Web安全入门与靶场实战（四）

如果你已经看过这个系列的前几课，应该知道它的节奏：不铺开讲大而全的安全理论，而是每次咬住一类漏洞，讲清原理之后直接进靶场练。这一课盯的是两个经常被放在一起考、也经常被一起考倒人的点——文件上传和文件包含。

先说结论：这门课不适合零基础直接上手。你需要至少能看懂 PHP 基本语法，知道 HTTP 请求长什么样，最好还跟着前三课做过几次靶场。满足这些前提，它的性价比才成立。

它解决的是哪个具体场景

文件上传和文件包含，是 CTF 和职业技能大赛里的高频考点，也是真实渗透测试中拿到 WebShell 的常见路径之一。很多人卡住不是因为不会用工具，而是卡在几个判断上：上传被拦截了，到底是前端校验还是后端校验？改扩展名、改 Content-Type、加文件头，哪种能绕过去？包含漏洞里，是本地包含还是远程包含，能不能用伪协议读源码？

这门课就是围绕这些判断展开的。它不会给你一个万能 payload 表，而是把校验逻辑讲清楚，让你自己判断该往哪个方向试。这个思路比背答案慢，但在比赛和实战里更抗变。

学完能独立做什么

• 面对一个上传点，能判断校验发生在哪一层，并有针对性地尝试绕过；
• 识别文件包含漏洞的入口参数，判断包含类型，尝试读取敏感文件或配合上传拿权限；
• 在 VulnHub 靶机里独立走完从信息收集到利用的完整链条，而不是跟着视频点鼠标。

注意第三点。靶场部分是这门课的主要分量，如果你只是看完视频不动手，收获会打折很多。

资料结构和用法

课程给的资料以靶场环境说明和操作演示为主，配合理论讲解。比较合理的用法是：先看理论部分把两类漏洞的成因和常见绕过方式过一遍，然后关掉视频，自己对着靶机做一遍。做不出来的地方再回去查，比一次性刷完所有视频记得牢。

靶场部分建议自己搭环境，不要只依赖现成的虚拟机快照。搭环境的过程中踩的坑，本身就是在理解 Web 服务的运行方式。如果时间紧，至少要把每个靶机的利用思路用自己的话写一遍，能写出来才算真的会了。

哪些人可以先跳过

如果你连 PHP 的变量传递和 include 语句都没用过，建议先把基础补上再来，否则课里的 payload 你只能照抄，遇到变化就不会推。另外，如果你已经能独立完成中等难度的 CTF Web 题，这一课的内容可能偏基础，可以直接看这个系列后面的部分。

作为系列课的第四讲，它的定位很清楚：不追求覆盖面，只把两个漏洞讲透、练熟。对正在备赛或者刚转安全、想找一条能动手的入口的人来说，是值得花时间的。前提是你愿意自己动手，而不是找一个能躺着看完的课。