从一次“意外”发现flag说起：复盘uWSGI目录穿越漏洞（CVE-2018-7490）排查中的常见思维盲区

从Not Found到flaguWSGI目录穿越漏洞实战思维全解析当浏览器返回Not Found时大多数人的第一反应是漏洞利用失败。但真正的安全测试往往始于这些看似失败的瞬间。去年在内部红队演练中我遇到一个经典场景按照公开的CVE-2018-7490漏洞复现步骤操作却在访问/tmp目录时遭遇意外阻碍。这次经历让我深刻认识到漏洞验证的难点不在于已知的payload而在于面对未知响应时的系统性思维。1. 漏洞环境构建与基础验证uWSGI作为Python生态中广泛使用的应用服务器其目录穿越漏洞(CVE-2018-7490)的根源在于PHP插件对路径规范化处理的缺陷。当DOCUMENT_ROOT设置为/var/www/html时攻击者通过..%2f可突破目录限制curl http://target/..%2f..%2f/etc/passwd典型验证流程中的三个关键点确认uWSGI版本低于2.0.17测试基础payload能否读取/etc/passwd尝试访问目标目录如/tmp但在真实环境中第三步往往会出现意外。最近在Vulfocus靶场测试时就遇到了这样的场景http://192.168.1.100:8080/..%2f..%2f/tmp → 404 Not Found2. 当常规payload失效时的六种排查思路2.1 路径深度校准..%2f需要与实际的目录层级匹配。通过逐步增加回溯层级进行测试尝试层级Payload示例可能结果2级..%2f..%2fetc/passwd成功3级..%2f..%2f..%2ftmp失败4级..%2f..%2f..%2f..%2fvar/log可能成功# 自动化测试脚本片段 for level in range(1, 6): payload / ../*level etc/passwd response requests.get(fhttp://target{payload.replace(/, %2f)}) print(fLevel {level}: {response.status_code})2.2 权限与路径存在性验证即使存在漏洞目标路径可能被容器化环境隔离设置了特殊权限如sticky bit实际路径与预期不符如flag在/var/lib/flag提示先确认基础路径可访问性如/proc/self/cwd往往能反映当前工作目录2.3 靶场环境特异性分析Vulfocus等演练平台常设置特殊flag路径。通过以下方法收集线索检查首页源代码中的注释分析HTTP响应头中的非常规字段使用目录爆破工具测试常见flag位置gobuster dir -u http://target -w ./common_flag_paths.txt -x .txt,.php3. 突破思维局限的实战技巧3.1 信息拼图法将零散信息组合利用从/proc/self/environ获取环境变量结合/etc/passwd中的用户信息检查/var/www/html下的配置文件典型案例流程发现web用户为www-data查找到用户目录/home/www-data最终在/home/www-data/.cache/flag找到目标3.2 非常规路径探测表常见被忽视的flag存储位置路径类型示例路径检查方法临时文件/dev/shm/flagls -la /dev/shm环境变量FLAG_FILE检查/proc/self/environ隐藏目录/usr/share/.hidden/flagfind / -name flag -type f3.3 上下文关联思维当直接访问失败时尝试查找web应用中的文件上传/日志功能通过LFI转RCE扩大攻击面结合其他漏洞如SSRF迂回获取信息# 通过文件包含间接读取 payload /..%2f..%2f..%2fvar/log/nginx/access.log response requests.get(fhttp://target{payload.replace(/, %2f)}) if PHP Warning in response.text: print(可能存在日志污染漏洞)4. 从漏洞复现到实战的思维升级真正的安全测试不是执行已知步骤而是构建系统化的排查框架。那次意外发现flag的经历让我建立了以下原则否定验证当payload失效时先确认是漏洞不存在还是路径问题环境测绘通过有限信息还原目标环境拓扑横向扩展从不成功点延伸出更多测试路径日志分析检查服务器错误日志获取调试信息在最近一次客户渗透测试中正是这种思维帮助我们在看似固若金汤的系统里通过组合三个中危漏洞完成了权限提升。记住每个Not Found背后都可能藏着通向flag的隐秘路径。