当前位置：首页 > news >正文

从零搭建Pikachu靶场：深入实战越权漏洞原理与防御

news 2026/6/21 18:03:39

1. 项目概述：为什么我们需要一个越权漏洞靶场？

在网络安全领域，尤其是Web应用安全方向，理论学习和实战演练之间往往隔着一道巨大的鸿沟。很多朋友啃完了厚厚的安全书籍，背熟了各种漏洞原理，但一面对真实的网站或复杂的测试环境，依然感觉无从下手。这种感觉我太熟悉了，十多年前我刚入行时也是如此。那时，直接拿互联网上的真实站点练手是绝对禁止且违法的，而自己从头搭建一个包含漏洞的Web应用，又涉及复杂的编码、环境配置，门槛太高。

这时，“靶场”的价值就凸显出来了。你可以把它理解为一个专为安全人员设计的“训练场”或“实验室”。它预先构建了一个或多个存在已知安全漏洞的模拟环境，让你可以在一个合法、可控、无风险的环境中进行攻击和防御技术的实践。而“越权漏洞”（Broken Access Control），作为OWASP Top 10榜单上的常客，更是业务逻辑安全的重灾区。它不像SQL注入或XSS那样有相对固定的攻击载荷，其核心在于对业务逻辑和权限校验机制的理解与绕过，非常考验测试者的思维缜密度和场景分析能力。

因此，从零开始亲手搭建一个像Pikachu这样的综合性漏洞靶场，并聚焦于其中的越权漏洞模块进行实战，其意义远超“安装一个软件”。这个过程本身，就是一次深刻的学习之旅。你会亲历Web应用的运行环境（如PHP+MySQL）是如何协作的，理解漏洞代码是如何被“写”进去的，并最终在浏览器中亲手验证漏洞的存在与利用方式。这种从“环境搭建”到“漏洞复现”的完整闭环，能将抽象的原理转化为肌肉记忆，是成为一名合格安全从业者的必经之路。Pikachu靶场因其漏洞类型全面、环境友好、代码注释清晰，成为了无数安全新手的“启蒙老师”。

2. 环境准备与Pikachu靶场部署

2.1 核心组件选型与原理

要运行Pikachu靶场，我们需要一个典型的LAMP（Linux + Apache + MySQL + PHP）或WAMP（Windows版）环境。这里我推荐使用集成环境包，它能一键安装并配置好所有组件，避免我们在环境兼容性上耗费过多精力。

PHPStudy（Windows首选）：对于国内Windows用户来说，这可能是最友好、最稳定的选择。它集成了Apache/Nginx、MySQL、PHP，并且提供了直观的图形界面来管理服务、切换PHP版本、配置站点。Pikachu靶场对PHP版本有一定要求（通常需要PHP 5.4+，且开启相应扩展），使用PHPStudy可以轻松切换和配置。
XAMPP（跨平台）：如果你使用的是macOS或Linux，或者希望有一个跨平台的统一解决方案，XAMPP是个不错的选择。它的组件更新相对及时，社区支持也比较好。
手动搭建LAMP环境：对于想深入了解Web服务架构的进阶学习者，手动在Linux（如Ubuntu）上通过apt-get或yum安装Apache、MySQL、PHP及其模块，是极佳的锻炼。但作为“第一个靶场”，我们优先保证成功率，故推荐集成环境。

为什么选择集成环境？对于新手，独立安装配置Apache的虚拟主机、PHP的pdo_mysql扩展、MySQL的用户权限，每一步都可能遇到坑。集成环境将这些细节封装好了，让我们能快速进入“漏洞实战”这个核心主题，符合学习中的“最小阻力路径”原则。

