小白程序员必备Web文件漏洞原理、绕过技巧与实战利用链收藏学习本文系统整理了Web文件功能点可能产生的漏洞包括文件读取、上传下载、ID遍历、导出解析等核心场景。文章涵盖了各类文件漏洞的原理、绕过技巧和实战利用链例如伪协议读取、XXE、SSRF联动、ID注入越权等。内容覆盖了从信息搜集到提权GetShell的完整流程适合网络安全学习和日常挖洞实战。0x01简介Web文件相关功能是渗透测试高频突破口涵盖文件读取、上传下载、ID遍历、导出解析等核心场景。本文整合各类文件漏洞的原理、绕过技巧与实战利用链汇总伪协议读取、XXE、SSRF联动、ID注入越权等干货打法覆盖从信息搜集到提权GetShell的完整流程适配网安学习、日常挖洞实战需求。整理一部分关于文件功能点下可能产生的漏洞利用汇总萃取其中精华旨在拓宽读者挖掘视角,这些分散的优质思路此前缺乏系统归纳 我将一部分优化思路汇总期望实现思路价值的叠加效应。 欢迎交流学习 不足之处望指出,转载请标明出处参考文章https://xz.aliyun.com/spa/#/news/18107https://www.hacktwohub.com/0x02正文详情下载读取文件可疑ID遍历/注入下载接口出现铭感信息的(自己独有的东西)有用户的汇集的地方就很可能存在漏洞出现数字ID遍历,越权下载其他人文件,GETPOST皆切换尝试,利用IDOR越权,但是有鉴权字段就无效了userId19230239023923232 NickName 232193299321324343orderid1989885454549549注入思考是1 -1,观察数值有没有被带入执行,可以是选择性数字的导入/下载数字是否带入数据库查询赏金猎人|SRC简单拿下某公交后台系统多个高危漏洞思路及试探通用型漏洞导出Excle功能点,输入1的时候表示导出第一列数据此处包长为6360在我输2的时候表示导出前2列数据此时包长为6364当我输xxx?id2-1时此时导出的是开始第一列1列数据包长为6360了这就很明显的用户可以操控拼接进SQL语句进行正则运算,所以遇到文件id 测试遍历及注入有时候也会有意想不到的惊喜假设原本的 SQL查询语句为SELECT column_name FROM table_name WHERE id ‘用户输入的id’;探测到注入无过滤情况就可以构造恒真条件永远为真导致查询返回所有记录从而绕过了原本的查询条件获取了所有列的数据,假设存在过滤条件就慢慢探测了只能靠个人思路绕过如果用户输入的id是 1’ OR ‘1’‘1那么拼接后的SQL查询语句会变成SELECT column_name FROM table_name WHERE id ‘1’ OR ‘1’‘1’’;file参数下载接口任意读取读取文件功能点接口,按照读取的文件id返回对应的文件,字段filexxxx,同上文不同的是虽然功能也是为文件相关,但相关字段并不是idfileidinode这种明确表示依靠文件id输出文件的,而是file表示文件相关字段,此类场景不仅仅可以测试注入、越权、遍历、还可以测试任意文件读取,类似的参数还有filesname file files, 不外乎功能点,只能接口字段出现此类就可以测试,只是这种漏洞出现在操作文件读取下载场景较多,下面会介绍到利用伪协议读取场景file189839434343 //可以尝试读取file…/…/ect/passwd列如apis/xxxxxxx/download?filePath接口于是便可以尝试任意文件读取成功下载etc/passwd整理好用字典,形成自己的测试规范,遇到好的绕过Payload做好记录,图片链接http://file/1.png图片的链接形式是http://file//xxxxx.png可以测试成file//etc/passwd或者只保留http://file对路径无处理可能会列出该目录下所有的文件http://file//a0b24dbc24f3d24530999e10e11a88c7242338c0a849d91aa0ee47369cd2b6147f.pnghttp://file// etc/passwd http://file//type类型任意文件读取接口中出现type类型参数时,尝试读取文件,最不起眼的参数也可能隐藏着重大的安全风险,设计要文件相关的参数都需要铭感起来filenameGET /api/saber?typexxxxx GET /api/saber?type…/…/…/…/…/…/etc/passwd400状态码任意读取推特国外大牛挖掘遇到的情况,在路径上进行路径遍历,本以为参数带入才可以路径遍历,有时候骚的思路路径就是参数,响应包为400试试看路径遍历payload: ///////./././././etc/passwd文件包任意文件读取区别文件包含会包含文件然后输出,任意文件读取只能读取文件包含和任意文件读取都支持伪协议还有远程地址,但是文件包含一般会有漏洞文件的前缀http://baidu.com/ saber.php ?name…/…/…/…/Windows./system.ini saber.php?php $file$_GET[name]; include($file);?