1. 项目背景与“Web高手进阶区”的含义看到“攻防世界(web高手进阶区)——21~31题”这个标题熟悉的人大概已经知道这是从入门走向进阶的一套连续性挑战了。攻防世界平台上把Web题目按难度划成几个区当你能稳定刷到“高手进阶区”说明你不再满足于简单的查看源码、改参数而是开始面对需要综合运用知识、层层绕过防护的真实场景。21到31题这个区间恰好是难度爬坡比较明显的一段题目不再只考单一漏洞而是会把信息收集、代码审计、逻辑漏洞、编码绕过、上下文依赖等元素揉在一起有些题甚至需要写脚本辅助爆破或处理会话状态。“攻防世界”这类平台的核心价值不是让你背payload而是逼着你建立一种“拿flag”的思维目标是一个Web服务你手上只有浏览器和一些基础工具怎么一步步摸清入口、找到注入点、理解服务端逻辑、绕过过滤、最终拿到服务器上的敏感信息。比起纯粹看漏洞文档刷题的最大好处是每个漏洞类型都给你一个“咬合点”——你必须实际跟服务端程序打交道它不会告诉你哪里有参数更不会告诉你它过滤了什么一切都得自己试。适合刷这段题的人大概已经会基础的HTTP请求、Cookie和Session概念知道SQL注入是什么也见过XSS弹窗但还不太清楚怎么把多个技术串起来。这篇文章不会替你把每道题的答案念出来而是以21到31这类题目的常见套路为素材拆解一套通用的破题方法怎么读源码、怎么探测过滤规则、怎么判断应该写脚本而不是手测、怎么在卡住的时候找到下一步线索。这些思路比单独一题的解法更耐用刷完这一区再去碰其他平台的同类题目会发现套路是相通的。2. 挑战之前的工具箱准备2.1 浏览器开发者工具不只是看网络请求很多人刷题习惯一上来就点开F12看Network但真正会看的人不多。拿21到31这组题来说你至少应该关注这几个面板Network面板看所有请求与响应头和Cookie尤其注意Set-Cookie、重定向链、静态资源路径。有些题会把flag藏在响应头里或者藏在重定向后的页面里光看初始响应根本发现不了。Sources面板如果题目允许查看JS文件直接格式化源码搜索关键字如“flag”、“admin”、“token”、“secret”。很多时候服务端逻辑的前端校验、隐藏路由、加密函数都在JS里。Console面板手动触发一些接口后控制台报错信息往往会暴露后端框架名、版本、报错堆栈这些都是判断漏洞类型的线索。开发者工具不是看一眼就完事的你得习惯用它发起修改过的请求。在Network面板里右键一个请求可以选中“Copy as cURL”然后放到命令行里改参数再发这比在浏览器地址栏里手改URL要稳得多特别是请求头里有Cookie、Token的时候。2.2 交互代理工具是必入手如果你刷到21题还不会用Burp Suite这类交互代理该补课了。Burp Suite的核心用途不是扫描而是截获请求、修改请求、重放请求。我给一个最小但够用的配置路径设置Burp代理监听127.0.0.1:8080浏览器走这个代理。安装浏览器代理插件方便一键切换代理开关。把Burp的CA证书导入浏览器信任列表不然HTTPS流量会被拦截警告。在HTTP History里翻看所有请求按域名过滤找出没被浏览器渲染但是实际发出的后台请求。刷Web题时我基本不开启Burp的Active Scan扫描因为CTF题目多是小体量的自定义逻辑漏洞点很明确扫描器反而会淹没你的注意力。手动改包才是关键。2.3 写脚本的底气来自哪里21到31题里有不少题需要你写几行Python脚本去遍历参数、爆破哈希或者处理竞态条件。很多人一提写脚本就头疼其实你要用到的能力很窄能组装一个HTTP请求处理携带Cookie的会话。能解析服务端返回的JSON或简单HTML。能写循环控制并发或者延时发送。我常用的是Python标准库加requests库在没有安装requests的靶机环境里就用urllib。遇到需要处理加密算法或哈希的情况用hashlib解密常见格式MD5、SHA1用base64处理编码。