2.2 步步为营：Pikachu部署实操

假设我们选择在Windows上使用PHPStudy，以下是详细的部署步骤：

下载与安装PHPStudy：访问其官网，下载最新版本的PHPStudy小皮面板。安装过程几乎是无脑的“下一步”，注意安装路径不要包含中文或特殊字符，例如可以安装在D:\phpstudy_pro。
启动基础服务：安装完成后，打开PHPStudy，你会看到主界面。首先，在“首页”标签页，启动Apache和MySQL服务。当旁边的圆圈变为绿色，即表示服务启动成功。这是整个Web应用能够运行的基础。
获取Pikachu靶场源码：前往Pikachu的官方GitHub仓库（通常搜索“pikachu漏洞练习平台”即可找到）下载ZIP压缩包，或使用Git命令克隆。将下载好的源码包解压。关键的一步来了：你需要将解压后的整个pikachu文件夹，复制到PHPStudy的网站根目录下。这个根目录通常是PHPStudy安装路径\phpstudy_pro\WWW\。复制完成后，你的目录结构应该类似于D:\phpstudy_pro\WWW\pikachu\。
初始化数据库：
- 打开浏览器，访问http://127.0.0.1/pikachu/。首次访问时，页面很可能会提示你数据库没有初始化。
- 页面上通常会有一个明显的链接，如“初始化安装”或“Setup”。点击它。
- 安装页面会自动检测数据库连接配置。PHPStudy的MySQL默认用户名是root，密码是root（请务必确认你的PHPStudy版本的实际默认密码，新版本可能为空或为root）。如果自动检测失败，你需要手动填写：数据库地址为127.0.0.1或localhost，端口3306，用户名root，密码root。
- 点击“初始化”或“安装”按钮。脚本会自动创建名为pikachu的数据库，并导入所有必要的表结构和初始数据。成功后，页面会给出提示。
访问与验证：完成数据库初始化后，再次访问http://127.0.0.1/pikachu/，你应该能看到Pikachu靶场的主界面了。左侧是清晰的漏洞模块导航菜单，包括“暴力破解”、“XSS”、“SQL注入”、“RCE”、“文件包含”以及我们本次的重点——“越权漏洞”。

注意：如果在初始化时遇到数据库连接错误，99%的原因是数据库密码不对。请打开PHPStudy软件，在“MySQL”设置或“数据库”面板中，确认或修改MySQL的root密码，确保与你在安装页面填写的密码一致。另一个常见问题是端口冲突，如果3306端口被占用，可以在PHPStudy中修改MySQL端口号，并在安装页面同步修改。

3. 越权漏洞核心原理深度解析

在开始实战之前，我们必须把越权漏洞的“道”理解透彻。如果把Web应用比作一栋大楼，那么权限控制（Access Control）就是每个房间的门锁和钥匙分配系统。越权漏洞，就是这个系统出现了逻辑缺陷，导致你可以用自己房间的钥匙（你的用户权限），打开别人的甚至管理员的房间门（本不该你访问的资源或功能）。

根据“越”的方式不同，主要分为两类：

水平越权（Horizontal Privilege Escalation）：指攻击者访问到了与他拥有相同权限级别的其他用户的资源。例如，用户A和用户B都是普通会员。正常情况下，A只能查看和修改自己的个人资料（对应URL可能是/user/profile?id=1001）。如果系统在后台没有严格校验当前会话用户是否与id=1001这个资源所有者匹配，那么用户A通过将URL中的参数改为?id=1002，就可能直接访问到用户B的个人资料，这就是典型的水平越权。
垂直越权（Vertical Privilege Escalation）：指低权限用户获取了高权限用户的权限。例如，一个普通用户通过某种方式，能够访问到仅管理员可见的后台管理页面（如/admin/user/list），或者执行了仅管理员才能执行的操作（如删除任意文章）。这通常是因为系统在渲染菜单或校验关键功能入口时，仅在前端（JavaScript）做了隐藏或禁用，而未在服务器端（后端代码）进行二次权限验证。

漏洞产生的根本原因：绝大多数越权漏洞都源于“信任客户端提交的参数”以及“缺乏服务端的一致性校验”。开发者容易犯的错误是，认为“用户看不到的链接或按钮就是安全的”，或者“修改参数没那么容易猜到”，从而只在页面展示层做控制，忽略了每一个到达后端API的请求都必须重新、彻底地核实请求者的身份和权限这一黄金法则。

4. Pikachu越权漏洞模块实战通关

Pikachu靶场的“越权漏洞”模块通常设计得非常经典，包含了上述两种类型的案例。让我们以一个典型的“水平越权（查看信息）”和“垂直越权（操作权限）”场景为例，进行手把手的实战分析。

4.1 案例一：水平越权漏洞挖掘与利用

场景进入与正常流程：在Pikachu左侧菜单点击“越权漏洞”，选择“水平越权（查看信息）”。系统通常会要求你先登录两个测试账号，比如lucy/password123和lili/password123。我们用lucy登录。
观察正常请求：登录后，页面会显示“你好，lucy”，并可能有一个查看个人信息的链接。点击后，浏览器地址栏的URL可能会变为类似http://127.0.0.1/pikachu/vul/overpermission/op1/op1_mem.php?username=lucy的形式。这个页面显示了lucy的电话、邮箱等信息。关键点在于URL中的username=lucy这个参数。
漏洞猜测与测试：现在，我们直接手动修改浏览器地址栏的URL，将username=lucy改为username=lili，然后回车。如果页面在没有重新登录或任何提示的情况下，直接显示了lili的个人信息，那么一个赤裸裸的水平越权漏洞就被你发现了！
漏洞原理代码层面分析（模拟）：我们来看一下后端可能存在的缺陷代码（以PHP示例）：
```
// op1_mem.php 缺陷代码示例 $username = $_GET['username']; // 直接信任来自URL的参数 $sql = "SELECT phone, email FROM users WHERE username = '$username'"; $result = mysqli_query($conn, $sql); $user_info = mysqli_fetch_assoc($result); // 直接将查询到的信息输出到页面，没有校验当前登录用户是否等于 $username echo "电话: " . $user_info['phone']; echo "邮箱: " . $user_info['email'];
```
这段代码的致命伤在于，它只根据URL传入的username参数去数据库查询，却完全没有检查当前登录的会话用户（$_SESSION['current_user']）是否与这个username匹配。正确的做法应该是在查询条件中同时包含会话中的用户ID，或者先通过会话确定当前用户，再查询其信息。