根据功能点分析这个地方会是SSRF还是任意文件读取,请求网络功能如下必须测试DNSloghttp://baidu.com/saber?filehtttp:sxxxxx无响应办法就测试任意文件读取file协议,能读文件了就可以读其他记录IP的铭感文件,需要注意权限的问题权限决定我们能读取/下载文件范围,尝试读取root/.bash_history看自己是否有root权限,此文件只能是root用户读取它包含了root用户操作命令的记录如果没有,只能按部就班的利用…/来逐层跳转读取不带协议文件包含理解http://xxxx/saber?nameetc/passwd与http://xxxxx/saber?namefile://etc/passwd之间的差异参考文章https://mp.weixin.qq.com/s/7prdLc9ml6q2chrRxdsdEQhttps://mp.weixin.qq.com/s/PdFm_Y3FNDkCMrsHXcm_2whttps://mp.weixin.qq.com/s/Zkw68UPDWcHBn6cayVdITg拿到任意读取漏洞思路先读取管理员root用户.bash_history命令记录 ,看自己是否有root权限,此文件只能是root用户读取它包含了root用户操作命令的记录读取此用户的登录私钥包括历史记录记录如果用户配置了可以通过密钥登录那么读取私匙到本地 也可以完成 登录,私匙验证的东西远程下载下来,然后可以直接拿私匙到自己电脑上去远程登录对方ssh/root/.bash_history # 读取root用户历史命令可能会出现ssh私钥存储位置或其他铭感文件路径/proc/self/status # 当前用户运行进程状态无法读取管理员.bash_history,尝试读取/proc/self/status进程的uid和gid判断 当前用户权限后读取/etc/password的内容对比进程知道自己是什么用户,此文本会显示系统所有的用户,搜索home /bin/zsh就是实际存在且可以登录系统的用户以及root用户攻防中首先尝试身份去读取/root/.bash_history,获取管理员的历史命令记录,如果读取不了代表当前并没有root权限,则寻找其他可登录的用户,以它的身份去读取文件/home/saber/.zsh_history # 读取saber用户历史命令可能会出现ssh私钥存储位置/hoem/saber/.ssh/id_rsa # 尝试读取普通用户默认私钥 /root/saber/.ssh/id_rsa root用户默认地址/root/.ssh/id_rsa # root 默认地址file读取机器文件获得内网IPLinux系统/etc/hosts 包含了主机名与IP地址的映射关系可能会记录内网IP信息/etc/network/interfaces 存储网络接口的配置信息其中可能包含内网IP地址/proc/net/fib_trie 包含了路由表信息从中可以获取到内网IP地址~/.ssh/id_rsa Linux系统中用户的SSH私钥默认位置Windows系统类似于Linux系统的/etc/hosts文件存储了主机名与IP地址的映射关系C:/Windows/System32/drivers/etc/hosts常见中间件日志路径/var/log/apache2/access.log/var/log/apache/access.log/var/log/apache2/error.log/var/log/apache/error.log/usr/local/apache/log/error_log/usr/local/apache2/log/error_log/var/log/nginx/access.log/var/log/nginx/error.log/var/log/httpd/error_logdicr协议探测内网端口读取到IP就可以这样这样爆破操作国光SSRF靶场探测内网如果读取到IP端口并且未授权就连接Redisdict这个协议也可以操作Redis执命令dict://127/0.0.1:6379/info/ # SSR伪造协议读取redis信息 cat /etc/hosts #读取网络信息读取或包含Redis密码记录网站存在文件包含可以 读取redis配置文件信息,或者是其他的Spring