webug靶场

第一次跑webug靶场，我卡在第三关的SQL注入点上整整一个下午。不是不会注入，是没想到后台把单引号过滤得那么粗暴——直接替换成空。这跟网上那些教程里说的“加个注释符绕过”完全不是一回事。后来翻了源码才明白，它用的是str_replace("'", "", $id)，你写1' or '1'='1，进去就变成1 or 1=1，反而通了。这种细节，只有真在靶场里踩过坑才记得住。

webug算是我接触比较早的国产漏洞演练平台。跟DVWA那种英文界面、配置繁琐的东西比，它上手快，关卡设计也更贴近国内实际业务里常见的漏洞形态。比如第一关就是明晃晃的SQL注入，URL里?id=1，加个单引号直接报错，数据库类型、闭合方式全给你吐出来。这种“送分题”不是它简单，是它在教你建立信心——你连这都搞不定，后面文件上传、命令执行就更别碰了。

但webug的坑也在这儿。有些关卡的环境依赖比较旧，PHP版本一高就报错，得手动改配置文件或者降级运行环境。我见过不少人卡在环境搭建上，还没开始打靶就放弃了。这其实挺可惜的。靶场的核心价值不在于它有多“新”，而在于它把漏洞拆得足够细，让你能一步步看清攻击链是怎么串起来的。

拿文件上传那关来说。前端JavaScript校验后缀，你禁用JS就能过。但传上去之后发现马儿连不上，因为后台还校验了MIME类型。改Content-Type: image/png，再传，还是不行——它又检查了文件头。最后得用GIF89a加在PHP代码前面，才能绕过。这种层层设防的设计，比那些只校验一次就放行的靶场真实得多。现实里的老系统，往往就是好几道这种“看起来有防护”的关卡叠在一起，结果每道都能绕。

命令执行那关更有意思。输入框里ping一个IP，你写127.0.0.1 && whoami，直接回显。但如果你只写whoami，它反而告诉你“格式错误”。说明后台是用ping命令拼接执行的，而且没做任何过滤。这种漏洞在早期路由器、摄像头固件里一抓一大把。webug把它单独拎出来做一关，就是让你记住：命令拼接不加过滤，等于把服务器shell直接送人。

我比较喜欢webug的一点是，它每个关卡都有源码可看。打完一关，翻翻index.php，看看过滤函数到底怎么写的，比看十篇分析文章都管用。比如XSS那关，它用htmlspecialchars转义了<和>，但没转义单引号。你构造onclick='alert(1)'这种事件属性，照样弹窗。这种“半吊子防护”在真实代码里太常见了，开发者以为转义了尖括号就万事大吉，其实属性注入根本没防住。

当然，webug也不是没毛病。关卡数量偏少，大概二十关左右，覆盖的漏洞类型有限。像SSRF、XXE这些现在常见的漏洞，它基本没涉及。而且有些关卡的环境依赖太老，在Docker里跑还得专门配PHP 5.x。但话说回来，它本来就不是给高手刷题用的。它的定位更像“漏洞入门沙盘”——让你在可控环境里把SQL注入、文件上传、命令执行这几个基础漏洞亲手打一遍，建立起“输入-过滤-绕过-执行”的直觉。

我后来带新人入门，基本都先扔webug。不要求全通关，但SQL注入、文件上传、命令执行这三关必须自己动手打出来。打完之后，再去看那些CMS的漏洞分析，很多地方就通了。靶场这东西，看一百遍不如自己传一次马儿、注一次数据库。webug的价值，大概就在这儿——它不完美，但足够让你开始。