Pikachu 靶场源码分析：从 20 个漏洞模块看 PHP 安全编码误区

在网络安全领域，理论知识的积累固然重要，但真正能够提升实战能力的，往往是对漏洞原理的深入理解和亲手实践。Pikachu 靶场作为一个集成了 20 余种常见 Web 漏洞的开源项目，为安全研究人员和开发者提供了一个绝佳的学习平台。不同于简单的环境搭建教程，本文将深入剖析 Pikachu 靶场的核心漏洞模块源码，揭示 PHP 安全编码中的典型误区。

1. SQL 注入漏洞的代码溯源与防御盲区

SQL 注入长期位居 OWASP Top 10 榜首，Pikachu 靶场通过多个场景展示了不同类型的注入方式。在审计vul/sqli目录下的源码时，我们可以发现三类典型漏洞模式：

// 示例1：拼接式注入（vul/sqli/sqli_str.php） $name = $_GET['name']; $query = "SELECT * FROM users WHERE name='$name'"; $result = mysqli_query($con, $query); // 示例2：数字型注入（vul/sqli/sqli_int.php） $id = $_GET['id']; $query = "SELECT * FROM articles WHERE id=$id";

危险函数清单：

• mysqli_query()直接执行未过滤的输入
• mysql_real_escape_string()在特定编码下可能失效
• addslashes()无法防御数字型注入

防御建议：始终使用参数化查询（PDO/prepared statements），对于遗留系统至少应使用mysqli_real_escape_string()配合白名单验证

2. XSS 漏洞的多样化呈现与上下文差异

跨站脚本攻击在 Pikachu 靶场中展示了三种典型变体，其根本原因都是对用户输入的过度信任：

// 反射型XSS（vul/xss/xss_reflected.php） $message = $_GET['message']; echo "<div>您的搜索：$message</div>"; // 存储型XSS（vul/xss/xss_stored.php） $comment = $_POST['comment']; $sql = "INSERT INTO comments VALUES ('$comment')"; // ...后续直接输出到页面

关键发现：

• 使用htmlspecialchars()时未指定 ENT_QUOTES 会导致属性注入
• 在 JavaScript 上下文中需要额外的编码处理
• CSP 策略缺失会放大XSS的危害程度

3. 文件上传漏洞的校验绕过手法

文件上传功能在vul/upload模块中暴露了常见的防护缺陷：

// 不安全的校验实现（vul/upload/upload.php） $file_ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION)); if(in_array($file_ext, ['jpg','png'])){ move_uploaded_file($_FILES['file']['tmp_name'], $target_path); }

绕过技巧分析：

• 修改 Content-Type 伪装合法类型
• 使用 %00 截断绕过路径校验
• 制作图片马绕过内容检测

安全上传四要素：文件内容检测 + 扩展名白名单 + 随机重命名 + 存储隔离

4. 权限控制体系的典型缺陷

越权漏洞在vul/over_permission模块中展示了水平越权和垂直越权两种场景：

// 水平越权示例（vul/over_permission/horizontal.php） $userid = $_GET['userid']; $sql = "SELECT * FROM orders WHERE user_id=$userid"; // 无会话身份验证

防御模式对比：

在实际代码审计过程中，我们发现大多数漏洞都源于以下几个共性误区：

• 对用户输入缺乏系统性的验证机制
• 过度依赖客户端校验
• 错误的安全函数使用方式
• 缺乏最小权限原则的实施
• 没有建立统一的错误处理规范

通过深入分析这些漏洞模式的代码实现，开发者可以建立更完善的安全编码思维，在项目初期就规避类似风险。值得注意的是，现代PHP框架（如Laravel、Symfony）已经内置了许多安全防护机制，但理解底层原理仍然是构建可靠系统的关键。