写脚本不是为了炫技是为了替代手工作业比如逐个尝试几万个用户名密码组合手点根本不可能。3. Web高手进阶区常见漏洞类型的底层逻辑3.1 SQL注入与过滤绕过的关系21到31题里SQL注入题不会像入门区那样直接加单引号就报错它们通常会有字符或关键字过滤。这类题的突破口是搞清楚“过滤的方式”是直接替换还是正则匹配是匹配关键字还是匹配完整单词过滤之后执行的位置是拼进SQL还是进入了预处理语句。我做一个简单的类比SQL注入的本质是服务端把用户输入当成了SQL代码而不是数据。过滤规则的作用是想把输入限制成一个安全字符串但过滤逻辑本身也是有缺陷的。比如过滤空格你可以用注释符/**/替代过滤关键字select你可以尝试注释拆分sel/**/ect。前提是你先要确认过滤存在不然一顿操作全白费。判断过滤规则有一个简单的探测方法输入一组包含敏感词和特殊符号的字符串观察响应差异。比如、、and、or、select、update、sleep等等挨个试。差异会告诉你哪些被拦、哪些放行。我见过最快的破题方式就是先用Burp Intruder把常见关键字列表跑一遍看返回长度差异几秒就能定位过滤点。3.2 文件包含与上传的边界问题文件包含File Inclusion在进阶题里出现频率很高常见类型是本地文件包含LFI和远程文件包含RFI。这类题的深层逻辑是服务端需要根据用户参数去读取或加载一个文件路径但没有严格校验路径范围。碰到疑似文件包含的题先测基础读取例如尝试?page../../etc/passwd或者?filephp://filter/convert.base64-encode/resourceindex.php前者看是否存在目录穿越后者用于读取PHP源码。只要读到源码后边几乎所有逻辑都明朗了。这里有个实战心得很多题目服务端会把文件路径拼成类似include(./pages/ . $_GET[page] . .php)这种结构让你没法直接读.php文件因为拼接后变成双后缀。此时可以使用php://filter配合截断或者data://协议伪造内容在实际刷题中php://filter的优先级最高因为它不依赖远程访问权限只要求服务端支持PHP流包装器。3.3 反序列化漏洞不是只能靠工具链PHP和Java反序列化在21到31题里出现过不止一次。这类题通常会给出一段源码或者.class文件你需要自己构造一个序列化对象去触发服务端的魔法方法。理解反序列化要从“对象是怎么被还原的”说起序列化是把对象状态存成字符串反序列化是按字符串重建对象。如果服务端接收用户传入的序列化数据并且不校验类名和属性攻击者就能构造一个包含恶意属性值的对象在对象销毁或调用特定方法时执行动作。刷题时最笨但最有效的方法是把源码里每一个__construct、__destruct、__toString、__wakeup都标出来理清哪个方法会在反序列化时自动触发哪个方法会调用可控属性上的方法。源码量不大耐心读一遍远胜过去网上抄利用链。3.4 SSRF与请求走私的相通点服务端请求伪造SSRF在进阶区是高频考点它的本质是服务端发起了用户可控URL的请求。你可以让服务端请求内网地址比如http://127.0.0.1:8080/访问到不应该暴露的端口或内部接口。SSRF的题目有个特点经常需要结合后端其他漏洞使用。比如你先发现一个接口能请求任意URL但返回内容被拼进某个页面此时可以利用这个能力去读file:///etc/passwd、去探测内网端口甚至去访问云服务元数据。按我自己的经验SSRF题里最耗时间的不是构造请求而是确定内网网段和端口范围这时候写一个简单的端口探测脚本比手工快得多。Web请求走私在进阶区出现得少一些但思路跟SSRF很像都是利用服务端对HTTP请求解析的差异来触发意外行为。遇到这类题先观察前端代理和后端服务器之间的版本差异然后手工调整HTTP协议里的Content-Length与Transfer-Encoding值。4. 