攻防世界----command_execution

已于 2024-09-23 21:15:38 修改
阅读量460 收藏 1
点赞数 5
CC 4.0 BY-SA版权
分类专栏： CTF 文章标签： 其他
于 2024-09-23 21:13:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_45021843/article/details/142468587

题目：

小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。

分析：

1.先尝试ping 127.0.0.1看一下会出现什么，如下图所示抓到三个包。

2.再ls看一下目录下都有什么文件（注：多个命令需要执行时使用分号隔开）

可以看到有一个index.php文件。

3.尝试用find命令查找文件名包含flag 的文件

如上图找到flag.txt文件

4.我们使用cat命令打印出文件的内容，即可得到flag

【网络安全 | CTF】攻防世界 command_execution 解题详析
等风来
05-21 8410
ping 命令是一个常用的网络命令，用于测试两台计算机之间网络连接的连通性。通过向目标计算机发送 ICMP 协议的数据包，并等待目标计算机返回响应数据包来测试网络的可达性，同时也可以测试网络的延迟和丢包率等信息。本地回环地址是网络通信中的特殊地址，指向本机的网络接口，因此通过发送 icmp 数据包到该地址来测试网络连通性和延迟。如果 ping 命令不正确地处理其输入参数，就可能存在被攻击者利用来运行危险的命令的风险。2.ping+IP地址或主机域名+命令参数。3.ping+命令参数+IP地址或主机域名。
攻防世界-- web新手练习区-- writeup汇总
yisosooo的博客
09-22 2586
一篇帖子包含所有题目。 第一题-- view_source 题目提示：鼠标右键好像不管用了。鼠标右键的主要功能之一是选取网易源代码选项，所以可以F12来查看源代码。即可得到flag。 第二题-- get_post 题目提示：HTTP通常使用两种请求方法。HTTP通常使用两种请求方法为GET和POST. 第一步：请用GET方式提交一个名为a,值为1的变量,构造URL：http://111....
攻防世界之command_execution（web简单）
my_name_is_sy的博客
05-31 466
在一个没有写waf的地方给shell命令的执行权限是真的危险啊。 这个题主要考点为shell命令的拼接。 文章中包含了几种常见的shell命令拼接方法。
攻防世界(WEB)——command_execution
NanGuai的博客
10-14 699
首先ping本地（127.0.0.1）可以看到能够连通，想要在ping中夹杂其他指令，可以在命令后跟上分号即可按顺序执行。find / -name “flag*”，可以在找到一个名为flag.txt的文件夹（/home/flag.txt）。要读取本机的文件，首先可以确定要ping的IP地址为127.0.0.1。其大致原理是通过Web应用程序的流量来监控和过滤，从而达到阻止潜在风险的目的。ping是一个大部分人都用过或听过的东西，在我的知识储备里目前就是一个用来检测某个IP通不通的工具。
攻防世界-web-command_execution
MateSnake的博客
05-11 324
攻防世界-web-command_execution
攻防世界command_execution
人若无名，便可专心练剑
03-15 307
command_execution
command_execution(攻防世界）
m0_70819573的博客
02-22 304
command1 && command2 先执行 command1，如果为真，再执行 command2。command1 || command2 先执行 command1，如果为假，再执行 command2。command1 & command2 先执行 command2 后执行 command1。command1 | command2 只执行 command2。2.可以利用字符串拼接，需要掌握有关命令执行的知识。命令执行漏洞（| || & && 称为 管道符）
ctf web5 练习_CTF-攻防世界-WEB新手练习区 Writeup（12题入门题）
weixin_33603656的博客
01-15 3820
注：作者是CTF初学者，边学习边记录，如有错误或疏漏请批评指正，也请各位大佬多多包涵。攻防世界-WEB新手练习区 12题入门题 Writeup(注意：攻防世界WEB题每次生成场景后，有时flag会改变，因此flag不同不要在意，主要是学习解题思路和方法)0X01view_sourceX老师让小宁同学查看一个网页的源代码，但小宁同学发现鼠标右键好像不管用了。题目提示查看源码，鼠标右键不管用，用F12...
command_execution-攻防世界
szhangliwenya的博客
03-26 1262
具体来说，当前主机（发起ping命令的主机）会创建一个特殊的ICMP数据包，其中包含一个Echo请求信息，然后将其发送到目标主机的IP地址。通过ping命令，用户可以判断两台计算机之间的网络连接是否正常，如果计算机之间的网络连接正常，它们应该能够在规定的时间内收到和回复对方的数据包；当要把命令放在后台执行时，在命令的后面加上“&”。它所利用的原理是这样的：利用网络上机器IP地址的唯一性，给目标IP地址发送一个数据包，再要求对方返回一个同样大小的数据包来确定两台网络机器是否连接相通，时延是多少。
command_execution——攻防世界
最新发布
2301_80905479的博客
10-16 360
command1 && command2 先执行 command1，如果为真，再执行 command2。command1 || command2 先执行 command1，如果为假，再执行 command2。command1 & command2 先执行 command2 后执行 command1。command1 | command2 只执行 command2。输入查询语句 | find / -name "flag*"命令执行漏洞（| || & && 称为 管道符）1.测试ping本地回环地址。
攻防世界-command_execution
HEAVEN569的博客
03-17 1147
题目描述：小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。 command_execution： 命令执行。。。。漏洞 windows或linux下命令执行 command1 & command2 ：不管command1执行成功与否，都会执行command2（将上一个命令的输出作为下一个命令的输入），也就是command1和command2都执行 command1 && command2 ：先执行command1执行成功...
攻防世界：command_execution
qq_60905276的博客
11-09 5946
1.攻防世界：command_execution 首先掌握命令执行漏洞（Command Execution）的知识。 命令执行漏洞即使用者可以直接在Web应用中执行系统命令，从而获取敏感信息或者拿下shell权限。其造成的原因是Web服务器对用户输入命令安全检测不足（比如没加waf），导致恶意代码被执行。 ping用于确定本地主机是否能与另一台主机成功交换(发送与接收)数据包，再根据返回的信息，就可以推断TCP/IP参数是否设置正确，以及运行是否正常、网络是否通畅等 如题就是没写waf，用户输入
【攻防世界】command_execution
u010160146的博客
08-09 784
辅助工具：Kali Linux进入目标主机后，第一步工作就是查看一下磁盘中都那些东西，然后再根据文件名查看我们所关心的数据内容。WAF还是挺重要的，在本例中，执行的攻击为：代码注入攻击，还是挺有趣的，和SQL注入类似，都是拼接指令，让其执行。Kali中的WAF工具还是不会用…用Kali中的工具是否能够更加好用些一呢？
攻防世界-WEB：command_execution
wlw1275178332的博客
03-16 286
command1 && command2 先执行 command1，如果为真，再执行 command2。command1 || command2 先执行 command1，如果为假，再执行 command2。题目描述:小宁写了个ping功能,但没有写waf,X老师告诉她这是非常危险的，你知道为什么吗。command1 & command2 先执行 command2 后执行 command1。根据题目描述，我们可以推测应该是在ping命令拼接了其他命令导致文件信息的泄露。发现txt文件，直接用cat查看。
BUUCTF之Exec，攻防世界之command_execution
金 帛的博客
03-16 2322
BUUCTFWP
攻防世界-get_post
08-24
在攻防世界中，"get_post" 是一个题目，要求学习如何使用GET和POST请求来传递参数。在这个题目中，首先让我们使用GET方式传递一个名为a，值为1的变量。我们只需要在URL窗口输入"/?a=1"并回车即可。接下来，又让我们...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值