1. 项目概述从“尤里的复仇”到靶场实战的思维跃迁最近在“掌控安全”的“封神台”靶场上看到一个挺有意思的关卡名字叫“尤里的复仇 Ⅰ 小芳 一二三四五六章”。这名字乍一看有点无厘头像是把经典游戏《红色警戒2尤里的复仇》和一个常见的名字“小芳”以及章节序号硬凑在了一起。但作为一名在网络安全领域摸爬滚打了十多年的老手我立刻意识到这绝不是一个简单的命名游戏。它更像是一个精心设计的“谜面”背后隐藏着一套完整的、从信息收集到漏洞利用的实战演练路径。这个靶场关卡本质上是在模拟一个代号为“小芳”的、可能由多个阶段一至六章组成的渗透测试任务其核心精神与“尤里的复仇”中那种步步为营、利用心理和策略达成目标的特质不谋而合。这个靶场适合所有对Web安全、CTFCapture The Flag夺旗赛感兴趣的朋友无论是刚入门的新手还是想巩固实战技能的中级选手。它不会涉及复杂的二进制漏洞或内核攻击而是聚焦于Web应用中最常见、也最容易被忽视的安全问题。通过拆解“小芳”这个目标我们能系统地练习信息搜集、目录扫描、源码审计、参数处理、逻辑漏洞挖掘等一系列关键技能。接下来我就以这个靶场为蓝本结合我多年的实战经验为你完整拆解从“看到题目”到“拿到Flag”的全过程思维与操作。你会发现所谓的“复仇”其实就是对目标系统安全防线的层层剖析与精准打击。2. 靶场环境与核心思路拆解2.1 环境初探与信息搜集拿到任何靶场或真实目标一头扎进去直接测试是最低效的做法。我们首先需要的是“战场情报”。对于这个名为“小芳”的关卡我们的第一步就是信息搜集。通常这类Web靶场会提供一个具体的URL。假设我们拿到的访问地址是http://target_ip/challenge/。在浏览器中打开呈现的可能是一个极其简单的页面甚至只有一句提示语比如“Find the secret of Xiaofang”。这就是我们的起点。信息搜集的方向主要包括页面源码审计F12大法这是最基本也是最容易被忽略的一步。右键查看页面源代码仔细阅读每一行HTML、JavaScript注释。出题人经常把提示、隐藏的链接甚至是一部分Flag直接写在注释里。例如你可能会发现!-- Try to visit /robots.txt --这样的提示。敏感文件与目录扫描使用工具如dirsearch、gobuster或御剑等对目标进行目录爆破。字典的选择很关键对于CTF类靶场常用的字典如common.txt、directory-list-2.3-medium.txt往往能快速命中目标。需要重点扫描的目录和文件包括/admin/、/backup/、/src/、/upload/常见的管理后台、备份目录、源码目录、上传点。/robots.txt该文件会声明网站不希望被爬虫访问的目录有时会泄露后台路径。/.git/、/.svn/、/.DS_Store版本控制信息泄露可能导致源码被完整下载。/index.php.bak、/www.zip、/website.tar.gz常见的备份文件可能包含源码。子域名枚举虽然在这个具体靶场中可能用不上但在真实场景中xiaofang.example.com、admin.example.com这类子域名是重要的突破口。可以使用工具如subfinder、amass或在线服务进行探测。实操心得在CTF靶场中出题人的思路往往遵循“提示-探索-发现”的链条。第一个突破口如robots.txt给出的信息一定会导向下一个步骤。养成“顺藤摸瓜”的思维习惯比盲目测试更重要。2.2 核心漏洞链推理题目命名为“一二三四五六章”强烈暗示这是一个多步骤的关卡。每一“章”可能对应一个独立的漏洞点或挑战它们之间可能存在递进关系也可能并列。结合“尤里的复仇”和“小芳”这个代号我们可以推测漏洞类型可能偏向于逻辑漏洞如越权访问、密码重置缺陷、验证码绕过、支付逻辑错误等。这很像“尤里”的心灵控制绕过正常的身份认证逻辑。常见Web漏洞如SQL注入、文件包含、文件上传、命令执行、XXEXML外部实体注入等。这些是渗透测试中的“常规武器”。信息泄露通过报错信息、备份文件、配置不当等泄露敏感数据。代码审计提供部分源码需要从中发现安全缺陷。我们的整体思路是通过信息搜集找到入口点第一章利用入口点发现的漏洞或信息获取初步权限或访问更深层目录第二章层层递进最终在第六章拿到最终的Flag最高权限或核心秘密。3. 分步实操与漏洞利用详解下面我将模拟一个可能的通关路径来详细拆解每个环节可能遇到的情况和解决方案。请注意实际靶场环境可能有所不同但思维模式和工具方法是相通的。3.1 第一章入口发现与初步信息获取假设我们通过目录扫描发现了第一个关键文件/robots.txt。访问后内容如下User-agent: * Disallow: /secret_note.txt Disallow: /admin_backup_2023.zip这明确告诉我们有两个“不允许”爬虫访问的资源。按照惯例这往往是出题人给的明确提示。我们直接访问/secret_note.txt。secret_note.txt内容给小芳的留言 第一章的钥匙在“遗忘的角落”。试试看 index.php?page...这是一个典型的本地文件包含LFI漏洞提示。它提示我们网站可能存在通过page参数动态包含文件的功能。常见的漏洞利用方式是尝试包含系统文件或PHP包装器。尝试1读取PHP源码如果PHP配置不当我们可以利用php://filter包装器读取源码。