修复建议：修复的核心思路是以会话为中心，而非以参数为中心。服务器端在处理请求时，应从可靠的会话信息（如$_SESSION['user_id']）中获取当前用户的身份，并用这个身份去查询对应的数据。

// op1_mem.php 修复后代码示例 session_start(); if (!isset($_SESSION['user_id'])) { die("请先登录"); } $current_user_id = $_SESSION['user_id']; // 使用当前登录用户的ID进行查询，完全忽略URL中的username参数 $sql = "SELECT phone, email FROM users WHERE id = '$current_user_id'"; // ... 执行查询并输出

4.2 案例二：垂直越权漏洞挖掘与利用

场景进入：在Pikachu中选择“垂直越权（操作权限）”。这个场景通常会模拟一个简单的后台管理系统。你需要用普通用户账号（如pikachu/000000）登录。
观察权限限制：登录后，你看到的页面可能只有简单的用户功能，而“添加用户”、“删除用户”等管理员功能在前端页面上是看不到的（按钮被隐藏或菜单项不存在）。
绕过前端限制：前端隐藏仅仅是视觉上的限制。我们可以通过浏览器的开发者工具（F12），查看网页源代码或网络请求，来寻找线索。更直接的方法是，根据常见的后台路径进行“猜测”访问。例如，尝试在地址栏直接输入http://127.0.0.1/pikachu/vul/overpermission/op2/admin_add_user.php。
直接访问与漏洞确认：如果直接访问这个疑似管理员功能的页面，系统没有强制跳转到登录页或提示权限不足，反而展示了一个“添加用户”的表单，那么垂直越权漏洞就存在了。这意味着系统只在渲染菜单时判断了权限，却没有在对应的功能页面入口（PHP文件开头）进行权限校验。

漏洞原理代码层面分析（模拟）：

// admin_add_user.php 缺陷代码示例 // 文件开头没有任何权限检查代码 // 直接就是表单HTML和处理提交的逻辑 if ($_SERVER['REQUEST_METHOD'] == 'POST') { $new_user = $_POST['username']; $new_pass = md5($_POST['password']); // ... 执行插入数据库操作 echo "用户添加成功！"; }

这段代码缺失了最关键的“守门人”逻辑。任何知道这个URL的人都可以访问并执行操作。

修复建议：在每一个需要高权限的页面或API入口的最顶部，强制进行权限校验。

// admin_add_user.php 修复后代码示例 session_start(); // 1. 检查是否登录 if (!isset($_SESSION['user_id'])) { header('Location: /login.php'); exit; } // 2. 检查是否为管理员（假设session中存有role字段） if ($_SESSION['user_role'] != 'admin') { die('权限不足，拒绝访问'); } // 3. 以下是真正的管理员功能代码 // ...

4.3 利用工具进行自动化探测（Burp Suite辅助）

手动修改URL参数是基础，但在更复杂的场景中，参数可能隐藏在POST请求体或Cookie中。这时，我们需要代理工具的帮助。以Burp Suite为例：

配置代理：打开Burp Suite，在Proxy -> Options中确保代理监听（如127.0.0.1:8080）是开启的。将浏览器代理设置为相同地址。
拦截请求：在Pikachu中，以普通用户身份进行任何操作（如查看个人信息）。Burp Suite会拦截到该HTTP请求。
发送到重放模块：在Proxy -> Intercept标签页，右键点击拦截到的请求，选择“Send to Repeater”。
修改与重放测试：在Repeater标签页，你可以清晰地看到请求的所有部分：URL、参数、Cookie、Headers。现在，你可以尝试修改其中的关键参数（比如将Cookie中的用户ID、URL中的资源ID等），然后点击“Send”按钮，观察右侧的响应结果。如果响应内容随着你修改的参数而变成了其他用户的数据，漏洞即被验证。这种方法可以系统性地测试每一个可能携带用户标识的参数。

