为提升观感体验,本篇博文长期更新,新题目以二次编辑形式附在最后
[ACTF2020 新生赛]Exec
打开后发现网页是关于执行一个ping指令,经过测试是直接执行的,所以就直接命令执行了
127.0.0.1 | cat /flag
总结一下常见的Linux管道符
|
按位或,直接执行|后面的语句||
逻辑或,如果前面命令是错的那么就执行后面的语句,否则只执行前面的语句&
按位与,&前面和后面的都要执行,无论前面真假&&
逻辑与,如果前面为假,后面的命令也不执行,如果前面为真则执行两条命令
[GXYCTF2019]Ping Ping Ping
打开可以看到很明显的提示,传参就是ip=,尝试传入/?ip=127.0.0.1
,有回显,说明这是命令执行注入了,先用ls看看有什么文件得到了一个f语言的回显,很明显空格会被过滤,所以我们尝试去掉空格