Burp Suite抓包实战：从CTF题目到文件包含漏洞利用

1. 项目概述：一次从Web前端到后端源码的“掘金”之旅

最近在带新人入门CTF（Capture The Flag，网络安全竞赛）的Web安全方向，发现很多朋友对“抓包”这个基础操作既熟悉又陌生。熟悉是因为总听人提起，陌生是到了实战环节，面对一个具体的题目，比如BUUCTF平台上的《极客大挑战 2019》Secret File这道题，还是不知道从何下手，更别提挖出题目里隐藏的secr3t.php这个关键文件了。这道题非常经典，它完美地串联了信息收集、前端代码审计、代理抓包、源码审计和协议利用这一整套Web安全入门流程。今天，我就以这道题为例，手把手带你走一遍，目标不仅仅是解出这道题，更是让你掌握“抓包”工具Burp Suite的核心使用逻辑，以及遇到类似隐藏入口、源码泄露问题时，该如何系统性地思考和操作。

简单来说，这道题模拟了一个常见的场景：一个看似功能简单的网页，背后却隐藏着开发者未曾公开的、可能包含漏洞的管理页面或接口（即secr3t.php）。我们的任务就是像侦探一样，利用工具和技巧，把这个隐藏的入口找出来，并分析其功能。整个过程，Burp Suite将作为我们的“中间人”和“望远镜”，拦截和观察浏览器与服务器之间所有的网络通信，从而发现那些在正常浏览中看不到的请求和响应。对于刚接触安全测试的朋友，理解并熟练运用Burp Suite的抓包功能，是打开Web安全大门的第一把钥匙。

2. 环境准备与工具配置：打造你的安全测试工作台

工欲善其事，必先利其器。在开始“掘金”之前，我们需要一个稳定、可控的测试环境。这里不涉及任何复杂的网络配置，我们只需要三样东西：靶机、攻击机和代理工具。

2.1 靶机与攻击机环境

靶机就是运行着题目环境的服务器。对于BUUCTF的题目，我们通常直接在BUUCTF平台上启动对应的题目实例，它会给我们一个临时的URL，比如http://node5.buuoj.cn:28000。这就是我们的目标。攻击机则是我们自己的电脑。为了简化，我们通常将Burp Suite和浏览器都安装在攻击机上，并通过代理设置让浏览器的流量经过Burp Suite。

2.2 Burp Suite的安装与基础配置

Burp Suite是PortSwigger公司出品的一款集成化Web安全测试平台，其社区版（Burp Suite Community Edition）功能对于入门和学习来说已经足够强大，并且免费。你可以从其官网下载安装包。安装过程很简单，一路下一步即可。首次启动时，它会让你选择临时项目还是保存项目，选择“Temporary project”即可进入主界面。

Burp Suite的主界面可能让新手感到眼花缭乱，但今天我们只聚焦最核心的四个模块：

1. Proxy（代理）：这是抓包的核心。它默认监听本地的8080端口，所有经过这个端口的HTTP/HTTPS流量都会被拦截和记录。
2. Target（目标）：用于定义和管理我们的测试范围（Scope），方便我们只关注与目标域名相关的流量，避免被无关请求干扰。
3. Repeater（重放器）：用于手动修改和重复发送单个HTTP请求，是测试漏洞Payload的利器。
4. Intruder（入侵者）：用于自动化攻击，如爆破密码、枚举参数等，本题暂不需要。

我们的第一步是配置浏览器代理。以Chrome浏览器为例，你可以安装SwitchyOmega这类代理管理插件，也可以直接使用系统代理设置。更简单的方法是，Burp Suite自带了一个基于Chromium的浏览器，在Proxy -> Intercept标签页下，点击“Open Browser”即可启动。这个浏览器已经预配置好了代理指向Burp，开箱即用，非常适合新手。

注意：使用自带浏览器时，务必先关闭Burp的拦截功能（Intercept is on 按钮显示为橙色时表示开启拦截，点击它变为“Intercept is off”灰色状态），否则你的浏览器会一直等待你手动放行每一个请求，导致无法正常上网。我们初期先关闭拦截，只做流量记录。

2.3 关键一步：安装Burp Suite的CA证书

这是很多新手会卡住的地方。当你的代理设置好后，访问HTTP网站没问题，但访问HTTPS网站（比如很多登录页面）时，浏览器会提示“您的连接不是私密连接”或“NET::ERR_CERT_AUTHORITY_INVALID”。这是因为Burp Suite作为中间人，需要对HTTPS流量进行解密和再加密，这就需要浏览器信任Burp Suite自己颁发的证书。

