1. 从零拆解Web安全入门靶场为什么这十个关卡是新手的分水岭刚接触网络安全方向的朋友十有八九是从CTFCapture The Flag夺旗赛的Web题目入门的。而提到Web入门靶场BugKu的Web1到Web10这十个关卡几乎是绕不开的第一站。这套题目的定位非常清晰它不是让你去啃什么高深漏洞而是用最直白的方式把Web安全里最基础、最高频的几个知识点挨个摆在你面前让你亲手摸一遍。我见过太多新手在这十个关卡上卡住不是因为题目难而是因为缺乏对“Web请求到底是怎么跑起来的”这个基本认知。你打开浏览器访问一个页面背后发生了什么数据怎么从你的输入框跑到服务器服务器又怎么把结果吐回来这些问题的答案就藏在这十道题的解题过程里。这篇文章面向的是完全零基础、刚装好环境准备入门的同学也适合那些做过几道题但思路一直模模糊糊的朋友。我会把每一关的核心原理、操作步骤、踩坑经验全部摊开讲让你不仅知道怎么做更知道为什么这么做。整套流程走下来你对HTTP协议、前端源码、编码解码、文件包含、SQL注入这些概念会有一个非常具体的体感而不是停留在背概念的层面。提示本文所有操作均在本地搭建的模拟环境中进行仅用于学习Web安全基础知识。请勿对未授权的任何系统进行测试。2. 环境准备与工具选型别在起跑线上浪费时间2.1 浏览器与开发者工具你最重要的武器很多人做Web题的第一反应是去找各种花哨的工具其实你手头最强大的工具就是浏览器本身。Chrome或者Edge的开发者工具F12打开在Web安全入门阶段的使用频率占到八成以上。具体来说你需要熟练掌握这几个面板Elements元素查看和修改当前页面的HTML结构。很多题目的线索就藏在被注释掉的代码或者隐藏的表单字段里。Network网络观察每一个HTTP请求的完整细节包括请求头、请求体、响应头、响应体。这是理解Web通信的核心面板。Console控制台执行JavaScript代码查看前端报错信息。有些题目需要你在控制台里直接操作DOM或者调用函数。Application应用查看Cookie、LocalStorage、SessionStorage等客户端存储数据。身份认证相关的题目经常需要在这里做文章。我建议你在做每一道题的时候都养成一个习惯先按F12把Network面板打开勾选“Preserve log”保留日志然后再去操作页面。这样你能看到每一次点击、每一次提交背后到底发了什么请求响应又是什么。这个习惯一旦养成后面做更复杂的题目时会轻松很多。2.2 抓包与请求重放工具虽然浏览器开发者工具已经能覆盖大部分场景但有些题目需要你修改请求方法、篡改请求头、重放请求这时候就需要更专业的工具。常见的选择有Burp Suite社区版和OWASP ZAP两者功能相近选一个顺手的就行。对于Web1到Web10这个阶段其实用浏览器控制台配合一些简单的命令行工具比如curl就足够了。但如果你打算长期往这个方向走早点把Burp Suite装好、把代理配置调通后面会省很多事。注意配置代理工具时确保只拦截你本地靶场的流量不要影响你正常的网络访问。建议使用浏览器插件如SwitchyOmega做代理规则的切换需要抓包时再开启。2.3 本地靶场搭建的两种思路BugKu是在线平台但为了反复练习和深入理解我强烈建议你在本地也搭一套类似的环境。有两种思路第一种是用集成环境如phpStudy、XAMPP快速拉起一个PHPMySQL的环境然后手动写一些简单的页面来复现题目场景。这种方式的好处是你能完全掌控代码想看哪里就看哪里。第二种是用Docker拉取现成的靶场镜像比如DVWA、Pikachu等。这些靶场覆盖的漏洞类型更全面适合在完成Web1-10之后继续深入。两种方式不冲突建议都试试。本地环境最大的价值在于你可以随意修改代码、查看日志、调试参数这是在线平台给不了的。3. Web1-Web10逐关拆解从源码查看到注入入门3.1 Web1最基础的源码查看第一关通常是给你一个看似平平无奇的页面让你找flag。很多新手上来就到处乱点其实正确做法是直接右键查看页面源代码或者F12看Elements面板。这一关考的核心知识点就一个前端源码是公开的。浏览器拿到的HTML、CSS、JavaScript代码用户全都能看到。有些开发者会把敏感信息比如注释里的提示、隐藏字段的值直接写在前端以为用户看不到实际上这跟把钥匙藏在门口地毯下面一样。具体操作打开页面后右键选择“查看网页源代码”或者直接按CtrlU。在源码里搜索关键词比如“flag”、“key”、“hidden”之类的。通常flag会以注释的形式出现类似!-- flag{xxxxx} --。这一关虽然简单但它传递了一个重要观念做Web安全第一步永远是看源码。