boot heapdump等上传文件图片路径可控覆盖文件 / 上传后无路径一个点可以任意读取,通过读取/home/user/.bash_history历史命令得到网址的目录地址,然后跨目录传参考文章https://mp.weixin.qq.com/s/g8-xTjaQ6Q9hL09rCkgLdw判断是否可控文件路径和文件名可控指我们选择图片上传在请求包中/响应包就会显示出路径我们修改路径或者文件名为自己可控的再次发送如果成功路径代表可控路径可控,那么可以控制整个网站的目录尝试覆盖网站下存放的东西在前端是可以知道的上传相同的路径相同的文件名不就可以实现覆盖了嘛)路径可控尝试覆盖,上传2次同一目录下不同的图片,用浏览器打开最后图片是否一致,是则无用 否则是漏洞2. 再次上传测试…/跨目录上传实现目录穿越此处是上传功能,上传的参数为type,正常上传后发现响应包回显的路径是这样,路径回显了等于请求包控制了响应包的上传,POST /demo/upload?type1.jsp // 请求包路径/demo/upload/home/type/1.jsp // 响应 包路径猜测type参数就是文件夹名,如果 更改为其他的就会上传到其他位置去,使用…/实现跨目录上传思路就是寻找系统的web路径直接上传脚本getshellPOST /demo/upload?saber1.jsp // 请求包路径/demo/upload/home/saber/1.jsp // 响应包路径上传不可知路径查看下载文件地方,下载时抓包对路径推敲F12找网站images文件夹下是否存在路径选择图片右键新标签打开,查看此图片对应的图片路径路径推测方法如果响应包回显了路径可以删掉第一层然后拼接响应的目录,上传文件靶场都是这样的形式一般单独上传后的目录都是会在这一层目录下比如https://baidu.com/demo/uploa/上传回显如果是saber/1.txt或是1.txt 直接拼接在后面就行,会去掉原有 一层 看很多都是这样的https://baidu.com/demp/saber/1.txthttps://baidu.com/demp/1.txtOSS阿里云验证文件上传到OSS服务器过程中的三种经典验证方式在客户端通过JavaScript代码完成签名然后通过表单直传数据到OSS // 硬编码在JS中2. 在服务端完成签名然后通过表单直传数据到OSS3. 在服务端完成签名并且服务端设置了上传后回调然后通过表单直传数据到OSS OSS回调完成后再将应用服务器响应结果返回给客户端前提上云且可以预览不然不满足正常的文件上传,涉及到了云存储桶攻防,任何情况下都不可以企图直接以图片后缀.jps/.png/.gif/.jepg命名文件并上传这类文件里即使包含html代码或者js代码其代码也不会被任何浏览器解析的任意上传不限制类型上传任意后缀文件都不解析,尝试上传.HTML文件写入XSS,或上传异常后缀的文件,写入HTML代码是很有可能得到存储XSS任意上传尝试htaccess文件 导致RCE任意文件上传/类型解析https://mp.weixin.qq.com/s/MEodN2cUG55rOnBMz48LqA阿里云任意文件上传的时候先判断文件的路径和文件名是否可控接着去同厂商的其他网站查找静态图片或文件看是否可以相互转换实现任意文件覆盖上传图片任意上传html asp php的文件,如路径可控进行路径穿越png —1.php-----1.html…static/img/img1: 存放静态资源图片等信息的服务器不做解析情况不做解析我们修改文件类型Content-Type为我们想要的,上传的文件是HTML PDF SVG格式 不解析但是可以预览,或许是因为这个类型没有改变,把它的东西全部作为图片去解析了,尝试更改类型(此操作情况是上传的文件支持预览操作而不是访问后直接下载,这样才有危害)Content-Type: image/jpeg // 正常图片类型--------------------------------------------------------Content-Type: text/html // HTML文档类型上传.html修改Content-Type: application/pdf // PDF文件格式Content-Type: application/x-httpd-php // PHP格式Content-Type:上传后缀名还是.jpg但文件类型改为html上传成功可能会图片后缀解析htmlpayloadContent-Disposition: form-data; name“file”; filename12.pngContent-Type: