1. 项目概述被忽视的配置文件与安全风险在渗透测试和安全研究领域我们常常将目光聚焦在那些显眼的目标上Web应用的SQL注入点、服务器的未授权访问端口、脆弱的系统服务。然而真正的威胁往往隐藏在那些最不起眼的角落比如一个名为config.ini、settings.ini或者干脆就叫system~.ini的文件。这些.ini文件作为经典的配置文件格式广泛存在于从桌面应用到服务器后台从游戏客户端到系统工具的各个角落。它们的设计初衷是简单、易读、易编辑但正是这种“简单”在缺乏安全意识的管理员手中可能成为通往系统核心的捷径。我遇到过不止一次这样的情况在一次常规的资产梳理中一个位于Web根目录下的database.ini文件里面明文写着数据库的IP、端口、用户名和密码在一个备份压缩包里找到了包含VPN配置和密钥的vpn_config.ini甚至在一些老旧的管理系统中system.ini里直接硬编码了管理员账户。这些都不是虚构的场景而是真实发生过的安全事件。.ini文件本身不是漏洞但它所承载的信息以及其被存放、访问、处理的方式构成了一个巨大的攻击面。对于渗透测试人员来说理解.ini文件的潜在价值掌握发现和利用它们的方法是内网渗透、权限提升和信息收集中不可或缺的一环。这篇文章我就从一个实战者的角度拆解.ini文件在渗透测试中的各种利用场景、手法和防御思路。2. .ini 文件的核心机制与安全隐患剖析2.1 .ini 文件格式的“简单”与“危险”.ini文件的结构极其简单通常由节Section、键Key和值Value组成。一个典型的例子如下[database] host 192.168.1.100 port 3306 username app_user password MyS3cr3tPssw0rd! db_name production_db [logging] level DEBUG file_path /var/log/app.log这种清晰的结构对人类友好但对攻击者同样友好。其安全隐患根植于几个设计特性明文存储这是最大的原罪。密码、API密钥、连接字符串等敏感信息以纯文本形式躺在那儿一旦文件被读取秘密即告泄露。很多开发者在开发阶段为了图方便将配置硬编码在.ini文件中上线时又忘了移除或加密。宽松的权限在许多部署场景中Web服务器如Apache, Nginx或应用程序运行时如PHP-FPM, Tomcat需要读取这些配置文件。管理员可能会错误地将文件权限设置为全局可读如chmod 644甚至更糟位于Web目录下可直接通过URL访问。缺乏完整性校验.ini文件很容易被篡改。攻击者如果获得了写权限可以修改配置例如将日志级别改为DEBUG以泄露更多信息或者将数据库连接指向一个受控的恶意服务器从而窃取数据或进行中间人攻击。备份与版本控制泄露在备份文件如config.ini.bak,config.ini.old、版本控制系统如.git目录中的历史版本或临时文件如config.ini.swp,~config.ini中经常能找到包含历史敏感信息的.ini文件。system~.ini这个热词很可能就指向了某些编辑器如Vim生成的交换文件或备份文件其中包含了原始system.ini的内容。注意不要以为把.ini文件放在非Web目录就高枕无忧。通过路径遍历漏洞、本地文件包含LFI漏洞、甚至是配置错误的应用程序攻击者依然可能读取到这些文件。2.2 攻击视角下的 .ini 文件价值评估在渗透测试中每发现一个.ini文件都应像发现一个宝箱一样对待。你需要快速评估其潜在价值直接凭证泄露寻找password,pass,pwd,key,secret,token等关键词。这是最直接的收获。基础设施映射host,server,ip,port,url,endpoint等键值可以帮你绘制内网网络拓扑图发现数据库服务器、缓存服务器、消息队列、内部API等关键资产。权限提升线索某些配置可能指向具有更高权限的账户或服务或者包含执行命令的路径如script_path。应用程序行为操控通过修改配置可以开启调试模式、改变日志路径可能触发日志注入、重定向流量等为后续攻击创造条件。供应链攻击跳板如果.ini文件配置了外部依赖库、插件或API的地址篡改它可能将攻击影响扩散到整个系统甚至关联系统。3. 实战中定位与提取 .ini 文件的方法3.1 主动发现扫描与枚举在获得初步立足点如一个Web Shell、一个低权限系统账户后主动寻找.ini文件是信息收集的关键步骤。1. 基于关键词的全局搜索这是最有效的方法之一。在Linux/Unix系统上结合find、grep命令# 查找所有.ini文件 find / -name *.ini -type f 2/dev/null # 查找包含“password”关键词的.ini文件不区分大小写 find / -name *.ini -type f -exec grep -l -i password {} \; 2/dev/null # 在Web目录如/var/www中递归搜索包含敏感信息的文本文件包括.ini find /var/www -type f \( -name *.ini -o -name *.config -o -name *.conf \) -exec grep -l -E (password|passwd|pwd|key|secret|token|host|port|database) {} \; 2/dev/null在Windows系统上可以使用dir和findstr# 在C盘搜索.ini文件 dir C:\*.ini /s /b # 使用PowerShell更强大 Get-ChildItem -Path C:\ -Include *.ini -Recurse -ErrorAction SilentlyContinue | Select-Object FullName2. 