不要急着去猜、去试先把能看到的公开信息全部收集一遍。3.2 Web2前端拦截与绕过第二关开始有点意思了。页面可能弹出一个输入框让你输入密码或者有一个表单提交后提示“密码错误”。你查看源码会发现验证逻辑是写在JavaScript里的。比如源码里可能有这样的代码function check(){ var pwd document.getElementById(password).value; if(pwd secret123){ window.location.href flag.php; } else { alert(密码错误); } }这时候你有两种思路一是直接在源码里找到正确的密码然后输入二是干脆绕过前端验证直接访问目标页面。第一种思路就是仔细读源码找到那个硬编码的密码。第二种思路更体现Web安全的思维前端验证是不可信的因为代码在用户手里用户可以随意修改。你可以在Console里直接调用window.location.href flag.php或者用Burp Suite直接构造请求访问目标页面。这一关的核心教训任何在前端做的安全校验都是纸糊的。真正的验证必须放在服务端。3.3 Web3请求头里的秘密第三关通常会提示你“只能从某个特定的来源访问”或者“请使用特定的浏览器”。这考的是HTTP请求头的伪造。常见的场景包括要求Referer头为某个特定值比如必须从站内某个页面跳转过来要求User-Agent头包含特定字符串比如模拟某个特定浏览器或爬虫要求X-Forwarded-For头为特定IP比如伪装成本地访问操作方式用Burp Suite拦截请求在Repeater里修改对应的请求头然后发送。或者在浏览器Console里用fetch或XMLHttpRequest自定义请求头但浏览器出于安全限制某些头不允许前端修改这时候就必须用抓包工具。以Referer为例假设题目要求必须从http://localhost/admin跳转过来你只需要在请求头里加上Referer: http://localhost/admin这一关的知识点在实际工作中非常有用。很多系统的权限控制、CSRF防护、访问来源统计都依赖请求头。理解请求头可以被伪造这件事是Web安全思维的重要一步。3.4 Web4编码与解码的基础第四关一般会涉及某种编码。页面可能给你一串看起来像乱码的字符串或者提示你“flag被编码了”。Web安全中常见的编码方式包括编码类型特征常见场景URL编码%XX形式如%20表示空格URL参数传递Base64字母数字加/结尾数据传输、图片嵌入HTML实体编码#XX;或name;形式防止XSS的转义Unicode\uXXXX形式JavaScript字符串Hex十六进制0x开头或纯十六进制字符二进制数据表示解题思路观察字符串的特征判断是哪种编码然后用对应的工具解码。浏览器Console里可以用atob()解Base64用decodeURIComponent()解URL编码。Python里用base64、urllib.parse等库。这一关的关键不是学会某个具体编码而是建立“看到奇怪字符串先想想是不是编码”的条件反射。实际工作中很多漏洞的利用链都涉及多层编码的绕过。3.5 Web5文件包含漏洞初探第五关开始进入真正的漏洞类型了。文件包含File Inclusion是Web安全里非常经典的一类漏洞分为本地文件包含LFI和远程文件包含RFI。题目的典型形式是URL里有一个参数比如?filexxx页面会根据这个参数去包含对应的文件。如果服务端没有对参数做严格过滤攻击者就可以包含任意文件。比如正常请求是http://localhost/index.php?fileabout.php你可以尝试改成http://localhost/index.php?file../../../../etc/passwd如果成功读取到系统文件内容说明存在本地文件包含漏洞。在CTF题目中常见的利用方式还包括包含日志文件如Apache的access.log将恶意代码写入日志后再包含执行包含/proc/self/environ等特殊文件利用PHP的php://filter伪协议读取源码这一关的核心防御思路永远不要相信用户输入的路径。如果业务确实需要动态包含文件应该使用白名单机制只允许包含预先定义好的文件列表。3.6 Web6SQL注入的入门体验第六关通常是SQL注入的入门题。页面可能有一个查询框输入某个ID后返回对应的信息。你输入1返回正常结果输入1报错这就说明可能存在SQL注入。SQL注入的本质是用户输入的数据被拼接到了SQL语句中并且没有做充分的转义或参数化处理。