'# NSSCTF-Web题目19（数据库注入、文件上传、php非法传参）
一、背景与问题
在Web安全领域，注入攻击、文件上传漏洞和非法参数传递是常见的安全威胁。以NSSCTF-Web题目19为例，该题目要求选手通过以下三个关键漏洞完成靶机渗透：
- SQL注入：通过构造恶意输入绕过数据库查询过滤
- 文件上传漏洞：利用服务器对文件类型的不严格校验上传恶意代码
- PHP非法传参：通过参数污染或未过滤的输入触发代码执行
这些漏洞本质上反映了开发人员对输入验证、参数过滤和安全编码的忽视。在实际开发中，这类漏洞可能导致数据泄露、服务器控制甚至业务逻辑破坏。
二、基本原理
1. SQL注入原理
SQL注入通过在用户输入中插入恶意SQL语句，绕过应用层的过滤机制直接操作数据库。典型场景包括：
SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'该语句会绕过密码验证，使用户以管理员身份登录。
2. 文件上传漏洞原理
文件上传漏洞源于服务器未严格校验文件类型。常见防御措施包括：
- 检查文件扩展名（不安全）
- 检查MIME类型（部分有效）
- 使用安全文件存储路径
- 文件内容检测
攻击者可通过构造如shell.php.jpg的文件名，结合Content-Type: application/x-php头实现远程代码执行。
3. PHP非法传参原理
PHP通过全局变量$_GET、$_POST等获取参数。未过滤的输入可能导致：
- 参数污染（如
?id=1&name=admin） - 代码注入（如
eval($_GET['cmd'])） - 路径穿越（如
../../etc/passwd）
三、环境准备
开发环境建议使用：
- PHP 8.1
- MySQL 8.0
- Apache/Nginx
- 本地开发工具：VSCode + Xdebug
创建测试数据库：
CREATE DATABASE security_test;
USE security_test;
CREATE TABLE users (
id INT PRIMARY KEY AUTO_INCREMENT,
username VARCHAR(50),
password VARCHAR(100)
);
INSERT INTO users (username, password) VALUES ('admin', 'admin123');四、核心实现
1. SQL注入漏洞复现
<?php
$conn = new mysqli('localhost', 'root', 'password', 'security_test');
$username = $_GET['username'];
$password = $_GET['password'];
// 不安全的SQL查询
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $conn->query($sql);
if ($result->num_rows > 0) {
echo "登录成功";
} else {
echo "登录失败";
}
?>关键代码分析：
- 直接拼接用户输入到SQL语句中
- 未使用预处理语句
- 未过滤特殊字符
攻击示例：
http://example.com/login.php?username=admin'--&password=123--是SQL注释符，会使得密码验证部分失效。
2. 文件上传漏洞复现
<?php
$upload_dir = 'uploads/';
$allowed_types = ['jpg', 'png', 'gif'];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$file = $_FILES['file'];
$file_name = basename($file['name']);
$file_ext = strtolower(pathinfo($file_name, PATHINFO_EXTENSION));
if (in_array($file_ext, $allowed_types)) {
if (move_uploaded_file($file['tmp_name'], $upload_dir . $file_name)) {
echo "上传成功";
}
}
}
?>漏洞分析：
- 仅检查文件扩展名（可被篡改）
- 未检查文件内容
- 未限制文件大小
攻击示例：
上传文件名shell.php.jpg，内容为：
<?php phpinfo(); ?>通过访问http://example.com/uploads/shell.php.jpg可执行代码。
3. PHP非法传参漏洞复现
<?php
$cmd = $_GET['cmd'] ?? 'ls';
system($cmd);
?>漏洞分析：
- 直接使用用户输入执行系统命令
- 未进行输入过滤
- 可能导致任意命令执行
攻击示例：
http://example.com/execute.php?cmd=; rm -rf /该请求会执行rm -rf /命令，删除整个文件系统。
五、完整案例
案例：模拟靶机环境
创建完整Web应用结构：
├── index.php
├── upload.php
├── login.php
├── config.php
└── uploads/index.php（登录页面）：
<?php
include 'config.php';
?>
<!DOCTYPE html>
<html>
<head><title>登录</title></head>
<body>
<form action="login.php" method="get">
用户名：<input type="text" name="username"><br>
密码：<input type="password" name="password"><br>
<input type="submit" value="登录">
</form>
</body>
</html>login.php（漏洞代码）：
<?php
include 'config.php';
$username = $_GET['username'];
$password = $_GET['password'];
// SQL注入漏洞点
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = $conn->query($sql);
if ($result->num_rows > 0) {
echo "登录成功，进入后台";
echo "<br><a href='upload.php'>上传文件</a>";
} else {
echo "登录失败";
}
?>upload.php（文件上传漏洞）：
<?php
include 'config.php';
$upload_dir = 'uploads/';
$allowed_types = ['jpg', 'png', 'gif'];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$file = $_FILES['file'];
$file_name = basename($file['name']);
$file_ext = strtolower(pathinfo($file_name, PATHINFO_EXTENSION));
if (in_array($file_ext, $allowed_types)) {
if (move_uploaded_file($file['tmp_name'], $upload_dir . $file_name)) {
echo "上传成功";