实战流程从信息收集到夺取目标内容的通用链条4.1 信息收集阶段页面、源码、响应头拿到一道题第一件事一定不是去测漏洞而是把目标“摸清楚”。我会按下面顺序记录页面有哪些输入入口搜索框、登录表单、URL参数、接口路径。页面上是否存在源码注释、隐藏元素、JS文件。响应头中是否暴露服务器类型和版本比如Server: nginx/1.18.0、X-Powered-By: PHP/7.4。是否存在robots.txt、sitemap.xml、backup.zip、.git目录等敏感文件。信息收集的质量直接决定后面漏洞挖掘的效率。有时候你什么都不用绕直接访问/flag.php就拿到了反而花半天去试SQL注入。这类情况在21到31题里并不罕见出题人故意把弱点放在容易被忽略的静态资源上面。这里分享一个我自己常用的琐碎但高效的习惯把每次请求的响应全部存成文件而不是盯着浏览器看渲染结果。很多信息在渲染后看不出来比如隐藏的HTML注释、多余的表单字段、JS变量里的配置值只有看原始响应才可靠。4.2 漏洞探测阶段先确认点再确认型信息收完后你手上应该有一个“潜在可疑点”列表接下来逐个确认。确认不是直接上大payload而是先用温和的测试判断该点是否是漏洞点、属于什么类型。拿一个URL参数举例先输入test看正常返回输入test看报错与否输入test%27看是否解码差异。如果请求参数名类似id、page、file优先怀疑文件包含、注入如果参数名类似url、target、redirect优先怀疑SSRF、跳转如果参数名类似data、obj、payload优先怀疑反序列化。这个阶段的判断逻辑有两条线直接反映型输入内容直接出现在响应页面里可能存在XSS或者注入。如果你输入abcd在页面源码里能看到abcd那说明输出点可控。间接反映型输入内容触发服务端行为但不直接体现在响应里比如触发了数据库查询、调用了外部URL、写入文件。这类点往往要靠时序、响应差异或二次请求来验证。4.3 利用阶段从能打到能拿当你确认了一个漏洞点下一步不是立刻想拿flag而是想清楚这个漏洞能带给你什么。同样一个SQL注入有些场景只能报错有些场景拼接字段有些场景时间盲注利用方式完全不一样。你先要判断数据库类型和查询语句结构然后决定是否适合用联合查询、是否能用报错注入、是否需要中途写到盲注脚本。在进阶题目中利用阶段最怕“一步到位”的心理。很多题目设计成多步逻辑你注入读到一个表表里存了另一个接口的地址访问那个接口拿到一个密钥用密钥去解码一段密文才最终拼出flag。如果你只盯着把当前注入点打通而不去想“服务端的整体业务逻辑”很容易卡住。我习惯把整个利用链画在纸上入口参数 - 触发漏洞 - 获取数据 - 数据格式 - 下一步入口。画出来之后你就会发现每个步骤都只是链条上的一环而这条链才是出题人真正想考的东西。4.4 自动化与手动操作的分工写脚本和手工操作不是二选一而是互补的。我的分工原则是探测阶段用手工小范围改几个值观察响应差异因为自动化脚本在这个阶段容易漏掉语义层面的线索。遍历阶段用脚本一旦确定某个参数是可控的且需要尝试大量值立刻写代码。比如用户名枚举、字典爆破、hash碰撞。盲注/盲打用脚本基于时间或布尔差异的注入手工看几十次响应毫无意义写个脚本循环发送并判断结果反而是最快的。有个常见误区是题目稍复杂就想着写个全自动脚本从发请求到拿flag一条龙。实际刷题不是写自动化渗透框架脚本只是辅助你思考的工具核心判断永远在你自己脑子里。5. 