比如后端代码可能是这样的$id $_GET[id]; $sql SELECT * FROM users WHERE id $id; $result mysqli_query($conn, $sql);当你输入1 OR 11时SQL语句变成了SELECT * FROM users WHERE id 1 OR 11这就绕过了原本的查询条件返回了所有用户的数据。在CTF题目中SQL注入的利用步骤通常包括判断注入点输入单引号、双引号、反斜杠等观察是否报错判断字段数用ORDER BY n逐步增加n直到报错确定查询返回的列数确定回显位置用UNION SELECT 1,2,3...查看哪些位置会显示在页面上提取数据在回显位置替换为database()、user()、version()等函数逐步获取数据库信息获取flag通常flag存在某个特定的表或字段里通过information_schema查询表名和字段名最终拿到flag这一关的注意事项手动注入虽然直观但效率低。建议在理解原理后学习使用sqlmap等自动化工具但前提是你必须清楚工具在做什么否则遇到过滤规则时就不知道如何绕过了。3.7 Web7SQL注入的进阶与过滤绕过第七关往往是第六关的升级版增加了某种过滤规则。比如过滤了空格、注释符、关键字等。常见的绕过技巧包括空格被过滤用/**/、、%09Tab、%0a换行代替空格关键字被过滤用大小写混合SeLeCt、双写selselectect、内联注释/*!select*/绕过引号被过滤用十六进制编码0x61646d696e表示admin代替字符串逗号被过滤用JOIN代替UNION SELECT或者用LIMIT的偏移量语法这一关的核心训练目标是理解WAFWeb应用防火墙的过滤逻辑并找到规则的盲区。实际工作中你面对的可能不是CTF题目里简单的字符串替换而是更复杂的正则匹配和语义分析。但万变不离其宗过滤的本质是在黑名单和白名单之间做取舍只要规则有遗漏就有绕过的可能。提示在本地测试时建议打开PHP的display_errors和MySQL的通用查询日志这样你能看到每一条实际执行的SQL语句对理解注入过程非常有帮助。3.8 Web8命令执行漏洞第八关通常涉及命令执行Command Injection。页面可能有一个功能比如ping一个IP地址用户输入IP后后端执行ping -c 4 $ip并返回结果。如果后端没有对输入做过滤你可以用分号、管道符、逻辑运算符等拼接额外的命令127.0.0.1; cat /flag 127.0.0.1 | cat /flag 127.0.0.1 cat /flag这一关的关键知识点命令拼接符;顺序执行、|管道、||或、与、后台执行空格绕过用$IFS、${IFS}、%09等代替空格关键字绕过用通配符/f*、变量拼接a/fl;bag;cat $a$b等方式绕过命令执行漏洞的危害极大因为攻击者可以直接在服务器上执行任意系统命令。防御的核心原则是尽量避免直接调用系统命令。如果必须调用使用白名单限制可执行命令的范围并对用户输入做严格的转义。3.9 Web9文件上传漏洞第九关一般是文件上传。页面提供一个上传功能但只允许上传特定类型的文件比如图片。你需要想办法上传一个可执行的文件比如PHP的webshell然后访问它来获取flag。常见的绕过方式前端绕过修改文件扩展名后抓包在Burp Suite里把扩展名改回.phpMIME类型绕过修改Content-Type头为image/jpeg等允许的类型扩展名黑名单绕过尝试.php3、.php5、.phtml、.pht等变体大小写绕过.PHP、.Php等特殊字符绕过.php末尾空格、.php.末尾点号、.php::$DATAWindows特性内容检测绕过在文件开头加上GIF89a等图片头后面再跟PHP代码上传成功后你需要知道文件被保存到了哪个路径。通常题目会返回上传后的URL或者你需要根据常见路径去猜测。这一关的防御思路不要依赖前端验证服务端必须做严格检查。检查内容包括文件扩展名白名单、MIME类型、文件内容魔术字节、文件大小等。最安全的做法是把上传的文件存储在Web根目录之外通过脚本读取后输出。3.10 Web10综合运用与思路串联第十关通常是前面几关知识点的综合或者是一个需要多步骤才能完成的题目。可能涉及信息收集、漏洞发现、权限提升、数据提取的完整链条。做这类题目时最重要的是保持清晰的思路不要东一榔头西一棒子。我通常的做法是信息收集查看源码、请求头、Cookie、robots.txt、常见备份文件等功能点梳理把页面上所有可交互的功能点列出来逐个测试漏洞假设根据功能点的行为假设可能存在的漏洞类型验证假设用最小的代价去验证你的假设比如输入一个单引号看是否报错利用漏洞确认漏洞存在后构造完整的利用链提取flag拿到flag后回顾整个路径整理成笔记这一关没有固定的套路但前面的九关已经给你提供了足够的工具和思路。