1. Pikachu靶场：Web安全攻防的绝佳训练场
第一次接触Pikachu靶场时，我就被它丰富的漏洞场景吸引了。这个开源的Web漏洞演练平台，简直就是安全新手的宝藏。不同于那些复杂的商业靶场，Pikachu用最简单的界面还原了最常见的Web漏洞，从基础的暴力破解到高级的SSRF，每个漏洞类型都有对应的实战场景。
记得我刚开始学习Web安全时，最大的困扰就是找不到合适的练习环境。直到遇到Pikachu，它就像个耐心的教练，把每个漏洞的利用过程都拆解得清清楚楚。比如在暴力破解模块，你能看到没有验证码的表单、服务端验证码绕过、客户端验证码绕过等不同场景，这种渐进式的设计特别适合新手建立系统性认知。
搭建Pikachu靶场也很简单，基本上就是PHP+MySQL的环境需求。我在本地用XAMPP一键部署，十分钟就搞定了。靶场自带的漏洞说明文档很贴心，每个漏洞点都有对应的源码路径，方便我们边操作边学习。建议初学者先通读一遍/vul目录下的源码，这对理解漏洞成因特别有帮助。
2. 暴力破解实战：从入门到进阶
2.1 基础表单爆破的艺术
最简单的暴力破解场景往往最能体现问题本质。在Pikachu的"基于表单的暴力破解"环节，我直接用Burp Suite演示了完整流程。首先拦截登录请求，发送到Intruder模块，选择Sniper攻击模式。关键技巧是设置"返回长度"作为判断依据——当返回长度与其他尝试明显不同时，很可能就是正确的凭证。
实测中发现admin/123456这个组合特别典型，很多新手教程都会用这个弱口令。这提醒我们：开发中必须强制使用复杂密码。源码分析更让人警醒：bf_form.php文件中连最基本的失败次数限制都没有，这种代码在生产环境绝对是大忌。
2.2 验证码绕过的两种姿势
服务端验证码绕过那个案例特别有意思。我原本以为有验证码就安全了，但Pikachu展示了常见的实现错误：验证通过后没有及时销毁session中的验证码值。通过Burp重放攻击，可以重复使用同一个验证码进行爆破。这让我想起某次真实渗透测试，就靠这个漏洞拿下了客户系统。
客户端验证码就更离谱了——完全由前端JS生成，根本不到达服务端。F12修改maxlength属性绕过长度限制后，直接置空vcode参数就能爆破。这种设计失误在早期网站中很常见，现在虽然少了，但移动端应用里仍时有出现。
2.3 Token防爆破的攻防博弈
带Token防护的表单最有挑战性。我最初尝试重放攻击时屡屡失败，直到发现页面隐藏的token字段。Burp的Pitchfork模式在这里大显身手：设置密码字典和token递归抓取两个参数，配合单线程防止并发问题。关键是要用正则表达式自动提取token，这个技巧在API安全测试中也很有用。
分析bf_token.php源码时，我注意到开发者虽然实现了token机制，但没考虑加锁处理。在高并发场景下，仍可能出现token竞争问题。这提醒我们：安全防护必须考虑完整生命周期，任何环节的疏忽都会导致前功尽弃。
3. XSS攻击全景：从弹窗到实战
3.1 反射型XSS的七十二变
GET型反射XSS那个案例太经典了。我演示了如何用F12开发者工具突破20字符限制，插入经典的。这种漏洞在搜索框、错误消息页面很常见。源码xss_reflected_get.php展示的罪魁祸首就是毫无过滤的echo $_GET['message']。
POST型XSS则需要先登录，这模拟了后台系统的常见场景。有趣的是，很多开发者认为POST请求就更安全，这完全是误解。只要数据最终会反映到页面上，无论GET还是POST都存在XSS风险。我在审计某CMS时，就发现过管理员后台的POST型XSS，危害反而更大。
3.2 存储型XSS的持久威胁
存储型XSS案例让我印象深刻。插入后，每个访问页面的用户都会中招。查看xss_stored.php源码发现，问题出在直接将用户输入存入数据库又原样输出。这提醒我们：入库过滤和输出转义缺一不可，特别是富文本内容要使用白名单过滤。
某次真实渗透中，我通过留言板的存储XSS拿到了管理员cookie。更可怕的是，这种漏洞可能潜伏很久才被发现。建议开发者除了转义外，还要设置Content Security Policy(CSP)作为最后防线。
3.3 DOM型XSS的隐秘角落
DOM型XSS往往最难发现。Pikachu案例中，javascript:伪协议触发漏洞的方式很巧妙。这种不经过服务端的XSS，传统WAF很难防御。我在测试某SPA应用时，就发现过通过location.hash触发的DOM XSS，连Burp都抓不到请求。
进阶案例展示了HTML特殊字符过滤的绕过技巧。当输出点在HTML属性时，单引号可能成为突破口。这告诉我们：安全防护必须考虑具体上下文，通用的htmlspecialchars()并不总是可靠。
4. SQL注入：从手工注入到自动化
4.1 数字型注入的攻防细节