常见存放路径检查经验丰富的测试者会直接检查一些“经典”位置Web应用相关网站根目录、/config,/inc,/include,/settings,/data等子目录。特别注意../上级目录可能存在的配置文件。用户主目录~/.config/,~/.appname/下经常有用户的个性化配置。系统及程序目录/etc/(Linux),C:\Windows\,C:\Program Files\,C:\ProgramData\,C:\Users\[用户名]\AppData\。备份与临时目录查找.bak,.old,.swp,~结尾的文件。3. 利用漏洞进行读取当无法直接执行命令时需要借助其他漏洞路径遍历Directory Traversal如果应用存在此类漏洞可以尝试读取../../../../etc/passwd或../../config.ini。本地文件包含LFI终极武器之一。通过LFI漏洞可以直接将.ini文件作为代码或文本包含进来并显示其内容。例如?page../../../config/config.ini。不安全的直接对象引用IDOR某些应用通过参数直接指定配置文件路径如?fileconfig.ini修改参数可能读取其他文件。日志文件泄露有时应用程序错误日志会打印出配置信息包括.ini文件的部分内容。3.2 被动分析流量与内存除了直接找文件还有其他间接方式网络流量嗅探如果应用程序在启动或运行时通过网络传输配置尽管不常见且通信未加密可能捕获到明文配置。内存转储分析在特定场景下如果敏感配置在应用启动后被加载到内存中通过分析进程的内存转储尤其是在Windows系统上有可能提取出相关的字符串信息。这属于高阶技巧通常在内网渗透后期使用。4. 利用 .ini 文件进行渗透的典型场景与案例4.1 场景一从数据库配置到完全沦陷这是最经典的剧本。攻击路径通过目录扫描或漏洞发现http://target.com/inc/db_config.ini可直接访问。文件内容如下[db] hostlocalhost userroot passwordAdmin123 databasecms尝试用root:Admin123连接本地的MySQL服务mysql -h localhost -u root -p。连接成功。由于是root账户拥有最高权限。利用MySQL进行权限提升写入Web Shell如果知道Web绝对路径可以通过SELECT ... INTO OUTFILE写入PHP一句话木马。读取系统文件使用LOAD_FILE()函数读取/etc/passwd、/etc/shadow需权限或其他敏感文件。执行系统命令如果MySQL以root权限运行且配置了secure_file_priv空值或者安装了lib_mysqludf_sys等插件可能直接执行系统命令。实操心得遇到数据库密码不要只想着登录。首先判断数据库类型MySQL、PostgreSQL、MSSQL等然后根据其特性思考利用方式。MySQL的into outfile是Web渗透的常青树但受secure_file_priv参数限制。MSSQL的xp_cmdshell则是内网横向移动的利器。密码复用也值得尝试很多人会在不同服务使用相同密码。4.2 场景二利用配置篡改实现持久化与后门假设你通过某个漏洞获得了对某个.ini文件的写权限可能是Web应用的文件上传漏洞并配合解析漏洞或是通过Web Shell。攻击手法目标应用使用config.ini来定义某些外部脚本或插件的路径。[plugins] update_script /usr/local/bin/legit_update.sh你将其篡改为[plugins] update_script /tmp/evil_update.sh然后你在/tmp/evil_update.sh中写入反向Shell或添加后门用户的命令并赋予执行权限。等待应用执行插件更新逻辑可能是定时任务也可能是某个用户触发的操作你的恶意脚本就会被以应用本身的权限执行。另一种思路日志注入如果.ini文件控制日志路径和级别[logging] level ERROR file /var/log/app/error.log你可以尝试将file修改为/var/www/html/shell.php并将level设置为一个能包含用户输入的模式。如果应用在记录日志时未做过滤且将用户输入记录到了“错误”日志中你就有可能通过发送特定请求将PHP代码写入shell.php文件。不过这种利用条件比较苛刻。4.3 场景三信息拼图与内网横向移动.ini文件很少单独起作用。它通常是信息拼图中的关键一块。案例流程通过LFI漏洞读取到/var/www/html/admin/config.ini发现一个内网Redis配置redis_host172.16.10.5但没有密码。