你需要做的就是把它们组合起来像拼图一样把完整的攻击路径拼出来。4. 常见问题与排查技巧实录4.1 页面返回空白或500错误怎么办这是新手最常见的问题。可能的原因包括语法错误你构造的payload导致了服务端代码报错。检查你的引号、括号是否配对。权限问题你尝试读取的文件没有权限。尝试换一个路径或者用php://filter读取源码而不是直接执行。过滤拦截你的payload触发了WAF规则。尝试编码、大小写混合、拆分关键字等方式绕过。环境差异本地环境和在线平台的环境不同。比如本地是Linux在线可能是Windows路径写法不一样。排查方法打开浏览器的Network面板看响应的状态码和响应体。如果是500看响应体里有没有错误信息有些环境会显示详细错误。如果是403说明被拦截了。如果是404说明路径不对。4.2 注入时union select报错但order by正常这种情况通常说明字段数不对ORDER BY能正常执行说明字段数至少有那么多个但UNION SELECT要求前后字段数完全一致。你需要精确确定字段数。回显位置不对UNION SELECT的字段顺序和页面回显的顺序可能不一致。尝试把数字换成字符串看看哪个位置会显示出来。数据类型不匹配某些字段可能是整数类型你用了字符串导致类型转换错误。尝试用NULL代替数字。4.3 文件上传后访问返回404可能的原因路径不对上传后的文件可能被重命名了或者保存在了非Web目录。查看上传成功的响应里有没有返回路径信息。扩展名被改服务端可能自动修改了扩展名比如把.php改成了.php.jpg。尝试用Burp Suite拦截上传请求看看服务端返回的文件名是什么。权限问题上传目录没有执行权限。这种情况在CTF中较少见但实际环境中很常见。4.4 命令执行时特殊字符被转义如果分号、管道符被过滤了可以尝试用换行符%0a代替分号用$(command)或command代替直接拼接用%0d%0aCRLF尝试如果空格被过滤用$IFS或${IFS}代替4.5 常见问题速查表问题现象可能原因排查方向页面空白PHP报错但display_errors关闭查看服务器错误日志或尝试构造不报错的payload返回403WAF拦截检查payload中是否包含敏感关键字尝试编码绕过返回404路径错误检查文件路径、URL编码、大小写注入无回显盲注场景尝试时间盲注、布尔盲注或使用DNSlog外带上传成功但无法执行目录无执行权限或扩展名被改查看响应中的文件路径尝试其他扩展名编码后仍报错编码方式不对确认目标接受的编码类型尝试多层编码5. 从靶场到实战的思维跃迁做完这十关你手里已经有了Web安全入门阶段最基础的一套工具箱看源码、改请求、编解码、文件包含、SQL注入、命令执行、文件上传。但我想强调的是靶场和实战之间还有一道不小的鸿沟。靶场的特点是漏洞是被人为设计好的环境是简化的目标是明确的。而实战中你需要自己发现漏洞环境是复杂的目标可能根本不明确。从靶场到实战你需要补充的能力包括信息收集的广度。靶场里你只需要看一个页面实战中你需要收集子域名、端口、目录、参数、技术栈、第三方组件等海量信息。这些信息里可能藏着真正的突破口。漏洞挖掘的深度。靶场里的注入点通常很明显实战中可能需要你从一段看似正常的业务逻辑里发现异常。比如一个订单查询功能参数是订单号你输入自己的订单号能查到输入别人的订单号也能查到这就是越权漏洞。利用链的构造。靶场通常一个漏洞就能拿到flag实战中往往需要把多个低危漏洞组合起来才能达到最终目标。比如用一个信息泄露漏洞获取数据库配置用配置信息登录后台在后台找到文件上传点最终获取服务器权限。工具链的熟练度。靶场阶段手动操作没问题实战中你需要熟练使用各种自动化工具来提高效率。但前提是你必须理解工具的原理否则工具报错时你根本不知道从哪里排查。我个人的建议是做完Web1-10之后不要急着去刷更多的题而是把这十关的解题过程整理成笔记把每一关涉及的知识点、操作步骤、踩坑经验都写清楚。然后找一些开源的CMS或者Web应用在本地搭建起来尝试用你学到的知识去发现漏洞。这个过程会比刷题慢但收获会大得多。最后分享一个我自己的习惯每次做完一道题我都会问自己三个问题——这道题考的是什么知识点如果我是开发者我会怎么防御如果防御升级了我还能怎么绕过这三个问题能帮你把一道题的价值榨干而不是做完就忘。 
