Linux · Web 安全课堂笔记

CTF · Web 安全课堂笔记

一条命令串起的信息收集课

这堂课从 Linux 指令讲起，走过目录遍历、命令执行、一句话木马、PHP 弱类型比较，最后用源码泄露工具和 Burp 复习收尾。

核心关键词：ls / cd / .. / 命令拼接符 / eval / == / md5 / dirsearch / gitHack

导

先读三句话

◆

看路径先分清 . 当前目录、.. 上级目录，信息往往藏在“多往上一层”。

◆

命令拼接符与 PHP 弱比较是 Web 题的高频入口。

◆

拿到一个“什么接口都没有”的网站，先用 dirsearch 扫目录，再用 gitHack 拉源码。

Linux 命令速记

📂 目录与文件

指令	作用
ls	列出当前目录内容
ls ..	列出上一级目录内容
ls -l	以详细列表显示文件权限、时间等
ls -a	显示全部文件，包括隐藏文件
cd 路径	进入指定目录
cd ..	返回上一级目录
pwd	查看当前所在目录的绝对路径
mkdir	创建单个目录
mkdir -p	递归创建多层目录
cp	复制文件或目录
cat	查看小文件内容

🌱 常用网络测试

ping <目标> # 测试网络连通性
ifconfig # 查看本机 IP
ip addr # 有些系统用这条

相对路径 vs 绝对路径：绝对路径从根目录出发；相对路径依赖当前位置。
例如 Windows 下文件的绝对路径从盘符开始，相对路径则用 ./ 或直接写。

目录遍历：找真正的 Flag

练习环境往往把文件分散在多级目录中。如果发现一层链路上有 fake_flag，不要停，继续往上级目录走。

$ ls
fake_flag.txt
$ cat fake_flag.txt
This is not the real one.
$ cd ..
$ ls
...
$ cat flag.txt

解题思路：反复使用 cd .. + ls + cat，一层一层往回退，直到读到真正的明文 flag。

命令拼接符速查

拼接符	行为说明
\|	管道，把前一条命令的输出项给后面命令处理
&&	前一条执行成功，才执行后一条
\|\|	前一条执行失败，才执行后一条
&	无条件顺序执行；Linux 下也可能让前一条转后台
;	Linux 中无条件顺序执行；Windows 下不一定当作拼接符
换行	结束当前命令、开始一条新命令

实战：安全代码把用户输入拼进系统命令，没有任何过滤时，可控处传入命令拼接符，就可能变成任意代码执行。

PHP 基础语法

变量必以 $ 开头，如 $name
PHP 是弱类型语言，赋值即定义，不需要声明类型
语句必须以 分号 ; 结尾，漏分号会报错
字符串拼接用 点 .，加号 + 只做数字加法
常用输出方式：echo、print

双引号与单引号

双引号会解析变量 "你好 $name"
→ 你好张三

单引号原样输出 '你好 $name'
→ 你好 $name

一句话木马

<?php @eval($_POST['x']); ?>

<?php ... ?> 告诉服务器执行中间 PHP 代码
@ 是错误抑制运算符，可隐藏报错，不是必写项
eval() 把字符串当作 PHP 代码执行，是木马核心
$_POST['x'] 接收外部通过 POST 提交的内容

如果服务器开启短标签，也能写成 <? @eval($_POST['x']); ?>

做选择题时重点看：语句末尾是否有分号、PHP 标签是否完整闭合。@ 不影响木马有效性。

PHP 弱类型与比较绕过

== 与 ===

松散比较 ==只比较值
123 == "123" → true

严格比较 ===值和类型都要求一致
123 === "123" → false

⚠ 常见函数

intval()：从字符串开头读数字，遇到非数字停止；若以非数字开头则返回 0
strcmp()：用于比较字符串，返回值不固定，注意只判断是否等于 0
preg_match()：正则匹配；有没有 ^ 与 $，判定逻辑完全不同

MD5 的 0e 绕过

PHP 在松散比较时，若 MD5 结果以 0e 开头，会把这一串当作科学计数法解释成 0。两个不同的值如果哈希都以 0e 开头，二者用 == 比较就是 true。

$ md5值 0e123456 == 0e654321
两个 0 乘以 10 的幂次，比较结果为真

实战技巧：遇到 md5($_GET['a']) == md5($_GET['b']) 这类条件，优先找两个已知的“0e开头”碰撞字符串。

源码泄露：dirsearch + gitHack

原因：开发者把 .git、备份文件、vim 残留文件等敏感内容留在线上，成为信息收集入口。

🔍 dirsearch

基于 Python 的 Web 目录扫描工具，利用字典向目标发大量请求，碰撞隐藏目录和文件。适合在“看不出任何接口”的网站上寻找新路径。

🔧 gitHack

用于从暴露的 .git 目录中完整下载源码、历史提交记录。找到 .git 泄露后再用它深挖，常常能在旧提交里找到 flag。

dirsearch 扫目录 → 发现 .git → gitHack 拉源码 → 在历史或源码中找 flag

执行要领

要在对应工具所在目录打开命令行，否则找不到模块或依赖
Windows 下一般用 python dirsearch.py -u 网址
Kali 自带工具，直接 dirsearch -u 网址 即可
安装依赖：pip install -r requirements.txt

题目示例：先扫到 phpinfo.php 或隐藏目录，再访问它，页面里 Ctrl+F 搜索 flag。

Burp 复习：四类传参与伪造

抓包 → Send to Repeater → 修改请求方法 → 传参拿 flag

① GET 传参

GET /?name=value HTTP/1.1

② POST 传参

在 Repeater 中右键 → Change Request Method，将请求改为 POST。请求体建议写在空行之后。

POST / HTTP/1.1
Host: 目标

name=value

③ Cookie 追加

Cookie: 已有cookie=xxx; name=value

④ User-Agent 伪造

User-Agent: NSNTF

⑤ X-Forwarded-For 本地访问

X-Forwarded-For: 127.0.0.1

有些 Web 题会判断 User-Agent 和来源 IP。改包时注意：请求头与请求体之间的空行不能丢，否则浏览器可能卡住。

做

行动建议

把 ls、cd ..、cat 练成条件反射，打靶机先看目录结构
遇到代码注入点，先试拼接符：| ; && ||
遇到 PHP 比较绕过，优先想 ==、0e、intval 三种模型
看到 .git 就用 gitHack 拉一遍，flag 也许就藏在历史提交里
抓包题先排顺序：方法 → 路径 → 请求体 → Cookie → UA → XFF

“从一条 ls 开始，走到目录遍历，走到命令执行，再走到源码泄露与抓包。看起来是一串零散知识点，实际上都是“信息收集”的一条完整路径。真 flag 不一定在页面里，也可能在你还没返回的那一层上级目录里。