http://target_ip/challenge/index.php?pagephp://filter/convert.base64-encode/resourceindex如果成功返回的会是index.php文件经过Base64编码后的内容。解码后我们就能审计首页源码。在源码中我们可能发现类似include($_GET[page] . .php);的代码这证实了LFI漏洞并且知道它会自动添加.php后缀。尝试2利用日志文件注入如果包含失败可以尝试包含Web服务器的访问日志例如/var/log/apache2/access.log。然后通过User-Agent或Referer注入PHP代码使其被记录在日志中再通过LFI执行。GET /challenge/index.php?page/var/log/apache2/access.log HTTP/1.1 User-Agent: ?php system($_GET[cmd]);?然后访问包含日志的页面并传递cmd参数执行命令。但这种方法需要知道日志路径且日志可读。本章要点第一章的核心是信息泄露robots.txt引导出参数化文件包含漏洞。我们通过读取secret_note.txt获得提示利用page参数进行初步探测。关键在于理解提示“遗忘的角落”可能指代index.php本身或其参数并熟练运用php://filter进行源码读取。3.2 第二章源码审计与漏洞深化通过第一章的LFI我们成功读取了index.php的源码。假设源码关键部分如下?php $page $_GET[page] ?? home; // 防止目录遍历 $page str_replace(../, , $page); // 包含文件 include(/pages/ . $page . .php); ?这里有一个蹩脚的“安全过滤”仅仅替换了../。这存在明显的缺陷因为....//经过一次替换后会变成../。这就是经典的双写绕过。同时我们可能还读取到了pages/home.php或其他相关文件的源码发现了一个登录接口login.php其验证逻辑如下if ($_POST[username] admin md5($_POST[password]) a_password_hash_here) { $_SESSION[is_admin] true; }这里存在一个弱类型比较漏洞。在PHP中是松散比较md5($_POST[password])返回字符串与另一个字符串哈希值比较。但如果我们将password设置为一个数组password[]test那么md5($_POST[password])会返回NULL并产生一个警告。在某些情况下利用NULL与字符串的松散比较可能产生意外结果。更常见的是如果这里用的是且哈希值以0e开头科学计数法如0e123456PHP会将其视为数字0可能造成绕过。但这里用的是严格比较此路不通。我们需要寻找其他方式。本章操作利用双写绕过进行目录遍历尝试读取系统关键文件如/etc/passwd。http://target_ip/challenge/index.php?page....//....//....//etc/passwd经过str_replace处理....//变成../成功构造出../../../etc/passwd。审计登录逻辑发现硬编码的用户名admin和一个MD5哈希。我们需要破解这个哈希。可以使用在线MD5解密网站如cmd5.com或本地工具如hashcat、john进行爆破。假设我们破解出密码是xiaofang123。注意事项源码审计时要特别关注用户输入的处理函数如str_replace,strtr,preg_replace、比较运算符vs、序列化与反序列化点unserialize、文件操作函数file_get_contents,fopen等。双写绕过是目录遍历/文件包含中非常经典的过滤绕过技巧。3.3 第三章身份获取与权限提升通过第二章我们获得了管理员凭据admin:xiaofang123。成功登录后台admin.php。后台功能可能包括文章管理、用户管理、文件上传、系统配置等。我们需要寻找新的漏洞点来获取服务器权限如Webshell或访问更受限制的区域。常见突破口文件上传功能寻找可以上传文件的地方。检查是否有前端JS验证可绕过、白名单/黑名单过滤、是否检查文件内容如图片马。尝试上传.php、.phtml、.php5等后缀或利用双写shell.php.jpg、大小写shell.Php、空格shell.php等方式绕过。如果服务器解析漏洞如IIS6.0的*.asp;.jpg也可以尝试。命令执行功能后台可能有“Ping测试”、“系统信息”等功能接收用户输入并传递给system()、exec()、passthru()等函数。尝试注入命令如127.0.0.1; whoami或127.0.0.1 cat /flag。数据库管理功能如果能执行SQL语句可以尝试写入Webshell。例如SELECT ?php eval($_POST[cmd]);? INTO OUTFILE /var/www/html/challenge/shell.php。但这需要FILE权限和正确的文件路径。假设我们在后台找到一个“系统设置”页面其中有一个“网站标题”的输入框其值会被保存到config.php文件中。