长河君 · 2026/10/17 12:21:06 · 阅读 1.2k Web安全入门靶场实战：BugKu Web1-10关卡拆解与HTTP协议、SQL注入核心原理
1. 从零拆解Web安全入门靶场为什么这十个关卡是新手的分水岭刚接触网络安全方向的朋友十有八九是从CTFCapture The Flag夺旗赛的Web题目入门的。而提到Web入门靶场BugKu的Web1到Web10这十个关卡几乎是绕不开的第一站。这套题目的定位非常清晰它不是让你去啃什么高深漏洞而是用最直白的方式把Web安全里最基础、最高频的几个知识点挨个摆在你面前让你亲手摸一遍。我见过太多新手在这十个关卡上卡住不是因为题目难而是因为缺乏对“Web请求到底是怎么跑起来的”这个基本认知。你打开浏览器访问一个页面背后发生了什么数据怎么从你的输入框跑到服务器服务器又怎么把结果吐回来这些问题的答案就藏在这十道题的解题过程里。这篇文章面向的是完全零基础、刚装好环境准备入门的同学也适合那些做过几道题但思路一直模模糊糊的朋友。我会把每一关的核心原理、操作步骤、踩坑经验全部摊开讲让你不仅知道怎么做更知道为什么这么做。整套流程走下来你对HTTP协议、前端源码、编码解码、文件包含、SQL注入这些概念会有一个非常具体的体感而不是停留在背概念的层面。提示本文所有操作均在本地搭建的模拟环境中进行仅用于学习Web安全基础知识。请勿对未授权的任何系统进行测试。2. 环境准备与工具选型别在起跑线上浪费时间2.1 浏览器与开发者工具你最重要的武器很多人做Web题的第一反应是去找各种花哨的工具其实你手头最强大的工具就是浏览器本身。Chrome或者Edge的开发者工具F12打开在Web安全入门阶段的使用频率占到八成以上。具体来说你需要熟练掌握这几个面板Elements元素查看和修改当前页面的HTML结构。很多题目的线索就藏在被注释掉的代码或者隐藏的表单字段里。Network网络观察每一个HTTP请求的完整细节包括请求头、请求体、响应头、响应体。这是理解Web通信的核心面板。Console控制台执行JavaScript代码查看前端报错信息。有些题目需要你在控制台里直接操作DOM或者调用函数。Application应用查看Cookie、LocalStorage、SessionStorage等客户端存储数据。身份认证相关的题目经常需要在这里做文章。我建议你在做每一道题的时候都养成一个习惯先按F12把Network面板打开勾选“Preserve log”保留日志然后再去操作页面。这样你能看到每一次点击、每一次提交背后到底发了什么请求响应又是什么。这个习惯一旦养成后面做更复杂的题目时会轻松很多。2.2 抓包与请求重放工具虽然浏览器开发者工具已经能覆盖大部分场景但有些题目需要你修改请求方法、篡改请求头、重放请求这时候就需要更专业的工具。常见的选择有Burp Suite社区版和OWASP ZAP两者功能相近选一个顺手的就行。对于Web1到Web10这个阶段其实用浏览器控制台配合一些简单的命令行工具比如curl就足够了。但如果你打算长期往这个方向走早点把Burp Suite装好、把代理配置调通后面会省很多事。注意配置代理工具时确保只拦截你本地靶场的流量不要影响你正常的网络访问。建议使用浏览器插件如SwitchyOmega做代理规则的切换需要抓包时再开启。2.3 本地靶场搭建的两种思路BugKu是在线平台但为了反复练习和深入理解我强烈建议你在本地也搭一套类似的环境。有两种思路第一种是用集成环境如phpStudy、XAMPP快速拉起一个PHPMySQL的环境然后手动写一些简单的页面来复现题目场景。这种方式的好处是你能完全掌控代码想看哪里就看哪里。第二种是用Docker拉取现成的靶场镜像比如DVWA、Pikachu等。这些靶场覆盖的漏洞类型更全面适合在完成Web1-10之后继续深入。两种方式不冲突建议都试试。本地环境最大的价值在于你可以随意修改代码、查看日志、调试参数这是在线平台给不了的。3. Web1-Web10逐关拆解从源码查看到注入入门3.1 Web1最基础的源码查看第一关通常是给你一个看似平平无奇的页面让你找flag。很多新手上来就到处乱点其实正确做法是直接右键查看页面源代码或者F12看Elements面板。这一关考的核心知识点就一个前端源码是公开的。浏览器拿到的HTML、CSS、JavaScript代码用户全都能看到。有些开发者会把敏感信息比如注释里的提示、隐藏字段的值直接写在前端以为用户看不到实际上这跟把钥匙藏在门口地毯下面一样。具体操作打开页面后右键选择“查看网页源代码”或者直接按CtrlU。在源码里搜索关键词比如“flag”、“key”、“hidden”之类的。通常flag会以注释的形式出现类似!