渗透测试1bugku

凌晨两点，渗透我盯着bugku的测试“文件包含”题目页面发呆。那串URL参数像根鱼刺卡在喉咙——?渗透file=后面跟着的路径，明摆着是测试让你读点不该读的东西。试了../../../../etc/passwd，渗透没反应。测试又试了编码绕过，渗透还是测试白屏。最后灵光一闪，渗透把参数改成php://filter/convert.base64-encode/resource=index.php，测试屏幕上终于吐出一段base64乱码。渗透解码后看见源码的测试瞬间，我骂了一句：原来过滤规则就写在注释里。渗透

这就是测试渗透测试的日常——大部分时间在撞墙，偶尔撞开一扇窗。渗透bugku上的题目设计得很贼，它不考你多高深的0day，专挑那些“你以为你懂了”的知识点下手。比如那道SQL注入，明明是个简单的联合查询，偏要加个WAF模拟层。你输入union select就被拦，但换成UNION/**/SELECT就放行。这种细节，实战里没人会告诉你，只能自己拿头去试。

我印象最深的是那道“社工密码”题。题目只给了一个姓名和一个QQ号，让你猜邮箱密码。正常人会去试生日、手机号，但答案藏在那个人的博客里——他写过一篇技术文章，里面提到自己习惯用“root@”加年份做密码。你翻遍社交平台才找到这条线索，然后拼出root@2019，居然真能登录。这题考的不是技术，是观察力。渗透测试里最容易被忽略的，恰恰是这些“人”的痕迹。

有次卡在“命令执行”的题上，试遍了分号、管道符、反引号，全部被过滤。最后抱着开玩笑的心态输入了ls;id，居然弹出了执行结果。原来过滤只针对空格，分号根本没人管。那一刻我明白，很多防御者只防了“已知攻击”，却漏掉了组合变形。就像有人把门锁得很牢，但窗户根本没关。

玩bugku久了，会发现它像一面镜子。每道题都映射出一种真实漏洞：文件上传题对应着服务器配置不当，XSS题对应着前端过滤缺失，反序列化题对应着框架版本老旧。你在靶场里踩过的每个坑，都可能在某次真实授权测试里原样重现。区别在于，靶场有提示，现实没有。

不过说句实话，这平台上的题目难度参差不齐。有的题纯粹是脑筋急转弯，比如把flag藏在图片的EXIF信息里，或者用Unicode编码混淆文件名。这些题对提升实战能力帮助有限，但能训练一种“歪门邪道”的思维——毕竟真实攻击者不会按教科书出牌。

上周我把一道“上传绕过”题刷了五遍，每次用不同方法：改Content-Type、加双扩展名、利用Apache解析漏洞，甚至伪造图片马。最后一遍成功时，看着上传的shell文件，我忽然觉得渗透测试很像解谜游戏——你要在规则边缘试探，找到那个没人定义过的缝隙。而bugku就是让你安全地练习“越界”的地方。

如果你也想试试水，别指望刷完所有题就能当黑客。但至少，它能让你的浏览器地址栏变得不那么老实。那些参数、请求头、Cookie，从此在你眼里不再是黑盒子，而是可以拆开重组的积木。这大概就是渗透测试最迷人的地方——你永远在猜，系统哪里会先眨眼。

本文地址：http://www.79wt.cn/news/1647b0099835.html