无字母数字webshell之命令执行

源码

题目限制:

  1. webshell长度不超过35位
  2. 除了不包含字母数字,还不能包含$_

这里使用php5来解决

可以围绕以下两点展开:

  1. shell下可以利用.来执行任意脚本
  2. Linux文件名支持用glob通配符代替

.或者叫period,它的作用和source一样,就是用当前的shell执行一个文件中的命令。比如,当前运行的shell是bash,则. file的意思就是用bash执行file文件中的命令

并且用. file执行文件,是不需要file有x权限的

我们可以发送一个上传文件的POST包,此时PHP会将我们上传的文件保存在临时文件夹下,默认的文件名是/tmp/phpXXXXXX

由于执行该命令也需要用到字母,那此时可以用到glob通配符

1.*可以代替0个及以上任意字符

2.?可以代表1个任意字符

这是由于能够匹配上/???/?????????这个通配符的文件有很多,如果先匹配到别的文件则会出现错误,导致整个流程停止,根本不会执行到我们上传的文件。

通过ASCII码表可得知,大写字母位于@[之间

先创建一个文件(文件名要对上),测试

构造POC,执行任意命令

php生成临时文件名是随机的,最后一个字符不一定是大写字母

复现漏洞还需要用于存放shell命令的文件以及用于提交表单的html

这里把提交的表单数据复制过来

需要将request中的get改为post,因为get提交没有临时文件。这里post作为请求体,而code作为get传参,执行完后才会删除临时文件

code为

php 复制代码
`?><?=`. +/???/????????[@-[]`;?>`

get传参需要url编码

第一个?>为闭合,+为空格编码

通过eval()执行反引号从而执行系统命令

在burpsuite中可以不转码

注意:这里的POST与GET参数是并行的

想要查看临时文件是否生成,可以用sleep()函数

相关推荐
xingxing_F5 分钟前
Network Radar for Mac 网络扫描管理软件
网络·macos
wanhengidc10 分钟前
巨椰云手机引领未来
运维·服务器·网络·游戏·智能手机
九河云42 分钟前
TOS + 数字孪生:集装箱码头的智能进化密码
大数据·服务器·网络·数据库·数字化转型
MonkeyKing_sunyuhua1 小时前
python线程间怎么通信
android·网络·python
沐浴露z1 小时前
一篇文章讲清 UPD协议 与 TCP协议
网络·网络协议·tcp/ip·计算机网络
云飞云共享云桌面1 小时前
广东某模具制造工厂用一台云服务器供8个研发设计同时用
linux·运维·服务器·网络·自动化·制造
电鱼智能的电小鱼1 小时前
服装制造企业痛点解决方案:EFISH-SBC-RK3588 预测性维护方案
网络·人工智能·嵌入式硬件·算法·制造
IPIDEA全球IP代理2 小时前
跨境卖家该选静态IP还是动态IP?
网络·网络协议·tcp/ip
东风西巷2 小时前
MyLanViewer(局域网IP扫描软件)
前端·网络·网络协议·tcp/ip·电脑·软件需求
知北游天3 小时前
Linux网络:使用TCP实现网络通信(服务端)
linux·网络·tcp/ip