解决方法很简单：在Burp Suite浏览器（或你配置了代理的浏览器）中，访问http://burpsuite或http://127.0.0.1:8080，点击页面上的“CA Certificate”链接，下载证书文件（通常是一个.der或.cer文件）。然后，你需要将这个证书导入到系统的受信任根证书颁发机构中。具体步骤因操作系统而异：

• Windows：双击证书文件，选择“安装证书” -> “当前用户” -> “将所有的证书都放入下列存储” -> “浏览” -> 选择“受信任的根证书颁发机构”。
• macOS：双击证书文件，将其添加到“钥匙串访问”，找到刚添加的“PortSwigger CA”证书，双击打开，在“信任”设置中，将“使用此证书时”设置为“始终信任”。
• Chrome (使用自带浏览器通常自动信任)：如果仍有问题，在Chrome设置中搜索“管理证书”，在“受信任的根证书颁发机构”标签页中导入即可。

完成这一步后，你就能顺畅地拦截和查看HTTPS流量了，这是后续所有操作的基础。

3. 初探目标：信息收集与前端代码审计

配置好环境后，让我们正式进入题目。在Burp Suite自带浏览器中，访问BUUCTF提供的题目地址。

3.1 肉眼观察与基础交互

首先，我们像普通用户一样浏览页面。这是一个典型的“秘密文件”相关页面，可能有一段引导性的文字，比如“这里有一个秘密文件，但我忘记把它藏在哪里了”，或者只有一个简单的按钮或链接。我们的第一要务是：不放过页面上任何可交互的元素。点击每一个按钮、链接，查看页面源代码（快捷键Ctrl+U或右键“查看网页源代码”）。

3.2 利用开发者工具进行深度审查

仅仅查看源代码可能不够。现代Web应用大量使用JavaScript动态加载内容。因此，我们必须打开浏览器的开发者工具（F12），进行更细致的审计。

1. Elements（元素）面板：仔细检查HTML结构，寻找隐藏的表单（<input type="hidden">）、注释掉的代码（<!-- 注释 -->）、以及style="display:none;"的元素。这些地方常常藏着线索。
2. Network（网络）面板：这是重中之重。保持面板开启并刷新页面，你会看到页面加载过程中所有的网络请求：HTML、CSS、JS、图片、以及可能的XHR（Ajax）请求或Fetch请求。题目线索很可能就藏在某个不经意的JS文件请求或一个额外的API接口调用中。在本题的上下文中，我们就要特别留意是否有对secr3t.php或其他非常规文件的请求。
3. Sources（源代码）面板：查看加载的所有JavaScript文件。有时关键逻辑或隐藏的URL路径会写在JS里，并通过复杂的逻辑触发。
4. Console（控制台）面板：有时开发者会留下调试信息，或者JS代码会直接输出一些有用内容到这里。

3.3 结合Burp Suite进行流量记录

在进行上述手动点击和查看的同时，确保Burp Suite的Proxy -> HTTP history标签页是开着的。你所有的操作产生的HTTP请求，都会像流水账一样记录在这里。这样，即使某个请求一闪而过，或者在前端工具里不容易分析，我们也可以在Burp里找到完整的请求和响应记录，包括请求头、参数和服务器返回的完整响应体。这是比浏览器Network面板更强大、更持久化的记录工具。

4. 核心突破：利用Burp Suite抓包发现隐藏入口

经过初步的信息收集，你可能已经发现了一些端倪，但往往最关键的入口需要更主动的探测才能发现。这时，Burp Suite的抓包和重放功能就派上用场了。

4.1 开启拦截，主动探测

回到Burp Suite的Proxy -> Intercept标签页，点击“Intercept is off”将其变为“Intercept is on”（橙色）。现在，浏览器发出的每一个请求都会被Burp Suite拦截并暂停，等待你的审查和决定（放行、丢弃或修改）。

我们回到题目页面，进行一些非常规的点击或操作。例如，如果页面上有一个按钮，点击后页面看似没变化，但在Burp Suite的拦截窗口里，你可能会看到一个向某个新地址（比如action.php或ajax.php）发出的POST请求。这个请求里可能就包含了下一步的线索。对于本题，我们可能需要在点击某个按钮或链接的瞬间，同时密切观察Burp的拦截窗口和浏览器的Network面板，看看是否有对secr3t.php的请求发出。

4.2 分析请求与响应

假设我们运气没那么好，没有直接抓到secr3t.php。别急，我们可以分析已经抓到的请求。在Proxy -> HTTP history中，右键点击任何一个对题目主页面（比如index.php）的请求，选择“Send to Repeater”（发送到重放器）。Repeater标签页允许我们手动修改并重新发送这个请求。