查看源码发现保存逻辑是简单的file_put_contents($config_file, $_POST[site_title])。这存在任意文件写入漏洞我们可以直接写入PHP代码。操作在“网站标题”处输入?php system($_GET[c]); ?提交后访问http://target_ip/challenge/config.php?cid如果返回了当前用户信息说明Webshell写入成功。本章核心从普通用户或低权限后台到代码执行的跨越。利用后台存在的功能缺陷如未过滤的文件写入、命令注入、不安全的上传获取一个能够在服务器上执行命令的立足点Webshell。这是内网渗透或获取Flag的关键一步。3.4 第四章内网探测与横向移动拿到Webshell后我们相当于在目标服务器上有了一个命令执行窗口。接下来需要进行信息收集了解当前服务器环境并探索内网。基础信息收集命令# 查看当前用户和权限 whoami id # 查看系统、内核信息 uname -a cat /etc/issue cat /proc/version # 查看网络配置和连接 ifconfig 或 ip addr netstat -antp # 查看进程列表 ps aux # 查看敏感文件、环境变量、计划任务 find / -name \*flag*\ -o -name \*.txt\ -o -name \*.php\ 2/dev/null | head -20 env crontab -l cat /etc/passwd假设我们发现当前用户是www-dataWeb服务默认用户权限较低。但在/home目录下发现另一个用户xiaofang的目录并且其下有一个可读的note.txt内容提示“我的密码是名字拼音加生日备份文件在/var/backups”。同时通过netstat发现服务器除了80端口还监听了3306MySQL和6379Redis端口。这些内网服务可能成为新的突破口。尝试1弱口令爆破根据提示“名字拼音加生日”我们尝试爆破用户xiaofang的密码。使用hydra或自己编写脚本尝试xiaofang1990、xiaofang0101等组合。假设成功爆破出SSH密码为xiaofang1995。尝试2数据库利用如果MySQL以root运行且允许本地连接我们可以尝试用Webshell连接。使用mysql -uroot -p直接回车可能空密码或者查找配置文件中的密码如config.php、wp-config.php。连接后可以导出Webshell或读取数据。 对于Redis如果未授权访问可以利用redis-cli写入Webshell。本章策略这一章模拟了权限维持和横向移动。从低权限的Webshell出发通过信息收集发现新的凭证弱口令、敏感数据或配置错误尝试提升到更高权限的系统用户如xiaofang或攻破数据库等相邻服务。核心是“发现”和“利用”信息。3.5 第五章权限突破与关键信息获取现在我们通过SSH以xiaofang用户登录了服务器。检查其权限sudo -l输出显示User xiaofang may run the following commands on target: (root) NOPASSWD: /usr/bin/find太好了xiaofang用户被配置了sudo权限可以以root身份无密码运行find命令。这是一个经典的sudo提权漏洞。find命令功能强大其-exec参数可以执行任意命令。我们可以利用它来获取一个root shell。提权操作sudo find / -name \anything\ -exec /bin/bash \\;或者更隐蔽地生成一个SUID shellsudo find / -name \anything\ -exec sh -c cp /bin/bash /tmp/rootbash; chmod s /tmp/rootbash \\; /tmp/rootbash -p # 执行这个SUID的bash获得root权限执行成功后我们就是root用户了。作为root我们可以访问系统上的任何文件。通常最终的Flag会放在/root目录下或者是一个名为flag、proof.txt的文件。查找Flagfind / -type f -name \*flag*\ 2/dev/null find / -type f -name \*.txt\ -exec grep -l \flag{\ {} \\; 2/dev/null cat /root/flag.txt假设我们在/root/secret_of_xiaofang.txt中找到了一个Flagflag{chapter_5_root_achieved}。但这可能还不是最终章。本章要点利用配置不当的sudo权限进行提权。find、vim、python、perl、tar等命令如果被配置为NOPASSWD sudo都可能被用来提权。关键在于sudo -l命令的熟练使用和对Linux命令特性的了解。3.6 第六章终极秘密与Flag整合成为root后我们拥有了对系统的完全控制权。但题目是“一二三四五六章”暗示有六个阶段。最终的Flag可能不是简单的文件而是需要将前五章获得的信息可能是五个部分的字符串按照某种方式组合。回顾之前可能获得的线索第一章从secret_note.txt或包含漏洞利用中获得一个字符串key1: “base64_is_fun”。