第 103 章 文件解析链攻击（Parser Chains）

现代应用大量处理不可信文件：上传、导入、预览、归档解压、格式转换。文件被多个解析器层层处理——每一层都是攻击面。文件解析链攻击 = 从"一个文件"到"代码执行"的完整链（恶意文档、压缩包陷阱、格式转换漏洞、反序列化）。本章覆盖解析链原理、经典攻击、与分析方法。

📍 知识点地图 | 主题：文件解析链 | 前置：第58章 | 后续：— | 核心概念：解析链、Zip陷阱、ImageMagick、反序列化

103.1 文件解析链架构（先懂"文件怎么被处理"）

文件流转链:
  上传 → 存储 → 校验 → 解析/渲染 → 转换 → 入库/执行

每层的攻击面:
  上传: 类型绕过（第 58.5）
  校验: 解析器本身漏洞（格式解析 = 内存安全风险）
  渲染: 预览/缩略图（解析器执行）
  转换: 格式转换（ImageMagick/ffmpeg → 转换漏洞）
  解压: 归档陷阱（zip 炸弹/路径穿越）
  反序列化: 结构化格式（JSON/XML/YAML/二进制）
  执行: 宏/脚本（文档内容执行）

103.2 经典攻击链（按文件类型）

恶意文档（Office/PDF）

宏文档（第 89 章）: 启用宏 → 执行脚本
PDF 利用: 老版本解析器漏洞/JavaScript 执行/表单
对象流: 隐藏的恶意对象（pdf-parser 分析）
OLE 对象: 嵌入可执行内容

压缩包陷阱

Zip 炸弹: 极小文件解压出超大内容（DoS）
  检测: 解压前检查压缩比（ratio）
路径穿越: zip 内的 ../ 文件名 → 解压覆盖任意文件
  检测: 解压前检查文件名
符号链接: zip 内 symlink → 解压后指向任意路径
双重压缩: 嵌套压缩绕过检查

图片处理链（ImageMagick/ffmpeg）

ImageMagick 漏洞史: 图像处理库的经典攻击面
  □ 恶意图像 → 解析器 RCE（历史 CVE 系列）
  □ SVG/PDF 委派（ImageMagick delegate 执行外部命令）
  □ 格式混淆（polyglot: 图片伪装执行）

ffmpeg: 恶意媒体文件 → 解析漏洞/SSRF（HLS 播放）
  攻击: 特殊媒体文件 → ffmpeg 请求内网 URL（SSRF）

预览/缩略图: 上传即触发解析（无交互利用！）

序列化格式（反序列化）

XML: XXE（第 58 章方向）
JSON: 解析器差异/原型污染（JS）
YAML: 标签执行（!!python/object）
二进制: 反序列化 RCE（Java/Python pickle，第 101 章）

导入功能（CSV/Excel）:
  CSV 注入（公式执行: =cmd|'/C calc'!A1）
  Excel 公式注入

103.3 解析器漏洞的本质（理解攻击面）

解析器 = 处理不可信输入的内存安全风险
  输入: 外部文件（完全不可信）
  实现: C/C++（内存不安全语言）

漏洞类型:
  □ 缓冲区溢出（解析长字段/畸形结构）
  □ 整数溢出（大小字段）
  □ UAF（解析生命周期）
  □ 逻辑漏洞（状态混淆）

经典案例: libpng/ImageMagick/PDF 解析器历史 CVE 大量 RCE

103.4 分析方法（审计文件处理链）

1. 功能盘点:
   □ 哪些入口接受文件（上传/导入/预览/转换）
   □ 文件流向（存储→谁处理→怎么处理）
2. 处理链识别:
   □ 用什么库（ImageMagick/ffmpeg/poppler/反序列化器）
   □ 库版本（查已知 CVE！）
3. 输入可达性:
   □ 文件内容是否控制了解析路径（文件名/类型/内容）
   □ 是否有预览/缩略图（自动触发）
4. 攻击面测试:
   □ 已知漏洞 payload（按库版本）
   □ 畸形文件（fuzz，第 39 章）
   □ 压缩包陷阱
   □ 序列化注入
5. 影响评估:
   □ RCE/SSRF/文件读/DoS

103.5 检查清单

□ 文件入口盘点（上传/导入/预览/转换）
□ 处理链映射（每层解析器）
□ 库版本与已知 CVE
□ 自动触发点（预览/缩略图）
□ 压缩包陷阱（炸弹/穿越/symlink）
□ 文档攻击（宏/PDF/对象）
□ 图片链（ImageMagick/ffmpeg）
□ 反序列化（XML/JSON/YAML/二进制）
□ 影响评估（RCE/SSRF/DoS）
□ 报告: 从文件到影响的完整链

动手练习

1. 构造一个 Zip 炸弹和路径穿越 zip，在测试环境观察解压行为。
2. 分析一个应用的图片上传功能：识别处理库与版本，查已知 CVE。
3. 制作一个 CSV 注入文件（公式执行），在 Excel/导入功能验证。
4. 画一张"文件处理链"图：从上传到执行的每层解析器与攻击面标注。

深入阅读

• 仓库：CTF-Sandbox-Orchestrator/competition-file-parser-chain/（文件解析链 CTF 子技能）
• 仓库：CTF-Sandbox-Orchestrator/competition-file-parser-chain/references/file-parser-chain.md
• 仓库：skills/pentest-tools/references/web-attack-cheatsheet.md（文件上传基础）
• 仓库：skills/pwn-chain/（解析器内存漏洞利用）
• 外部: ImageMagick 漏洞研究、OWASP 文件上传清单