}
}
}
?>
<!DOCTYPE html>
<html>
<head><title>文件上传</title></head>
<body>
<form action="upload.php" method="post" enctype="multipart/form-data">
<input type="file" name="file">
<input type="submit" value="上传">
</form>
</body>
</html>config.php（数据库连接）：
<?php
$conn = new mysqli('localhost', 'root', 'password', 'security_test');
if ($conn->connect_error) {
die("连接失败: " . $conn->connect_error);
}
?>六、源码解析
1. SQL注入漏洞修复
<?php
$conn = new mysqli('localhost', 'root', 'password', 'security_test');
$username = $_GET['username'];
$password = $_GET['password'];
// 使用预处理语句防止SQL注入
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
echo "登录成功";
} else {
echo "登录失败";
}
?>关键改进：
- 使用
prepare和bind_param分离SQL逻辑和数据 - 防止特殊字符注入
- 更好的性能（预编译语句）
2. 文件上传漏洞修复
<?php
$upload_dir = 'uploads/';
$allowed_types = ['jpg', 'png', 'gif'];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$file = $_FILES['file'];
$file_name = basename($file['name']);
$file_ext = strtolower(pathinfo($file_name, PATHINFO_EXTENSION));
$file_tmp = $file['tmp_name'];
// 白名单验证
if (in_array($file_ext, $allowed_types)) {
// 验证文件内容
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $file_tmp);
finfo_close($finfo);
if (strpos($mime, 'image') === 0) {
// 验证文件大小
if ($file['size'] <= 1024*1024) {
$new_name = uniqid() . '.' . $file_ext;
if (move_uploaded_file($file_tmp, $upload_dir . $new_name)) {
echo "上传成功";
}
}
}
}
}
?>改进点：
- 使用
finfo验证MIME类型 - 限制文件大小
- 使用随机文件名防止覆盖
3. PHP非法传参修复
<?php
$cmd = $_GET['cmd'] ?? 'ls';
$allowed_commands = ['ls', 'whoami', 'pwd'];
if (in_array($cmd, $allowed_commands)) {
system($cmd);
} else {
echo "不允许的命令";
}
?>改进点：
- 限制可执行命令
- 避免使用
eval()等危险函数 - 使用白名单策略
七、进阶使用
1. 安全编码实践
- 使用
filter_var()函数过滤输入 - 使用
htmlspecialchars()转义输出 - 使用
session_regenerate_id()防止会话固定攻击 - 使用
password_hash()存储密码
2. 安全框架推荐
- 使用Symfony的Security组件
- 使用Laravel的Eloquent ORM
- 使用Composer的安全依赖包（如
paragonie/secure_random）
3. 安全测试工具
- 使用OWASP ZAP进行漏洞扫描
- 使用Burp Suite进行渗透测试
- 使用SQLMap进行SQL注入测试
八、性能与工程实践
1. 性能优化
- 使用连接池减少数据库连接开销
- 使用缓存（如Redis）存储高频查询结果
- 使用索引优化查询性能
- 使用异步处理（如消息队列）处理耗时操作
2. 异常处理
try {
$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");
$stmt->bind_param("i", $id);
$stmt->execute();
$result = $stmt->get_result();
} catch (Exception $e) {
error_log("数据库错误: " . $e->getMessage());
echo "系统错误，请稍后重试";
}3. 安全加固
- 配置
php.ini限制文件上传大小（upload_max_filesize） - 使用
allow_url_include设置为Off - 配置
open_basedir限制文件访问路径
九、常见问题与踩坑
1. SQL注入防御误区
错误示例：
$username = addslashes($_GET['username']);问题：addslashes()无法处理所有特殊字符，且容易产生SQL注入漏洞。
正确做法：使用预处理语句。
2. 文件上传漏洞防御误区
错误示例：
if (substr($file_ext, -4) === '.php') {
// 拒绝上传
}问题：攻击者可通过shell.php.jpg绕过检查。
正确做法：使用MIME类型验证+文件内容检测。
3. PHP参数传递漏洞防御误区
错误示例：
$cmd = $_GET['cmd'];
system($cmd);问题：允许任意命令执行。
正确做法：严格限制可执行命令。
十、最佳实践
1. 安全开发原则
- 始终使用预处理语句
- 严格验证所有输入
- 使用白名单策略
- 对所有输出进行转义
- 配置安全头信息（如Content-Security-Policy）
2. 安全编码规范
- 使用
htmlspecialchars()转义HTML输出 - 使用
json_encode()处理JSON数据 - 使用
password_hash()存储密码 - 使用
session_start()管理会话
3. 安全测试建议
- 每次提交代码前进行静态代码分析
- 定期进行渗透测试
- 使用安全审计工具（如SonarQube）
- 配置CI/CD流水线进行安全扫描
十一、总结
NSSCTF-Web题目19展示了Web开发中常见的三大安全漏洞：SQL注入、文件上传漏洞和非法参数传递。这些漏洞本质上反映了开发人员对输入验证、参数过滤和安全编码的忽视。
在实际开发中，应始终遵循以下原则：
- 使用预处理语句防止SQL注入
- 严格校验文件类型和内容
- 限制可执行命令和参数
- 对所有输入进行过滤和转义
- 配置安全头信息和CSP
同时需要注意，某些场景下需要灵活处理输入（如动态查询），但必须通过安全机制来控制风险。在涉及敏感数据或核心业务的系统中，应避免使用容易引发安全问题的开发模式。
通过深入理解这些漏洞的原理和防御方法，开发者可以有效提升系统的安全性，避免因疏忽导致的严重安全事件。