超威无敌紫貂从日志注入到Root权限：Tomato靶场中的非常规渗透路径剖析
在渗透测试的常规认知中，Web漏洞利用往往止步于SQL注入或XSS攻击。但真正的安全威胁往往隐藏在看似无害的系统组件交互中。Tomato靶场为我们展示了一个教科书级的案例：如何将文件包含漏洞与系统日志机制串联，构建一条从Web到Root的完整攻击链。这种漏洞组合利用的思维方式，正是区分脚本小子与专业渗透测试师的关键。
1. 靶场环境侦察与攻击面分析
当我们面对一个未知目标时，系统化的信息收集是渗透成功的基础。使用Nmap对192.168.200.0/24网段进行扫描后，发现目标IP192.168.200.26开放了三个关键端口：
| 端口 | 服务类型 | 潜在风险点 |
|---|---|---|
| 21 | FTP | 匿名登录、暴力破解 |
| 80 | HTTP | Web应用漏洞 |
| 8888 | HTTP | 管理后台弱口令 |
深度扫描策略：
- 对80端口进行目录爆破，发现
/antibot_image路径 - 检查
info.php文件时，发现其包含phpinfo()信息 - 右键查看源码，识别出存在未过滤的文件包含漏洞
提示：现代Web应用常通过多个端口提供不同服务，每个开放端口都代表一个独立的攻击面，需要建立完整的端口-服务-漏洞映射表。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 文件包含漏洞的非常规利用
传统文件包含漏洞利用通常局限于读取/etc/passwd等敏感文件。但在Tomato靶场中，我们需要更深入地思考：
bash复制http://192.168.200.26/antibot_image/antibots/info.php?image=../../../../../../../etc/passwd
通过路径遍历成功读取系统文件后，渗透测试师应该立即考虑：
- 可写文件定位：查找服务器上任何应用程序或系统日志的可写位置
- 日志注入可行性：测试是否可以通过服务交互在日志中注入可控内容
- 执行上下文分析：确认日志文件被包含时的解析环境