第二章从破解的MD5哈希或源码注释中获得key2: “md5_cracked”。第三章从Webshell执行的某个命令输出中获得key3: “webshell_works”。第四章从用户xiaofang的笔记或数据库中找到key4: “inner_network”。第五章从/root/flag.txt中获得key5: “root_access”。最终的Flag可能需要将这些字符串用特定符号连接或者进行简单的编码如Base64、ROT13。例如最终的Flag可能是flag{base64_is_fun-md5_cracked-webshell_works-inner_network-root_access}或者在/root目录下可能有一个脚本final_challenge.py需要输入前五个密钥才能输出最终Flag。操作cd /root ls -la cat final_challenge.py脚本内容可能如下#!/usr/bin/env python3 keys [] keys.append(input(\Key from Chapter 1: \)) # ... 验证其他keys if all_keys_correct: print(\The final flag is: flag{the_real_secret_of_xiaofang}\)我们需要依次输入之前找到的五个部分。终极思考第六章考验的是信息整合与逻辑推理能力。渗透测试的最终目标不仅是拿到最高权限更是获取核心业务数据或完成特定任务。这一章模拟了从分散的线索中拼凑出完整情报的过程。4. 工具总结与实战备忘在整个过程中我们可能用到的工具链如下阶段可能用到的工具核心目的信息搜集浏览器开发者工具、dirsearch/gobuster、subfinder、nmap发现入口点、目录、服务漏洞探测Burp Suite、curl、浏览器插件HackBar手动测试参数、拦截修改请求漏洞利用自定义Payload、php://filter、日志注入技巧实现文件包含、命令执行等密码破解hashcat、John the Ripper、在线MD5解密站破解哈希获取凭证Webshell管理AntSword蚁剑、C刀、weevely连接和管理Webshell内网探测LinPEAS、LinEnum、nmap本地版Linux本地信息枚举、提权检测提权利用GTFOBins (gtfobins.github.io)查询sudo权限命令的提权方法综合Metasploit、Cobalt Strike自动化渗透、持久化靶场慎用重要提示在真实环境中未经授权的渗透测试是违法行为。所有技术应在合法授权、CTF比赛或自家实验室环境中使用。工具是双手的延伸核心永远是人的思维和对系统原理的理解。5. 常见问题与排查技巧实录在实际操作这类多步靶场时经常会卡在某个环节。以下是一些常见问题及解决思路Q1目录扫描什么也扫不出来可能原因目标有WAF或速率限制触发了IP封锁使用的字典不匹配扫描路径不对。排查降低扫描速率-t参数调小更换更全面的字典如big.txt尝试扫描根路径/或指定路径使用-x参数指定扫描文件后缀如php,txt,bak。Q2文件包含漏洞测试了所有Payload都没反应可能原因过滤严格如严格的白名单包含路径被写死或拼接了固定后缀需要特定触发条件。排查仔细审计已获取的源码看include/require函数如何处理输入尝试%00空字节截断仅限PHP5.3尝试包含非PHP文件如/etc/passwd看是否有回显考虑结合其他漏洞如文件上传制作一个可包含的文件。Q3上传了Webshell但无法访问或执行可能原因上传路径不对文件被重命名服务器端做了内容检测如过滤?php上传目录没有执行权限。排查查看上传后的回显确认文件路径和名称尝试图片马在文件头添加GIF89a尝试使用其他标签如script language\php\system($_GET[cmd]);/script需PHP支持检查上传目录的权限ls -la /path/to/upload。Q4拿到了低权限Shell但sudo -l需要密码可能原因当前用户不在sudoers文件中或者需要密码验证。排查尝试已知的弱口令查看/etc/passwd和/etc/shadow需root尝试破解其他用户哈希寻找具有SUID权限的可执行文件find / -perm -us -type f 2/dev/null检查计划任务crontab -l、ls -la /etc/cron*看是否有可以写入的脚本。Q5找到了疑似Flag的字符串但提交不正确可能原因Flag格式不对可能包含不可见字符、需要URL编码、是动态生成的这不是最终Flag只是中间步骤的提示。排查用cat -A查看文件显示所有字符尝试Base64解码、URL解码、ROT13等常见编码仔细阅读字符串上下文看是否有拼接、计算的提示回顾所有步骤是否有遗漏的线索或未访问的路径。独家心得渗透测试就像解谜耐心和细致观察往往比狂轰滥炸更有效。遇到瓶颈时不妨退一步重新审视已经获得的所有信息源码、文件、报错信息用纸笔画一下信息流和可能的关系新的突破口常常就隐藏在被忽略的细节里。例如一个不起眼的JS文件、一个图片的EXIF信息、一个HTTP响应头都可能成为通向下一关的钥匙。对于“尤里的复仇”这类关卡更要注重“心理战”理解出题人设置提示和障碍的意图顺着他的思路走往往能事半功倍。