text/htmlSTStoken覆盖文件导入或者上传的功能点,也是上传过后响应包返回了如下数据,如不知道桶名只能源码慢慢审查,判断是哪个云厂商然后找平台文档找脚本进行应用填入对应的值,还是需要一个包一个包的找泄露Bucket 桶名tmp_secret_keytmp_tokene-------secret_idsecret_key根据文档脚本进行上传文件操作,上传的文件是在根目录下,按理通过脚本填入对应的值,任意上传文件至网站根目录,如知晓 网站其他路径上传即可实现覆盖操作.body为上传的内容☰☰☰是上传过后响应包返回了如下数据,如不知道桶名只能源码慢慢审查,判断是哪个云厂商然后找平台文档找脚本进行应用填入对应的值,还是需要一个包一个包的找泄露Bucket 桶名tmp_secret_keytmp_tokene-------secret_idsecret_key[外链图片转存中…(img-2xh1hURG-1787110918189)]根据文档脚本进行上传文件操作,上传的文件是在根目录下,按理[外链图片转存中…(img-qcb5rVx0-1787110918189)]通过脚本填入对应的值,任意上传文件至网站根目录,如知晓 网站其他路径上传即可实现覆盖操作.body为上传的内容互动话题如果你对网络攻防技术感兴趣想学习更多网安方面的知识和工具可以看看以下题外话题外话黑客/网络安全学习路线今天只要你给我的文章点赞我私藏的网安学习资料一样免费共享给你们来看看有哪些东西。网络安全学习资源分享:下面给大家分享一份2026最新版的网络安全学习路线资料帮助新人小白更系统、更快速的学习黑客技术一、2026最新网络安全学习路线一个明确的学习路线可以帮助新人了解从哪里开始按照什么顺序学习以及需要掌握哪些知识点。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 *安全链接放心点击我们把学习路线分成L1到L4四个阶段一步步带你从入门到进阶从理论到实战。L1级别:网络安全的基础入门L1阶段我们会去了解计算机网络的基础知识以及网络安全在行业的应用和分析学习理解安全基础的核心原理关键技术以及PHP编程基础通过证书考试可以获得NISP/CISP。可就业安全运维工程师、等保测评工程师。L2级别网络安全的技术进阶L2阶段我们会去学习渗透测试包括情报收集、弱口令与口令爆破以及各大类型漏洞还有漏洞挖掘和安全检查项目可参加CISP-PTE证书考试。L3级别网络安全的高阶提升L3阶段我们会去学习反序列漏洞、RCE漏洞也会学习到内网渗透实战、靶场实战和技术提取技术系统学习Python编程和实战。参加CISP-PTE考试。L4级别网络安全的项目实战L4阶段我们会更加深入进行实战训练包括代码审计、应急响应、红蓝对抗以及SRC的挖掘技术。并学习CTF夺旗赛的要点和刷题整个网络安全学习路线L1主要是对计算机网络安全的理论基础的一个学习掌握而L3 L4更多的是通过项目实战来掌握核心技术针对以上网安的学习路线我们也整理了对应的学习视频教程和配套的学习资料。二、技术文档和经典PDF书籍书籍和学习文档资料是学习网络安全过程中必不可少的我自己整理技术文档包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点电子书也有200多本书籍含电子版PDF三、网络安全视频教程对于很多自学或者没有基础的同学来说书籍这些纯文字类的学习教材会觉得比较晦涩难以理解因此我们提供了丰富的网安视频教程以动态、形象的方式展示技术概念帮助你更快、更轻松地掌握核心知识。网上虽然也有很多的学习资源但基本上都残缺不全的这是我自己录的网安视频教程上面路线图的每一个知识点我都有配套的视频讲解。四、网络安全护网行动/CTF比赛学以致用当你的理论知识积累到一定程度就需要通过项目实战在实际操作中检验和巩固你所学到的知识同时为你找工作和职业发展打下坚实的基础。五、网络安全工具包、面试题和源码“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等感兴趣的同学不容错过。面试不仅是技术的较量更需要充分的准备。在你已经掌握了技术之后就需要开始准备面试我们将提供精心整理的网安面试题库涵盖当前面试中可能遇到的各种技术问题让你在面试中游刃有余。如果你是要找网安方面的工作它们绝对能帮你大忙。这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的如果大家有好的题目或者好的见解欢迎分享。参考解析深信服官网、奇安信官网、Freebuf、csdn等内容特点条理清晰含图像化表示更加易懂。内容概要包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 *安全链接放心点击 小白程序员必备：Web文件漏洞原理、绕过技巧与实战利用链，收藏学习！