数字型注入案例展示了完整的注入流程。通过2-1=1的运算测试确认注入点后，我用order by确定字段数，union select获取数据库信息。关键技巧是用-1使前查询不返回结果，让union结果显示出来。获取表名那段payload特别实用：
id=-1 union select user(),group_concat(table_name) from information_schema.tables where table_schema=database()-- -但要注意，早期教程常忽略schema限定，导致查询结果不准确。我后来加上的table_schema="pikachu"条件才是规范写法。这种细节差异正是手工注入的价值所在——自动化工具可能忽略的，正是突破点。
4.2 字符型注入的变种技巧
字符型注入需要处理引号闭合问题。Pikachu案例中的vince' and 1=1-- -是经典payload。我特别演示了注释符(-- )后保留空格的重要性，某些场景下缺少空格会导致语法错误。搜索型注入的allen%' and 1=1-- -则展示了模糊查询场景的注入方式。
最有趣的是XX型注入，需要猜测闭合方式。通过错误信息判断出是(vince')这种形式后，才能构造有效payload。这提醒我们：错误信息泄露是SQL注入的帮凶，生产环境必须关闭详细错误回显。
4.3 自动化注入的利与弊
虽然手工注入有助于理解原理，但实战中还是sqlmap更高效。我演示了如何用-r参数加载Burp抓包文件进行自动化检测。但要特别注意：自动化工具可能触发业务异常，测试前务必做好备份。某次我使用sqlmap的--os-shell参数时，就意外删除了测试环境的关键表。
建议新手先掌握手工注入，再过渡到工具辅助。理解原理后，你会更清楚如何调整sqlmap的参数，比如--level和--risk的设置，以及--tamper脚本的使用场景。
5. 进阶漏洞实战：SSRF与文件处理
5.1 SSRF的两种实现方式
SSRF(curl)案例展示了如何利用外部网络访问能力。通过修改url参数，可以探测内网服务。更危险的是file_get_contents实现的SSRF，能结合php://filter协议读取本地文件。我在测试某云服务时，就曾通过类似的漏洞获取到元数据服务的敏感信息。
防御SSRF需要多管齐下：校验目标URL、禁用危险协议、设置访问白名单。但最根本的，是要避免将用户输入直接作为网络请求参数。我见过有系统通过中间层代理来解决这个问题，既满足业务需求又保证了安全。
5.2 文件包含的蝴蝶效应
本地文件包含(LFI)那个案例很有教育意义。通过../../../穿越目录，配合日志注入等手段，往往能升级为代码执行。我演示了如何包含access.log文件，然后通过User-Agent注入PHP代码的技巧。这种攻击链在老旧系统中仍然有效。
远程文件包含(RFI)现在相对少见，因为现代PHP默认关闭allow_url_include。但我在某次审计中还是发现过通过SMB协议触发的RFI案例，证明这个漏洞并未完全消亡。开发者要记住：永远不要动态包含用户可控的文件路径。
5.3 文件上传的攻防演进
客户端校验绕过那个案例展示了前端安全的不可靠性。通过Burp修改文件扩展名，就能上传PHP脚本。MIME校验的案例则说明：不能仅靠Content-Type判断文件类型。最隐蔽的是getimagesize绕过，我在图片末尾嵌入PHP代码后，依然能通过图像校验。
防御文件上传漏洞需要多层防护：文件重命名、二次渲染、权限控制缺一不可。某次代码审计中，我发现开发者虽然做了扩展名检查，但忘记设置upload目录的PHP执行权限，导致上传的图片马能被解析执行。
6. 权限控制与信息泄露
水平越权案例中，通过修改username参数就能查看他人信息，这种漏洞在社交类应用很危险。垂直越权更严重——普通用户竟能访问管理员接口。我演示了如何通过Burp拦截请求，修改用户身份标识进行越权操作。
敏感信息泄露往往是最容易被忽视的风险。Pikachu案例简单展示了源码注释泄露凭证的情况。实战中，我经常通过.git目录泄露、备份文件下载等方式获取敏感信息。建议开发者在发布前彻底清理调试信息，并配置服务器禁止访问隐藏目录。
7. 其他常见漏洞剖析
PHP反序列化漏洞展示了对象注入的危险性。通过构造特殊的序列化字符串，可以触发类的魔术方法执行恶意代码。XXE漏洞则提醒我们：XML解析器默认可能很危险，必须禁用外部实体引用。
URL重定向漏洞常被用于钓鱼攻击。虽然看起来危害不大，但结合社会工程学可能造成严重后果。我在测试某电商网站时，就发现过通过重定向漏洞构造的"高仿"登录页面。
8. 防御体系构建建议
经过Pikachu靶场的完整演练，我总结了几点防御经验：输入验证要遵循"白名单"原则，输出编码要考虑上下文环境，敏感操作必须二次验证。对于业务逻辑漏洞，代码审计比自动化扫描更有效。
某次真实项目中的教训让我记忆犹新：虽然每个单独防护都做了，但缺乏纵深防御体系。攻击者通过组合多个低危漏洞，最终实现了系统入侵。这提醒我们：安全是个系统工程，不能只关注单个漏洞的修复。