一个常见的技巧是修改HTTP请求方法。比如，把GET请求改成POST，或者改成HEAD、PUT等，看看服务器的反应。有时隐藏接口只响应特定的请求方法。更直接的方法是进行目录或文件爆破，但这通常需要其他工具（如Dirsearch, Gobuster）。然而，我们也可以利用Burp Suite的Intruder模块进行简单的枚举，不过对于这道具体题目，根据已知信息，线索往往就在对某个已知文件请求的响应信息里。

4.3 关键发现：响应头与响应体中的线索

服务器返回的响应（Response）和请求（Request）同样重要。在HTTP history或Repeater中查看响应时，要关注两点：

1. 响应头（Response Headers）：查看X-Powered-By（可能泄露服务器语言）、Server（泄露Web服务器类型版本），但最重要的是关注是否有非标准的头字段，或者Location字段（用于重定向）。有时，服务器会在响应头里泄露文件路径。
2. 响应体（Response Body）：这是主要战场。除了肉眼查看返回的HTML，我们一定要查看源码。在Burp Suite的响应面板，有“Raw”（原始）、“Headers”（头）、“Hex”（十六进制）等视图。在“Raw”视图里，仔细阅读每一行。开发者注释（<!-- -->）、被注释掉的HTML代码、甚至直接写在HTML里的JavaScript变量，都可能包含类似<!-- secr3t.php is in somewhere... -->或var hidden_page = '/admin/secr3t.php';这样的线索。

根据网络搜索的提示，本题正是通过审查对某个页面（可能是action.php或index.php某个接口）的响应，在响应体的HTML注释或JavaScript代码中，发现了提示存在secr3t.php文件的信息。这就是“抓包”的威力——它让我们看到了浏览器在渲染页面时可能忽略或无法直接展示的原始服务器数据。

5. 深入分析secr3t.php：源码审计与漏洞利用

一旦我们通过抓包发现了secr3t.php的访问路径（例如http://target.com/secr3t.php），下一步就是直接访问它，并分析其功能。

5.1 访问与功能分析

在浏览器或Repeater中直接访问secr3t.php。它可能是一个白屏，也可能返回一些内容。继续用Burp Suite抓取这次访问的请求和响应。查看响应体，我们极有可能看到了该PHP文件的源代码。这是因为开发者配置失误，导致PHP文件没有被解析执行，而是以纯文本形式返回。更常见的情况是，页面本身就会显示部分源码，或者通过参数来包含并显示源码。

假设我们看到的secr3t.php源码如下（此为模拟，基于常见CTF题型）：

<?php highlight_file(__FILE__); $file = $_GET['file']; if(isset($file)){ if (strpos($file, '../') !== false || strpos($file, 'tp') !== false || strpos($file, 'input') !== false || strpos($file, 'data') !== false) { die('Oh no! Hacker!'); } include($file); } ?>

5.2 源码审计与漏洞识别

这是一段典型的存在文件包含漏洞的代码，但加入了简单的过滤。

• 功能：通过GET参数file接收一个文件名，然后使用include()函数将其包含进来。
• 漏洞点：include($file)。如果$file是用户可控的，且服务器未正确配置，就可能包含服务器上的任意文件，比如/etc/passwd或网站配置文件，导致敏感信息泄露，甚至配合文件上传实现远程代码执行（RCE）。
• 防护与绕过：代码使用strpos()检查$file参数中是否包含../（目录遍历）、tp（可能想过滤php://？但过滤不严谨）、input、data等字符串。如果包含，就输出错误并终止。

5.3 利用PHP伪协议绕过过滤

我们的目标是读取服务器上的一个关键文件（比如flag.php），但直接传递../../flag.php会被过滤。这时就需要用到PHP伪协议。PHP内置了一些封装协议，可以访问各种输入/输出流。最常用的就是php://filter，它允许我们对数据流进行过滤处理。

虽然过滤了tp，但php://filter中包含了php，这似乎触发了过滤？仔细看，代码过滤的是‘tp’这个子串。php://filter中包含php，但不包含tp（注意，是单独的tp，不是php的一部分）。所以php://是可以通过的。但为了确保万无一失，我们可以尝试大小写混淆（PHP协议不区分大小写），比如PHP://，或者使用其他编码方式，但本题过滤似乎并不针对php://。

我们的Payload可以构造为：

/secr3t.php?file=php://filter/convert.base64-encode/resource=flag.php

• php://filter/：使用filter伪协议。
• convert.base64-encode：这是一个过滤器，会将目标文件的内容进行Base64编码。
• resource=flag.php：指定要读取的资源是flag.php文件。

为什么要用Base64编码？因为include()函数会试图将包含的文件作为PHP代码执行。如果flag.php内容是一段PHP代码（比如<?php echo “flag{xxx}”; ?>），直接包含可能会执行这段代码，但输出可能被限制或看不到。而先进行Base64编码，include()包含的就是一串Base64文本，PHP会尝试将其解码并执行，但Base64文本不是有效的PHP代码，所以通常不会执行，反而会以错误或文本形式输出这串Base64编码。这样我们就安全地拿到了flag.php文件的Base64编码内容。