小白程序员必备Web文件漏洞原理、绕过技巧与实战利用链收藏学习本文系统整理了Web文件功能点可能产生的漏洞包括文件读取、上传下载、ID遍历、导出解析等核心场景。文章涵盖了各类文件漏洞的原理、绕过技巧和实战利用链例如伪协议读取、XXE、SSRF联动、ID注入越权等。内容覆盖了从信息搜集到提权GetShell的完整流程适合网络安全学习和日常挖洞实战。0x01简介Web文件相关功能是渗透测试高频突破口涵盖文件读取、上传下载、ID遍历、导出解析等核心场景。本文整合各类文件漏洞的原理、绕过技巧与实战利用链汇总伪协议读取、XXE、SSRF联动、ID注入越权等干货打法覆盖从信息搜集到提权GetShell的完整流程适配网安学习、日常挖洞实战需求。整理一部分关于文件功能点下可能产生的漏洞利用汇总萃取其中精华旨在拓宽读者挖掘视角,这些分散的优质思路此前缺乏系统归纳 我将一部分优化思路汇总期望实现思路价值的叠加效应。 欢迎交流学习 不足之处望指出,转载请标明出处参考文章https://xz.aliyun.com/spa/#/news/18107https://www.hacktwohub.com/0x02正文详情下载读取文件可疑ID遍历/注入下载接口出现铭感信息的(自己独有的东西)有用户的汇集的地方就很可能存在漏洞出现数字ID遍历,越权下载其他人文件,GETPOST皆切换尝试,利用IDOR越权,但是有鉴权字段就无效了userId19230239023923232 NickName 232193299321324343orderid1989885454549549注入思考是1 -1,观察数值有没有被带入执行,可以是选择性数字的导入/下载数字是否带入数据库查询赏金猎人|SRC简单拿下某公交后台系统多个高危漏洞思路及试探通用型漏洞导出Excle功能点,输入1的时候表示导出第一列数据此处包长为6360在我输2的时候表示导出前2列数据此时包长为6364当我输xxx?id2-1时此时导出的是开始第一列1列数据包长为6360了这就很明显的用户可以操控拼接进SQL语句进行正则运算,所以遇到文件id 测试遍历及注入有时候也会有意想不到的惊喜假设原本的 SQL查询语句为SELECT column_name FROM table_name WHERE id ‘用户输入的id’;探测到注入无过滤情况就可以构造恒真条件永远为真导致查询返回所有记录从而绕过了原本的查询条件获取了所有列的数据,假设存在过滤条件就慢慢探测了只能靠个人思路绕过如果用户输入的id是 1’ OR ‘1’‘1那么拼接后的SQL查询语句会变成SELECT column_name FROM table_name WHERE id ‘1’ OR ‘1’‘1’’;file参数下载接口任意读取读取文件功能点接口,按照读取的文件id返回对应的文件,字段filexxxx,同上文不同的是虽然功能也是为文件相关,但相关字段并不是idfileidinode这种明确表示依靠文件id输出文件的,而是file表示文件相关字段,此类场景不仅仅可以测试注入、越权、遍历、还可以测试任意文件读取,类似的参数还有filesname file files, 不外乎功能点,只能接口字段出现此类就可以测试,只是这种漏洞出现在操作文件读取下载场景较多,下面会介绍到利用伪协议读取场景file189839434343 //可以尝试读取file…/…/ect/passwd列如apis/xxxxxxx/download?filePath接口于是便可以尝试任意文件读取成功下载etc/passwd整理好用字典,形成自己的测试规范,遇到好的绕过Payload做好记录,图片链接http://file/1.png图片的链接形式是http://file//xxxxx.png可以测试成file//etc/passwd或者只保留http://file对路径无处理可能会列出该目录下所有的文件http://file//a0b24dbc24f3d24530999e10e11a88c7242338c0a849d91aa0ee47369cd2b6147f.pnghttp://file// etc/passwd http://file//type类型任意文件读取接口中出现type类型参数时,尝试读取文件,最不起眼的参数也可能隐藏着重大的安全风险,设计要文件相关的参数都需要铭感起来filenameGET /api/saber?typexxxxx GET /api/saber?type…/…/…/…/…/…/etc/passwd400状态码任意读取推特国外大牛挖掘遇到的情况,在路径上进行路径遍历,本以为参数带入才可以路径遍历,有时候骚的思路路径就是参数,响应包为400试试看路径遍历payload: ///////./././././etc/passwd文件包任意文件读取区别文件包含会包含文件然后输出,任意文件读取只能读取文件包含和任意文件读取都支持伪协议还有远程地址,但是文件包含一般会有漏洞文件的前缀http://baidu.com/ saber.php ?name…/…/…/…/Windows./system.ini saber.php?php $file$_GET[name]; include($file);?