无字母数字webshell之命令执行

源码

题目限制:

  1. webshell长度不超过35位
  2. 除了不包含字母数字,还不能包含$_

这里使用php5来解决

可以围绕以下两点展开:

  1. shell下可以利用.来执行任意脚本
  2. Linux文件名支持用glob通配符代替

.或者叫period,它的作用和source一样,就是用当前的shell执行一个文件中的命令。比如,当前运行的shell是bash,则. file的意思就是用bash执行file文件中的命令

并且用. file执行文件,是不需要file有x权限的

我们可以发送一个上传文件的POST包,此时PHP会将我们上传的文件保存在临时文件夹下,默认的文件名是/tmp/phpXXXXXX

由于执行该命令也需要用到字母,那此时可以用到glob通配符

1.*可以代替0个及以上任意字符

2.?可以代表1个任意字符

这是由于能够匹配上/???/?????????这个通配符的文件有很多,如果先匹配到别的文件则会出现错误,导致整个流程停止,根本不会执行到我们上传的文件。

通过ASCII码表可得知,大写字母位于@[之间

先创建一个文件(文件名要对上),测试

构造POC,执行任意命令

php生成临时文件名是随机的,最后一个字符不一定是大写字母

复现漏洞还需要用于存放shell命令的文件以及用于提交表单的html

这里把提交的表单数据复制过来

需要将request中的get改为post,因为get提交没有临时文件。这里post作为请求体,而code作为get传参,执行完后才会删除临时文件

code为

php 复制代码
`?><?=`. +/???/????????[@-[]`;?>`

get传参需要url编码

第一个?>为闭合,+为空格编码

通过eval()执行反引号从而执行系统命令

在burpsuite中可以不转码

注意:这里的POST与GET参数是并行的

想要查看临时文件是否生成,可以用sleep()函数

相关推荐
_丿丨丨_5 小时前
XSS(跨站脚本攻击)
前端·网络·xss
一只栖枝6 小时前
HCIA-Security 认证精讲!网络安全理论与实战全掌握
网络·web安全·网络安全·智能路由器·hcia·it·hcia-security
FileLink跨网文件交换6 小时前
文件摆渡系统十大软件|文件摆渡系统如何构建网络安全呢?
网络
晨欣9 小时前
大型语言模型(LLM)在网络安全中最具商业价值的应用场景(Grok3 回答 DeepSearch模式)
网络·web安全·语言模型
有书Show10 小时前
个人IP的塑造方向有哪些?
网络·网络协议·tcp/ip
HHRL-yx10 小时前
C++网络编程 5.TCP套接字(socket)通信进阶-基于多线程的TCP多客户端通信
网络·c++·tcp/ip
迈威通信10 小时前
接口黑洞?破!安全堡垒?筑!冰火炼狱?战!MES7114W终极掌控
网络·安全
baynk11 小时前
wireshark的常用用法
网络·测试工具·wireshark·ctf
莫到空离12 小时前
LVS三种模式实战
linux·服务器·网络
云计算运维-小白白12 小时前
基于阿里云云服务器-局域网组网软件
运维·服务器·网络