通过已控的Web服务器作为跳板尝试连接172.16.10.5:6379成功。发现Redis以root权限运行且未授权访问。利用Redis未授权访问漏洞向目标服务器写入SSH公钥获取root权限。在新控制的Redis服务器上继续搜索.ini或其他配置文件发现一个jenkins.ini里面包含了Jenkins管理员的API Token。使用该Token访问内网Jenkins服务172.16.10.10:8080获得代码执行权限进一步扩大战果。这个链条展示了.ini文件如何作为“地图”和“钥匙”指引攻击方向并提供进入下一环节的凭证。在内网渗透中这种“低权限信息 - 高权限入口”的跳跃非常常见。5. 针对 .ini 文件的安全防护与加固建议既然攻击者如此关注.ini文件作为防御方我们必须筑好篱笆。5.1 开发与部署阶段的最佳实践永远不要提交敏感配置到版本库使用.gitignore忽略所有配置文件。将config.ini改为config.ini.example里面放置示例或空值真实配置通过其他方式注入。使用环境变量或密钥管理服务这是现代应用部署的黄金标准。将数据库密码、API密钥等存储在服务器的环境变量中或使用专门的密钥管理服务如HashiCorp Vault、AWS Secrets Manager。应用程序从这些地方读取而不是静态文件。如果必须使用文件请加密对配置文件中的敏感值进行加密。应用启动时使用一个主密钥来自环境变量来解密这些值。这样即使文件泄露攻击者也无法直接使用。实施严格的文件权限遵循最小权限原则。配置文件只对运行该应用的用户和用户组可读如chmod 640 config.ini所有者root组为app-runner。绝对禁止Web用户如www-data对配置文件有写权限。将配置文件移出Web可访问目录这是最基本也是最重要的一条。确保Web服务器如Nginx/Apache的文档根目录下没有任何配置文件。通过应用程序内部的绝对路径来引用它们。5.2 运维与安全监控策略定期进行配置审计使用脚本或安全工具如lynis,OpenSCAP定期扫描服务器查找权限不当的.ini文件、包含敏感关键词的文本文件以及Web目录下的配置文件。部署文件完整性监控FIM使用工具如AIDE, Tripwire, Wazuh监控关键配置文件包括.ini的哈希值变化。任何未授权的修改都会触发告警。强化Web服务器配置在Nginx/Apache中显式禁止对常见配置文件的访问。Nginx示例location ~* \.(ini|conf|config|bak|old|swp)$ { deny all; return 404; }Apache示例在.htaccess或主配置中FilesMatch \.(ini|conf|config|bak|old|swp)$ Require all denied /FilesMatch安全意识培训让开发人员和运维人员充分认识到配置文件泄露的风险。在代码审查中将硬编码凭证和不当的配置文件处理列为高危问题。6. 渗透测试中的工具与自动化技巧手动寻找和利用.ini文件效率低下。在实际渗透中尤其是时间有限的授权测试中自动化是关键。6.1 常用工具集目录/文件扫描器gobuster,dirsearch,ffuf。用于快速发现Web路径下可能存在的config.ini,db.ini,settings.ini等文件。ffuf -u http://target.com/FUZZ -w /path/to/wordlist.txt -e .ini,.bak,.old,.swp内容扫描与敏感信息发现grep是基本功但更高效的是使用专门工具。ripgrep (rg)速度极快的代码搜索工具可用于在文件系统中快速搜索密码模式。rg -i password\s*\s*[\]?[\w!#$%^*]{6,}[\]? --type-add config:*.{ini,conf,config} -t config /path/to/searchtruffleHog/Gitleaks主要用于扫描Git仓库历史中的敏感信息但也可以用于扫描目录能识别出各种格式的API密钥、令牌等。静态应用安全测试SAST像Semgrep,Bandit(Python) 这样的工具可以在源代码层面检测出硬编码的凭证和不安全的配置文件引用模式。综合渗透测试框架Metasploit和Cobalt Strike的某些模块或插件可以辅助进行信息收集和后渗透但其对.ini文件的针对性不如专用脚本。6.2 编写自定义的自动化脚本最灵活的方式是根据目标环境编写小脚本。以下是一个Python脚本示例用于在获得Shell后快速收集可能的配置文件信息#!/usr/bin/env python3 import os import re import json from pathlib import Path def find_sensitive_configs(start_path, output_fileconfig_findings.json): findings [] sensitive_patterns [ rpassword\s*[:]\s*[\]?([^\\s]), rpasswd\s*[:]\s*[\]?([^\\s]), rpwd\s*[:]\s*[\]?([^\\s]), rsecret\s*[:]\s*[\]?