-- flag{xxxxx} --。这一关虽然简单但它传递了一个重要观念做Web安全第一步永远是看源码。不要急着去猜、去试先把能看到的公开信息全部收集一遍。3.2 Web2前端拦截与绕过第二关开始有点意思了。页面可能弹出一个输入框让你输入密码或者有一个表单提交后提示“密码错误”。你查看源码会发现验证逻辑是写在JavaScript里的。比如源码里可能有这样的代码function check(){ var pwd document.getElementById(password).value; if(pwd secret123){ window.location.href flag.php; } else { alert(密码错误); } }这时候你有两种思路一是直接在源码里找到正确的密码然后输入二是干脆绕过前端验证直接访问目标页面。第一种思路就是仔细读源码找到那个硬编码的密码。第二种思路更体现Web安全的思维前端验证是不可信的因为代码在用户手里用户可以随意修改。你可以在Console里直接调用window.location.href flag.php或者用Burp Suite直接构造请求访问目标页面。这一关的核心教训任何在前端做的安全校验都是纸糊的。真正的验证必须放在服务端。3.3 Web3请求头里的秘密第三关通常会提示你“只能从某个特定的来源访问”或者“请使用特定的浏览器”。这考的是HTTP请求头的伪造。常见的场景包括要求Referer头为某个特定值比如必须从站内某个页面跳转过来要求User-Agent头包含特定字符串比如模拟某个特定浏览器或爬虫要求X-Forwarded-For头为特定IP比如伪装成本地访问操作方式用Burp Suite拦截请求在Repeater里修改对应的请求头然后发送。或者在浏览器Console里用fetch或XMLHttpRequest自定义请求头但浏览器出于安全限制某些头不允许前端修改这时候就必须用抓包工具。以Referer为例假设题目要求必须从http://localhost/admin跳转过来你只需要在请求头里加上Referer: http://localhost/admin这一关的知识点在实际工作中非常有用。很多系统的权限控制、CSRF防护、访问来源统计都依赖请求头。理解请求头可以被伪造这件事是Web安全思维的重要一步。3.4 Web4编码与解码的基础第四关一般会涉及某种编码。页面可能给你一串看起来像乱码的字符串或者提示你“flag被编码了”。Web安全中常见的编码方式包括编码类型特征常见场景URL编码%XX形式如%20表示空格URL参数传递Base64字母数字加/结尾数据传输、图片嵌入HTML实体编码#XX;或name;形式防止XSS的转义Unicode\uXXXX形式JavaScript字符串Hex十六进制0x开头或纯十六进制字符二进制数据表示解题思路观察字符串的特征判断是哪种编码然后用对应的工具解码。浏览器Console里可以用atob()解Base64用decodeURIComponent()解URL编码。Python里用base64、urllib.parse等库。这一关的关键不是学会某个具体编码而是建立“看到奇怪字符串先想想是不是编码”的条件反射。实际工作中很多漏洞的利用链都涉及多层编码的绕过。3.5 Web5文件包含漏洞初探第五关开始进入真正的漏洞类型了。文件包含File Inclusion是Web安全里非常经典的一类漏洞分为本地文件包含LFI和远程文件包含RFI。题目的典型形式是URL里有一个参数比如?filexxx页面会根据这个参数去包含对应的文件。如果服务端没有对参数做严格过滤攻击者就可以包含任意文件。比如正常请求是http://localhost/index.php?fileabout.php你可以尝试改成http://localhost/index.php?file../../../../etc/passwd如果成功读取到系统文件内容说明存在本地文件包含漏洞。在CTF题目中常见的利用方式还包括包含日志文件如Apache的access.log将恶意代码写入日志后再包含执行包含/proc/self/environ等特殊文件利用PHP的php://filter伪协议读取源码这一关的核心防御思路永远不要相信用户输入的路径。如果业务确实需要动态包含文件应该使用白名单机制只允许包含预先定义好的文件列表。3.6 Web6SQL注入的入门体验第六关通常是SQL注入的入门题。页面可能有一个查询框输入某个ID后返回对应的信息。你输入1返回正常结果输入1报错这就说明可能存在SQL注入。