5. 从靶场到实战：越权漏洞的防御编码规范

在靶场里成功“攻击”之后，我们的思维必须立刻切换到“防御者”模式。如何在自己的代码中避免引入越权漏洞？以下是一些必须融入开发习惯的黄金法则：

最小权限原则：在设计和编码之初，就要为每一个功能、每一个API接口明确其所需的最小权限。默认情况下，所有用户都“无权限”，必须显式授权才能访问。
服务端强制校验：这是最核心、最不可妥协的一条。永远不要信任客户端传来的任何用于权限判断的标识。用户ID、角色等信息必须从服务器端的可信来源获取，如经过认证的会话（Session）或令牌（JWT）中解出的信息。
使用不可预测的标识符：对于数据库中的资源ID，避免使用连续的数字（1,2,3...），可以考虑使用UUID、雪花算法ID等不可预测的全局唯一标识符。这增加了攻击者猜测其他资源ID的难度，但请注意，这不能替代服务端校验，只是一种纵深防御的辅助手段。
实施基于角色的访问控制（RBAC）或基于属性的访问控制（ABAC）：对于复杂的系统，应该建立统一的权限管理模型。RBAC通过“用户-角色-权限”的关联进行控制；ABAC则更细粒度，通过评估用户、资源、环境等多种属性来动态决定是否允许访问。在每一个业务逻辑执行前，调用统一的权限检查服务。
定期进行代码审计与渗透测试：将权限校验代码作为代码审查的重点。同时，定期邀请安全团队或使用自动化工具进行黑盒/白盒测试，主动寻找越权点。测试时，应使用两个不同权限的账号同时操作，验证其是否严格隔离。

6. 常见问题排查与实战心得

在搭建和练习过程中，你几乎一定会遇到下面这些问题。这里我把自己和学员们踩过的坑总结一下：

问题1：访问Pikachu首页显示空白或报错“连接数据库失败”。
- 排查：首先检查PHPStudy中的MySQL服务是否真的启动（绿灯）。然后，检查Pikachu的配置文件。在Pikachu根目录下，通常有一个inc/config.inc.php文件，打开它，确认里面的数据库连接信息（主机名、用户名、密码、数据库名）与你的PHPStudy配置一致。最常见的错误是密码不对。
- 心得：永远记住“服务、配置、路径”这三要素。任何Web应用无法工作，都优先从这三点查起。
问题2：进行越权测试时，修改参数后页面没有变化，或者直接跳转到了登录页。
- 排查：这说明靶场的该漏洞点可能已经被修复（在一些更新版本中），或者你的测试方法不对。首先，确认你正在测试的是正确的漏洞模块（水平/垂直）。其次，使用Burp Suite拦截请求，确保你修改的是正确的参数（可能是POST数据体里的某个字段，也可能是某个特定的Header）。最后，检查浏览器是否缓存了旧页面，尝试使用Ctrl+F5强制刷新或开启无痕模式测试。
- 心得：渗透测试是一个需要耐心和细致观察的过程。页面没反应不代表没漏洞，可能是触发方式不对。多观察请求和响应的每一个细节。
问题3：理解了漏洞，但不知道如何在真实环境中寻找这类漏洞。
- 思路：在真实授权测试中，首先进行身份认证，获取两个不同权限的账号（如普通用户A、普通用户B、管理员C）。然后，使用账号A完成所有可能的功能操作，同时用Burp Suite记录下每一个请求。之后，在Repeater模块中，将这些请求的会话Cookie替换为账号B的Cookie，然后重放请求，观察响应是否返回了B的数据或成功执行了B权限的操作。对于垂直越权，则是在拥有低权限账号的情况下，尝试直接访问高权限的常见功能路径或API接口。
- 心得：真实环境的越权漏洞往往更隐蔽，参数可能不是简单的id，而是token、uuid等。关键在于理解业务逻辑：这个操作/数据应该属于谁？系统是如何判断“应该”的？找到那个判断点，并尝试绕过它。

搭建并攻克Pikachu的越权靶场，只是你Web安全长征路上的第一步。但它成功地为你建立了一种至关重要的实战感觉：如何将书本上的漏洞原理，转化为在浏览器地址栏、在代理工具里的一次次试探和验证。这种从理论到实践的打通，其价值远超记忆几个漏洞概念。当你下次再看到“权限校验”四个字时，脑海里浮现的不再是枯燥的定义，而是一串可以修改的URL参数、一个可以替换的Cookie值，以及一段缺失了session校验的PHP代码——这时，你就真正入门了。

查看全文

http://www.jsqmd.com/news/1056307/