根据功能点分析这个地方会是SSRF还是任意文件读取,请求网络功能如下必须测试DNSloghttp://baidu.com/saber?filehtttp:sxxxxx无响应办法就测试任意文件读取file协议,能读文件了就可以读其他记录IP的铭感文件,需要注意权限的问题权限决定我们能读取/下载文件范围,尝试读取root/.bash_history看自己是否有root权限,此文件只能是root用户读取它包含了root用户操作命令的记录如果没有,只能按部就班的利用…/来逐层跳转读取不带协议文件包含理解http://xxxx/saber?nameetc/passwd与http://xxxxx/saber?namefile://etc/passwd之间的差异参考文章https://mp.weixin.qq.com/s/7prdLc9ml6q2chrRxdsdEQhttps://mp.weixin.qq.com/s/PdFm_Y3FNDkCMrsHXcm_2whttps://mp.weixin.qq.com/s/Zkw68UPDWcHBn6cayVdITg拿到任意读取漏洞思路先读取管理员root用户.bash_history命令记录 ,看自己是否有root权限,此文件只能是root用户读取它包含了root用户操作命令的记录读取此用户的登录私钥包括历史记录记录如果用户配置了可以通过密钥登录那么读取私匙到本地 也可以完成 登录,私匙验证的东西远程下载下来,然后可以直接拿私匙到自己电脑上去远程登录对方ssh/root/.bash_history # 读取root用户历史命令可能会出现ssh私钥存储位置或其他铭感文件路径/proc/self/status # 当前用户运行进程状态无法读取管理员.bash_history,尝试读取/proc/self/status进程的uid和gid判断 当前用户权限后读取/etc/password的内容对比进程知道自己是什么用户,此文本会显示系统所有的用户,搜索home /bin/zsh就是实际存在且可以登录系统的用户以及root用户攻防中首先尝试身份去读取/root/.bash_history,获取管理员的历史命令记录,如果读取不了代表当前并没有root权限,则寻找其他可登录的用户,以它的身份去读取文件/home/saber/.zsh_history # 读取saber用户历史命令可能会出现ssh私钥存储位置/hoem/saber/.ssh/id_rsa # 尝试读取普通用户默认私钥 /root/saber/.ssh/id_rsa root用户默认地址/root/.ssh/id_rsa # root 默认地址file读取机器文件获得内网IPLinux系统/etc/hosts 包含了主机名与IP地址的映射关系可能会记录内网IP信息/etc/network/interfaces 存储网络接口的配置信息其中可能包含内网IP地址/proc/net/fib_trie 包含了路由表信息从中可以获取到内网IP地址~/.ssh/id_rsa Linux系统中用户的SSH私钥默认位置Windows系统类似于Linux系统的/etc/hosts文件存储了主机名与IP地址的映射关系C:/Windows/System32/drivers/etc/hosts常见中间件日志路径/var/log/apache2/access.log/var/log/apache/access.log/var/log/apache2/error.log/var/log/apache/error.log/usr/local/apache/log/error_log/usr/local/apache2/log/error_log/var/log/nginx/access.log/var/log/nginx/error.log/var/log/httpd/error_logdicr协议探测内网端口读取到IP就可以这样这样爆破操作国光SSRF靶场探测内网如果读取到IP端口并且未授权就连接Redisdict这个协议也可以操作Redis执命令dict://127/0.0.1:6379/info/ # SSR伪造协议读取redis信息 cat /etc/hosts #读取网络信息读取或包含Redis密码记录网站存在文件包含可以 