SQL注入的本质是用户输入的数据被拼接到了SQL语句中并且没有做充分的转义或参数化处理。比如后端代码可能是这样的$id $_GET[id]; $sql SELECT * FROM users WHERE id $id; $result mysqli_query($conn, $sql);当你输入1 OR 11时SQL语句变成了SELECT * FROM users WHERE id 1 OR 11这就绕过了原本的查询条件返回了所有用户的数据。在CTF题目中SQL注入的利用步骤通常包括判断注入点输入单引号、双引号、反斜杠等观察是否报错判断字段数用ORDER BY n逐步增加n直到报错确定查询返回的列数确定回显位置用UNION SELECT 1,2,3...查看哪些位置会显示在页面上提取数据在回显位置替换为database()、user()、version()等函数逐步获取数据库信息获取flag通常flag存在某个特定的表或字段里通过information_schema查询表名和字段名最终拿到flag这一关的注意事项手动注入虽然直观但效率低。建议在理解原理后学习使用sqlmap等自动化工具但前提是你必须清楚工具在做什么否则遇到过滤规则时就不知道如何绕过了。3.7 Web7SQL注入的进阶与过滤绕过第七关往往是第六关的升级版增加了某种过滤规则。比如过滤了空格、注释符、关键字等。常见的绕过技巧包括空格被过滤用/**/、、%09Tab、%0a换行代替空格关键字被过滤用大小写混合SeLeCt、双写selselectect、内联注释/*!select*/绕过引号被过滤用十六进制编码0x61646d696e表示admin代替字符串逗号被过滤用JOIN代替UNION SELECT或者用LIMIT的偏移量语法这一关的核心训练目标是理解WAFWeb应用防火墙的过滤逻辑并找到规则的盲区。实际工作中你面对的可能不是CTF题目里简单的字符串替换而是更复杂的正则匹配和语义分析。但万变不离其宗过滤的本质是在黑名单和白名单之间做取舍只要规则有遗漏就有绕过的可能。提示在本地测试时建议打开PHP的display_errors和MySQL的通用查询日志这样你能看到每一条实际执行的SQL语句对理解注入过程非常有帮助。3.8 Web8命令执行漏洞第八关通常涉及命令执行Command Injection。页面可能有一个功能比如ping一个IP地址用户输入IP后后端执行ping -c 4 $ip并返回结果。如果后端没有对输入做过滤你可以用分号、管道符、逻辑运算符等拼接额外的命令127.0.0.1; cat /flag 127.0.0.1 | cat /flag 127.0.0.1 cat /flag这一关的关键知识点命令拼接符;顺序执行、|管道、||或、与、后台执行空格绕过用$IFS、${IFS}、%09等代替空格关键字绕过用通配符/f*、变量拼接a/fl;bag;cat $a$b等方式绕过命令执行漏洞的危害极大因为攻击者可以直接在服务器上执行任意系统命令。防御的核心原则是尽量避免直接调用系统命令。如果必须调用使用白名单限制可执行命令的范围并对用户输入做严格的转义。3.9 Web9文件上传漏洞第九关一般是文件上传。页面提供一个上传功能但只允许上传特定类型的文件比如图片。你需要想办法上传一个可执行的文件比如PHP的webshell然后访问它来获取flag。常见的绕过方式前端绕过修改文件扩展名后抓包在Burp Suite里把扩展名改回.phpMIME类型绕过修改Content-Type头为image/jpeg等允许的类型扩展名黑名单绕过尝试.php3、.php5、.phtml、.pht等变体大小写绕过.PHP、.Php等特殊字符绕过.php末尾空格、.php.末尾点号、.php::$DATAWindows特性内容检测绕过在文件开头加上GIF89a等图片头后面再跟PHP代码上传成功后你需要知道文件被保存到了哪个路径。通常题目会返回上传后的URL或者你需要根据常见路径去猜测。这一关的防御思路不要依赖前端验证服务端必须做严格检查。检查内容包括文件扩展名白名单、MIME类型、文件内容魔术字节、文件大小等。最安全的做法是把上传的文件存储在Web根目录之外通过脚本读取后输出。3.10 Web10综合运用与思路串联第十关通常是前面几关知识点的综合或者是一个需要多步骤才能完成的题目。可能涉及信息收集、漏洞发现、权限提升、数据提取的完整链条。做这类题目时最重要的是保持清晰的思路不要东一榔头西一棒子。