这篇博客讲述了在ACTF2020新生赛中遇到的一个Web安全问题，题目中存在一个输入框，允许执行Linux命令。通过输入如1;ls、1|cat/flag等命令，可以揭示网站文件系统中的信息，最终发现可以通过1;cat/flag或使用管道符直接读取到flag文件的内容。这展示了Web应用中命令注入的潜在风险。
[ACTF2020 新生赛]Exec
和前面的一道pingpingping很像，但这个有输入框，所以就不用在URL里构造了，直接尝试1;ls，发现有index.php文件，但是这个就是页面文件，查看了也没有用。
后来发现直接1;cat /flag就可以了（缓缓打出一个？）或者用管道符1|cat /flag，直接执行后面的语句；a||cat /flag前面的语句出错了就执行后面的语句；1&cat /flag两条语句一起执行。
扫一扫
评论
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
添加红包