常见卡点与排查速查表5.1 拉通21到31题最常见的九个问题我在刷进阶题时遇到过很多次下面这些情况几乎每项都可以直接当成排查清单现象可能原因排查思路输入单引号页面变为空白PHP报错被屏蔽或逻辑中断尝试注释符号--或%23看看能否闭合后续语句关键字被替换成空字符串过滤规则是replace型而不是正则匹配型试试双写selselectect看是否过滤后拼成合法关键字页面源码出现大段urlencoded字符可能存在二次解码漏洞对参数进行双重URL编码再发请求响应头里的Cookie是乱码可能是加密的会话状态尝试解码base64看是否包含用户身份信息请求一个URL后响应永远为空可能存在SSRF但返回不渲染让URL指向自己的可控记录平台验证是否有外带请求上传普通图片成功上传带后代码的图片失败存在后缀或内容校验尝试图片马配合文件包含漏洞或修改Content-TypePHP反序列化题目不知道从哪里开始没有识别出serialize和unserialize的位置全局搜索源码中$_GET、$_POST变量赋值的对象登录表单无限重定向存在鉴权中间件逻辑漏洞手工修改Cookie字段或增加预设请求头一个接口需要特定请求方法才能访问路由限制方法但未限制来源尝试用X-Forwarded-For、X-Originating-IP头绕过5.2 源头排查技巧把自己当成服务端程序每次卡住我都会强制自己沿着“服务端怎么处理这个输入”的路径走一遍。比如输入参数是id那我先假设服务端代码可能是$id $_GET[id]; $sql select * from users where id $id那我的输入就会直接拼进SQL。但如果服务端代码是$id intval($_GET[id]);那所有基于字符串的注入都无效只能考虑整型溢出或别的点。当你不知道服务端如何实现时最好的办法就是设计“对照实验”。发送一组仅在边界条件上有变化的请求看哪些变量引起响应差异。比如分别提交id1和id2看返回数据是否不同判断参数是否被用于查询。提交id1 and 11和id1 and 12看是否返回不同页面判断是否存在布尔盲注。提交超长字符串看响应是否报错判断是否存在长度限制或输入校验。这种对照实验能让你像剥洋葱一样一层层剥开服务端逻辑。碰到响应差异不明显的题优先怀疑输出被过滤或服务端做了默认异常处理此时可以改用时间盲注或外带流量通道。5.3 提升破题效率的三个习惯从21到31题这段刷下来我发现三个习惯对效率提升帮助最大第一个习惯是每条请求都记录理由。我会在笔记中记下“为什么发这条请求”而不是只记“发了什么”。这个习惯能避免我在无效路径上反复试。比如上次已经确认了参数page存在文件包含我就不会再去测同一个参数的SQL注入而是直接把精力放在构造文件读取链上。第二个习惯是看到源码先画数据流。不管题目给的是PHP、Python还是Java源码我先标出用户可控数据从哪里进入经过哪些函数最终可能触发哪些危险操作。画完数据流常常能一眼看出不该暴露的“隐藏接口”或者“默认口令”。第三个习惯是留出时间想而不是赶时间试。在进阶区一顿乱试往往比不试更浪费时间。每五分钟停一次问自己三个问题目前我掌握了什么线索这些线索指向哪种漏洞下一步最有可能成功的动作是什么如果回答不上来就回去翻源码或重看请求历史。6. 延长线刷完21~31题之后往哪走说点仅代表个人体会的话。进阶区的题目不只是为了一道flag它更像是一次“Web安全问题全景扫描”。21到31题覆盖的知识点并不会完全重叠往往README式的题号背后藏着一整套漏洞组合。刷到这里你应该已经明显感觉到自己和入门时的区别看到参数首先想的是“服务端拿到这个参数后会做什么”而不是“payload该是哪一句”。如果这一组题目刷完建议做三件事。第一件是往回重看前20题你会发现自己能找到入门时忽略的隐藏线索。第二件是把每道题的利用链条整理成自己的模板比如SQL注入的通用探测流程、SSRF的端口探测脚本、反序列化的源码审计清单。第三件是找一个同样在做CTF的同伴互相给对方出一道模拟题出题过程最能暴露你对漏洞本质的掌握程度。所谓“高手进阶”不是因为你会背更多payload而是因为你心里有了一张地图知道常见Web漏洞长什么样、知道怎么探测、知道卡住时往哪里钻。这张地图是刷题刷出来的也都是踩坑踩出来的。接下来如果你要继续往更高难度的题走还要补充更多内网渗透、前端加密逆向、服务端模板注入的知识但基础的地图已经在21到31题这里成型了。保持记录和复盘的节奏你能在复杂题目面前越来越从容。
