WEB12~13

##解题思路1(WEB12)

首先跟上几题一样,flag在config.php里,但是过滤更加严格了,cat和php之类的全过滤了,怎么办?

分析一下,正常的执行函数不能用,但没有过滤passthru,查看命令less、more、tac之类的都没有过滤,文件名和路径拼接过滤了,但是加密一下就可以啦!

但现在问题来了,加密该如何加密?

我们就需要将config.php进行base64编码,然后进行decode,再放到passthru函数里

于是乎,payload如下

复制代码
?c=$a=base64_decode('Y29uZmlnLnBocA==');passthru("tac $a");

##解题思路2(WEB12)

经过看网上的wp,发现其实还有第二种方法,我们需要知道以下内容

复制代码
反引号``, 可执行系统命令, 并返回一个字符串类型的变量, 用来保存命令的执行结果, 需要注意的是, 反引号``中的命令会先被执行并将结果以字符串类型的变量返回, 而后再参与到其他代码的执行, 类似一个函数

使用样例如下,如果我们使用反引号将ls命令括起来,那么返回结果将会作为字符串,而echo能打印字符串

复制代码
?c=echo `ls|grep confi*`;

于是结果如下

基于以上原理,最终结合最开始讲的命令执行函数,payload如下

复制代码
?c=passthru('tac `ls|grep confi*`');

如果用more之类查看文件命令的,页面没有回显,那么查看页面源码,就可以得到flag啦!

##解题思路(WEB13)

其实就是在WEB12的基础上,多了分号 ; 和file的过滤,其余逻辑都一样,那就说明,我们只需要绕过其中一个就好了。

我们可以用?>代替;完成闭合,最终payload是

复制代码
?c=$a=base64_decode('Y29uZmlnLnBocA==');passthru("tac $a")?>

直接get flag

相关推荐
还鮟3 分钟前
CTF Web PHP弱类型与进制绕过(过滤)
php·ctf
zorro_z7 分钟前
PHP语法基础篇(八):超全局变量
php
hanniuniu133 小时前
AI时代API挑战加剧,API安全厂商F5护航企业数字未来
人工智能·安全
zhulangfly3 小时前
API接口安全-1:身份认证之传统Token VS JWT
安全
时时三省5 小时前
【时时三省】vectorcast使用教程
安全·安全架构
galaxylove5 小时前
Gartner发布最新指南:企业要构建防御性强且敏捷的网络安全计划以平衡安全保障与业务运营
网络·安全·web安全
PeterJXL6 小时前
Chrome 下载文件时总是提示“已阻止不安全的下载”的解决方案
前端·chrome·安全
九分源码9 小时前
基于PHP+MySQL组合开发开源问答网站平台源码系统 源码开源可二次开发 含完整的搭建指南
mysql·开源·php
BenSmith10 小时前
CVE-2025-6554漏洞复现
安全
BenSmith10 小时前
CVE-2018-17463复现
安全