我通常的做法是信息收集查看源码、请求头、Cookie、robots.txt、常见备份文件等功能点梳理把页面上所有可交互的功能点列出来逐个测试漏洞假设根据功能点的行为假设可能存在的漏洞类型验证假设用最小的代价去验证你的假设比如输入一个单引号看是否报错利用漏洞确认漏洞存在后构造完整的利用链提取flag拿到flag后回顾整个路径整理成笔记这一关没有固定的套路但前面的九关已经给你提供了足够的工具和思路。你需要做的就是把它们组合起来像拼图一样把完整的攻击路径拼出来。4. 常见问题与排查技巧实录4.1 页面返回空白或500错误怎么办这是新手最常见的问题。可能的原因包括语法错误你构造的payload导致了服务端代码报错。检查你的引号、括号是否配对。权限问题你尝试读取的文件没有权限。尝试换一个路径或者用php://filter读取源码而不是直接执行。过滤拦截你的payload触发了WAF规则。尝试编码、大小写混合、拆分关键字等方式绕过。环境差异本地环境和在线平台的环境不同。比如本地是Linux在线可能是Windows路径写法不一样。排查方法打开浏览器的Network面板看响应的状态码和响应体。如果是500看响应体里有没有错误信息有些环境会显示详细错误。如果是403说明被拦截了。如果是404说明路径不对。4.2 注入时union select报错但order by正常这种情况通常说明字段数不对ORDER BY能正常执行说明字段数至少有那么多个但UNION SELECT要求前后字段数完全一致。你需要精确确定字段数。回显位置不对UNION SELECT的字段顺序和页面回显的顺序可能不一致。尝试把数字换成字符串看看哪个位置会显示出来。数据类型不匹配某些字段可能是整数类型你用了字符串导致类型转换错误。尝试用NULL代替数字。4.3 文件上传后访问返回404可能的原因路径不对上传后的文件可能被重命名了或者保存在了非Web目录。查看上传成功的响应里有没有返回路径信息。扩展名被改服务端可能自动修改了扩展名比如把.php改成了.php.jpg。尝试用Burp Suite拦截上传请求看看服务端返回的文件名是什么。权限问题上传目录没有执行权限。这种情况在CTF中较少见但实际环境中很常见。4.4 命令执行时特殊字符被转义如果分号、管道符被过滤了可以尝试用换行符%0a代替分号用$(command)或command代替直接拼接用%0d%0aCRLF尝试如果空格被过滤用$IFS或${IFS}代替4.5 常见问题速查表问题现象可能原因排查方向页面空白PHP报错但display_errors关闭查看服务器错误日志或尝试构造不报错的payload返回403WAF拦截检查payload中是否包含敏感关键字尝试编码绕过返回404路径错误检查文件路径、URL编码、大小写注入无回显盲注场景尝试时间盲注、布尔盲注或使用DNSlog外带上传成功但无法执行目录无执行权限或扩展名被改查看响应中的文件路径尝试其他扩展名编码后仍报错编码方式不对确认目标接受的编码类型尝试多层编码5. 从靶场到实战的思维跃迁做完这十关你手里已经有了Web安全入门阶段最基础的一套工具箱看源码、改请求、编解码、文件包含、SQL注入、命令执行、文件上传。但我想强调的是靶场和实战之间还有一道不小的鸿沟。靶场的特点是漏洞是被人为设计好的环境是简化的目标是明确的。而实战中你需要自己发现漏洞环境是复杂的目标可能根本不明确。从靶场到实战你需要补充的能力包括信息收集的广度。靶场里你只需要看一个页面实战中你需要收集子域名、端口、目录、参数、技术栈、第三方组件等海量信息。这些信息里可能藏着真正的突破口。漏洞挖掘的深度。靶场里的注入点通常很明显实战中可能需要你从一段看似正常的业务逻辑里发现异常。比如一个订单查询功能参数是订单号你输入自己的订单号能查到输入别人的订单号也能查到这就是越权漏洞。利用链的构造。靶场通常一个漏洞就能拿到flag实战中往往需要把多个低危漏洞组合起来才能达到最终目标。比如用一个信息泄露漏洞获取数据库配置用配置信息登录后台在后台找到文件上传点最终获取服务器权限。工具链的熟练度。靶场阶段手动操作没问题实战中你需要熟练使用各种自动化工具来提高效率。但前提是你必须理解工具的原理否则工具报错时你根本不知道从哪里排查。我个人的建议是做完Web1-10之后不要急着去刷更多的题而是把这十关的解题过程整理成笔记把每一关涉及的知识点、操作步骤、踩坑经验都写清楚。然后找一些开源的CMS或者Web应用在本地搭建起来尝试用你学到的知识去发现漏洞。这个过程会比刷题慢但收获会大得多。最后分享一个我自己的习惯每次做完一道题我都会问自己三个问题——这道题考的是什么知识点如果我是开发者我会怎么防御如果防御升级了我还能怎么绕过这三个问题能帮你把一道题的价值榨干而不是做完就忘。