5.4 在Burp Suite中构造并发送Payload

我们回到Burp Suite的Repeater模块。在地址栏输入完整的URL：http://target.com/secr3t.php?file=php://filter/convert.base64-encode/resource=flag.php，方法为GET，然后点击“Send”。

在右侧的响应（Response）面板中，我们很可能会看到一长串Base64编码的字符串。复制这串字符。

5.5 解码获取Flag

使用任何Base64解码工具（在线网站、Burp Suite的Decoder模块、或者系统命令行echo “编码串” | base64 -d）对这段字符串进行解码。解码后的内容，很可能就是flag.php的源代码，其中就包含着本题的Flag，格式通常为flag{xxxx-xxxx-xxxx}或buuctf{...}。

6. 实战复盘与高阶技巧延伸

至此，我们已经成功完成了从信息收集、抓包发现隐藏文件、到源码审计、利用伪协议获取Flag的全过程。让我们复盘一下，并延伸一些更普适的技巧和注意事项。

6.1 完整解题流程梳理

1. 环境配置：安装配置Burp Suite，设置浏览器代理，安装CA证书。
2. 信息收集：访问目标，查看页面源码、开发者工具（特别是Network和Elements），同时Burp Suite全程记录流量（HTTP history）。
3. 发现线索：通过分析页面请求（尤其是对主要交互点的请求）的响应，在HTML注释或JS代码中发现secr3t.php的提示。
4. 访问分析：直接访问secr3t.php，获取其源代码。
5. 漏洞识别：审计源码，发现存在过滤不严的文件包含漏洞。
6. 构造利用：利用php://filter伪协议配合Base64编码，绕过过滤，读取目标文件（如flag.php）。
7. 解码获取：对服务器返回的Base64字符串进行解码，获得Flag。

6.2 Burp Suite抓包常见问题排查

• 抓不到包：检查浏览器代理设置是否正确指向127.0.0.1:8080；检查Burp Suite的Proxy -> Options，确保代理监听器（Proxy Listeners）是Running状态，且监听在正确的接口和端口上；尝试关闭防火墙或杀毒软件（临时）。
• HTTPS网站证书错误：确认已正确安装并信任Burp Suite的CA证书。如果仍不行，尝试在Burp Suite的Proxy -> Options -> SSL Pass Through中添加该域名，或检查浏览器证书管理。
• 流量太多太杂：使用Target -> Scope功能。将你的目标域名（如*.buuoj.cn）添加到Scope中，然后在Proxy -> Options -> Intercept Client Requests中启用“And URL Is in target scope”选项，这样Burp就只拦截目标范围内的请求。
• 拦截导致页面加载慢或卡住：记得在不需要手动审查每个请求时，关闭Intercept（Intercept is off）。日常侦察使用HTTP history记录即可。

6.3 文件包含漏洞的更多利用思路本题我们使用了php://filter读文件。文件包含漏洞的利用方式远不止于此：

• 包含日志文件：如果知道服务器日志路径（如/var/log/apache2/access.log），可以先将PHP代码写入User-Agent等字段，然后包含该日志文件，从而执行代码。
• 包含Session文件：如果Session文件（/tmp/sess_[PHPSESSID]）内容可控，也可以包含执行。
• 配合文件上传：上传一个图片马（图片中包含PHP代码），然后利用文件包含漏洞去包含这个图片文件，实现RCE。
• 使用其他伪协议：如php://input可以接收POST请求体作为输入流执行（本题被过滤）；data://协议可以直接在URI中嵌入Base64编码的代码执行（本题也被过滤）。

6.4 针对过滤的绕过技巧面对黑名单过滤（过滤特定字符串），可以尝试：

• 大小写绕过：PHP://，PhP://。
• 双重编码绕过：对参数进行两次URL编码，../编码为%252e%252e%252f（服务器可能解码两次）。
• 超长路径绕过：利用./和目录深度，如././././flag.php。
• 使用绝对路径：如果知道文件绝对路径，直接使用。
• 利用协议嵌套或过滤器链：php://filter/read=convert.base64-encode/resource=php://filter/...（某些场景下可行）。

这道《Secret File》题目是一个绝佳的入门案例，它几乎涵盖了Web安全初期所需的所有核心技能点：工具使用、信息收集、代码审计、漏洞利用。掌握它，你就不仅仅是学会了一个工具或解了一道题，而是建立起了一套面对未知Web应用时的基本侦察和测试方法论。记住，工具是手臂，思路才是大脑。多练，多思考，每一个看似简单的页面背后，都可能藏着通往另一个世界的秘密入口。