([^\\s]), rkey\s*[:]\s*[\]?([^\\s]), rtoken\s*[:]\s*[\]?([^\\s]), rhost\s*[:]\s*[\]?([\d\.]|[\w\.\-]), rport\s*[:]\s*(\d), rdatabase\s*[:]\s*[\]?([^\\s]), ] compiled_patterns [re.compile(p, re.IGNORECASE) for p in sensitive_patterns] # 常见配置文件扩展名和名称 config_exts {.ini, .conf, .config, .cfg, .properties} config_names {config, settings, database, application, secrets} for root, dirs, files in os.walk(start_path): # 跳过一些明显无关的大目录提升速度 dirs[:] [d for d in dirs if d not in {.git, node_modules, __pycache__, .idea}] for file in files: filepath Path(root) / file # 基于扩展名或文件名判断是否是配置文件 if filepath.suffix.lower() in config_exts or any(name in filepath.stem.lower() for name in config_names): try: with open(filepath, r, errorsignore) as f: content f.read() file_findings {file: str(filepath), matches: []} for pattern in compiled_patterns: for match in pattern.finditer(content): # 简单过滤掉一些明显是示例的值 if match.group(1) and not any(ex in match.group(1).lower() for ex in [example, changeme, your_, , ]): file_findings[matches].append({ type: pattern.pattern[:20], value: match.group(1) }) if file_findings[matches]: findings.append(file_findings) except (IOError, PermissionError): pass with open(output_file, w) as f: json.dump(findings, f, indent2) print(f[] 扫描完成结果已保存至 {output_file}) return findings if __name__ __main__: # 可以根据实际情况修改起始路径如 /var/www, /etc, C:\\ start_path input(请输入要扫描的起始路径 (默认为当前目录): ).strip() or . find_sensitive_configs(start_path)这个脚本会递归扫描目录寻找常见的配置文件并匹配其中的敏感模式。将结果输出为JSON格式便于后续分析。在实际使用中你需要根据目标系统的具体环境Linux/Windows调整路径和模式。7. 防御对抗与高级利用思路高水平的防御者会设置陷阱而高水平的攻击者则会尝试绕过。7.1 对抗配置监控与诱饵文件防御方可能会部署文件完整性监控或诱饵文件Honeytokens。作为攻击者避免不必要的修改如果只是读取配置尽量不要修改原文件。如果需要修改以实现持久化考虑创建新的、隐蔽的配置文件并修改应用程序的加载逻辑如果可能而不是直接修改被监控的原始文件。识别诱饵一些.ini文件可能看起来充满诱惑如root:toor的数据库密码但实际连接后却发现是隔离的蜜罐系统。在利用前先进行简单的网络探测和连接测试观察响应是否异常。时间差攻击如果监控是定期扫描而非实时监控可以在扫描间隔期内进行快速读取和利用。7.2 .ini 文件与供应链攻击在针对软件开发公司或开源项目的攻击中.ini文件可能有另一种利用方式。如果攻击者能够污染项目的依赖如通过篡改Git子模块、npm/pypi包他们可以在包的安装或初始化脚本中在用户系统上创建或修改.ini文件。例如一个被篡改的Python库的setup.py可能会在用户不知情的情况下向系统的某个全局配置文件写入恶意配置。这种攻击影响面广且难以察觉。防御此类攻击需要开发者和用户都提高警惕使用可信源、检查依赖完整性签名、在沙箱或隔离环境中运行不可信代码。.ini文件这个看似古老简单的配置载体在现代渗透测试的攻防战场上依然扮演着重要角色。它像一面镜子映照出开发与运维过程中对安全细节的忽视程度。对于攻击者它是通往宝藏的线索和钥匙对于防御者它是必须严加看管的门户。真正的安全就藏在这些不起眼的细节处理之中。每次看到项目里那个明晃晃的config.ini我都会习惯性地问一句“这里的秘密真的安全吗”