xctf中command_execution

观察题目，
对于看到ping或者ping命令却没有弄waf时就要想到命令注入。
看到ping命令就可以利用截断来执行新的命令。
首先测试所有的截断符号：
‘$’
‘;’
‘|’
‘-’
‘(’
‘)’
‘反引号’
‘||’
‘&&’
‘&’
‘}’
‘{’
'%0a’可以当作空格来用；
利用截断符号配合普通命令简单问题基本就出来；
例如：127.0.0.1;cat /home/flag.txt
简单的flag就出来了，也可以配合其他的进行；

原因

系统提供命令执行类函数主要方便处理相关应用场景的功能.而当不合理的使用这类函数，同时调用的变量未考虑安全因素，就会执行恶意的命令调用，被攻击利用。