读取redis配置文件信息,或者是其他的Spring boot heapdump等上传文件图片路径可控覆盖文件 / 上传后无路径一个点可以任意读取,通过读取/home/user/.bash_history历史命令得到网址的目录地址,然后跨目录传参考文章https://mp.weixin.qq.com/s/g8-xTjaQ6Q9hL09rCkgLdw判断是否可控文件路径和文件名可控指我们选择图片上传在请求包中/响应包就会显示出路径我们修改路径或者文件名为自己可控的再次发送如果成功路径代表可控路径可控,那么可以控制整个网站的目录尝试覆盖网站下存放的东西在前端是可以知道的上传相同的路径相同的文件名不就可以实现覆盖了嘛)路径可控尝试覆盖,上传2次同一目录下不同的图片,用浏览器打开最后图片是否一致,是则无用 否则是漏洞2. 再次上传测试…/跨目录上传实现目录穿越此处是上传功能,上传的参数为type,正常上传后发现响应包回显的路径是这样,路径回显了等于请求包控制了响应包的上传,POST /demo/upload?type1.jsp // 请求包路径/demo/upload/home/type/1.jsp // 响应 包路径猜测type参数就是文件夹名,如果 更改为其他的就会上传到其他位置去,使用…/实现跨目录上传思路就是寻找系统的web路径直接上传脚本getshellPOST /demo/upload?saber1.jsp // 请求包路径/demo/upload/home/saber/1.jsp // 响应包路径上传不可知路径查看下载文件地方,下载时抓包对路径推敲F12找网站images文件夹下是否存在路径选择图片右键新标签打开,查看此图片对应的图片路径路径推测方法如果响应包回显了路径可以删掉第一层然后拼接响应的目录,上传文件靶场都是这样的形式一般单独上传后的目录都是会在这一层目录下比如https://baidu.com/demo/uploa/上传回显如果是saber/1.txt或是1.txt 直接拼接在后面就行,会去掉原有 一层 看很多都是这样的https://baidu.com/demp/saber/1.txthttps://baidu.com/demp/1.txtOSS阿里云验证文件上传到OSS服务器过程中的三种经典验证方式在客户端通过JavaScript代码完成签名然后通过表单直传数据到OSS // 硬编码在JS中2. 在服务端完成签名然后通过表单直传数据到OSS3. 在服务端完成签名并且服务端设置了上传后回调然后通过表单直传数据到OSS OSS回调完成后再将应用服务器响应结果返回给客户端前提上云且可以预览不然不满足正常的文件上传,涉及到了云存储桶攻防,任何情况下都不可以企图直接以图片后缀.jps/.png/.gif/.jepg命名文件并上传这类文件里即使包含html代码或者js代码其代码也不会被任何浏览器解析的任意上传不限制类型上传任意后缀文件都不解析,尝试上传.HTML文件写入XSS,或上传异常后缀的文件,写入HTML代码是很有可能得到存储XSS任意上传尝试htaccess文件 导致RCE任意文件上传/类型解析https://mp.weixin.qq.com/s/MEodN2cUG55rOnBMz48LqA阿里云任意文件上传的时候先判断文件的路径和文件名是否可控接着去同厂商的其他网站查找静态图片或文件看是否可以相互转换实现任意文件覆盖上传图片任意上传html asp php的文件,如路径可控进行路径穿越png —1.php-----1.html…static/img/img1: 存放静态资源图片等信息的服务器不做解析情况不做解析我们修改文件类型Content-Type为我们想要的,上传的文件是HTML PDF SVG格式 不解析但是可以预览,或许是因为这个类型没有改变,把它的东西全部作为图片去解析了,尝试更改类型(此操作情况是上传的文件支持预览操作而不是访问后直接下载,这样才有危害)Content-Type: image/jpeg // 正常图片类型--------------------------------------------------------Content-Type: text/html // HTML文档类型上传.html修改Content-Type: application/pdf // PDF文件格式Content-Type: application/x-httpd-php // PHP格式Content-Type:上传后缀名还是.jpg但文件类型改为html上传成功可能会图片后缀解析htmlpayloadContent-Disposition: form-data; name“file”; filename12.pngContent-Type: text/htmlSTStoken覆盖文件导入或者上传的功能点,也是上传过后响应包返回了如下数据,如不知道桶名只能源码慢慢审查,判断是哪个云厂商然后找平台文档找脚本进行应用填入对应的值,还是需要一个包一个包的找泄露Bucket 桶名tmp_secret_keytmp_tokene-------secret_idsecret_key根据文档脚本进行上传文件操作,上传的文件是在根目录下,按理通过脚本填入对应的值,任意上传文件至网站根目录,如知晓 网站其他路径上传即可实现覆盖操作.body为上传的内容☰☰☰是上传过后响应包返回了如下数据,如不知道桶名只能源码慢慢审查,判断是哪个云厂商然后找平台文档找脚本进行应用填入对应的值,还是需要一个包一个包的找泄露Bucket 桶名tmp_secret_keytmp_tokene-------secret_idsecret_key[外链图片转存中…(img-2xh1hURG-1787110918189)]根据文档脚本进行上传文件操作,上传的文件是在根目录下,按理[外链图片转存中…(img-qcb5rVx0-1787110918189)]通过脚本填入对应的值,任意上传文件至网站根目录,如知晓 网站其他路径上传即可实现覆盖操作.body为上传的内容互动话题如果你对网络攻防技术感兴趣想学习更多网安方面的知识和工具可以看看以下题外话题外话黑客/网络安全学习路线今天只要你给我的文章点赞我私藏的网安学习资料一样免费共享给你们来看看有哪些东西。网络安全学习资源分享:下面给大家分享一份2026最新版的网络安全学习路线资料帮助新人小白更系统、更快速的学习黑客技术一、2026最新网络安全学习路线一个明确的学习路线可以帮助新人了解从哪里开始按照什么顺序学习以及需要掌握哪些知识点。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 *安全链接放心点击我们把学习路线分成L1到L4四个阶段一步步带你从入门到进阶从理论到实战。L1级别:网络安全的基础入门L1阶段我们会去了解计算机网络的基础知识以及网络安全在行业的应用和分析学习理解安全基础的核心原理关键技术以及PHP编程基础通过证书考试可以获得NISP/CISP。可就业安全运维工程师、等保测评工程师。L2级别网络安全的技术进阶L2阶段我们会去学习渗透测试包括情报收集、弱口令与口令爆破以及各大类型漏洞还有漏洞挖掘和安全检查项目可参加CISP-PTE证书考试。L3级别网络安全的高阶提升L3阶段我们会去学习反序列漏洞、RCE漏洞也会学习到内网渗透实战、靶场实战和技术提取技术系统学习Python编程和实战。参加CISP-PTE考试。L4级别网络安全的项目实战L4阶段我们会更加深入进行实战训练包括代码审计、应急响应、红蓝对抗以及SRC的挖掘技术。并学习CTF夺旗赛的要点和刷题整个网络安全学习路线L1主要是对计算机网络安全的理论基础的一个学习掌握而L3 L4更多的是通过项目实战来掌握核心技术针对以上网安的学习路线我们也整理了对应的学习视频教程和配套的学习资料。二、技术文档和经典PDF书籍书籍和学习文档资料是学习网络安全过程中必不可少的我自己整理技术文档包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点电子书也有200多本书籍含电子版PDF三、网络安全视频教程对于很多自学或者没有基础的同学来说书籍这些纯文字类的学习教材会觉得比较晦涩难以理解因此我们提供了丰富的网安视频教程以动态、形象的方式展示技术概念帮助你更快、更轻松地掌握核心知识。网上虽然也有很多的学习资源但基本上都残缺不全的这是我自己录的网安视频教程上面路线图的每一个知识点我都有配套的视频讲解。四、网络安全护网行动/CTF比赛学以致用当你的理论知识积累到一定程度就需要通过项目实战在实际操作中检验和巩固你所学到的知识同时为你找工作和职业发展打下坚实的基础。五、网络安全工具包、面试题和源码“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等感兴趣的同学不容错过。面试不仅是技术的较量更需要充分的准备。在你已经掌握了技术之后就需要开始准备面试我们将提供精心整理的网安面试题库涵盖当前面试中可能遇到的各种技术问题让你在面试中游刃有余。如果你是要找网安方面的工作它们绝对能帮你大忙。这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的如果大家有好的题目或者好的见解欢迎分享。参考解析深信服官网、奇安信官网、Freebuf、csdn等内容特点条理清晰含图像化表示更加易懂。内容概要包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 *安全链接放心点击