn)過濾規(guī)則如果傳../被攔試試編碼或....//。確認(rèn)偽協(xié)議是否可用換php://filter試試。這個清單我貼在顯示器邊上每次卡住就過一遍能解決八成問題。6.2 編碼后路徑反而錯誤的坑有一次我傳%2e%2e%2f結(jié)果報錯說找不到文件。后來發(fā)現(xiàn)代碼在解碼前做了urldecode等于解碼了兩次%2e%2e%2f變成../后又被解碼一次..里的.沒問題但/變成%2f不對/解碼后還是/。實(shí)際問題是代碼先urldecode再拼接我傳的%2e%2e%2f被解碼成../然后拼接路徑是對的。但報錯說找不到說明目標(biāo)文件不在那個位置。所以編碼本身沒錯是路徑算錯了。這個坑讓我明白報錯信息要仔細(xì)讀別一看到失敗就懷疑編碼。6.3 讀源碼時被?php截斷的問題用php://filter讀源碼時如果沒用Base64編碼直接讀源碼里的?php會被PHP解析器執(zhí)行導(dǎo)致你看到的不是源碼。我當(dāng)初不知道讀index.php讀出來一片空白還以為文件是空的。后來加了convert.base64-encode才看到完整源碼。記住讀PHP源碼必須Base64編碼這是鐵律。6.4 不同系統(tǒng)路徑差異導(dǎo)致的誤判Windows和Linux的文件路徑完全不同。Windows下讀C:\Windows\win.iniLinux下讀/etc/passwd。CTF里L(fēng)inux居多但偶爾有Windows題。判斷方法看報錯信息里的路徑分隔符/是Linux\是Windows?；蛘咦x/proc/versionLinux特有和C:\Windows\win.iniWindows特有來探測。7. 把任意文件讀取練成條件反射的訓(xùn)練方法學(xué)漏洞最怕一看就會一測就廢。我的訓(xùn)練方法是自己搭環(huán)境反復(fù)練。用Docker起一個PHPApache環(huán)境寫幾個不同過濾邏輯的頁面然后逐個繞過。比如頁面1無過濾直接讀。頁面2過濾../用....//繞過。頁面3過濾..和etc用php://filter繞過。頁面4只允許.jpg后綴用空字節(jié)或路徑參數(shù)繞過。每個頁面自己先想Payload想不出來再看答案然后把繞過過程寫下來包括為什么這么繞、字符是怎么被替換的。寫一遍比看十遍都管用。另外CTF比賽后一定要復(fù)盤。把沒做出來的文件讀取題拿出來看Writeup重點(diǎn)看別人的Payload是怎么構(gòu)造的、為什么自己沒想到。我當(dāng)初就是靠復(fù)盤積累了....//、雙重編碼、偽協(xié)議鏈這些技巧。最后說個心態(tài)問題任意文件讀取看起來簡單但真正精通需要大量實(shí)踐。別指望看一篇筆記就成高手動手測、動手繞、動手寫才是從0到1的唯一路徑。我在這個過程中最大的體會是——漏洞利用的本質(zhì)是理解程序的邏輯而不是背Payload。當(dāng)你能夠看著一段代碼就推斷出它可能有什么讀取漏洞、該怎么繞的時候你才算真正入門了。