[Hello-CTF]RCE-Labs超详细WP-Level 5

源码分析

• 主要看 hello_shell 函数, 后面的接受 GET 请求参数显示源码就不说了

  • 首先是一个判断语句, 判断的条件是 preg_match 函数的结果

    • 在这里 preg_match 有两个参数
    • 一个是 "/flag/", 一个是函数的 cmd 参数
    • 其作用就是检测 cmd 中是否有 flag 字符
    • 或许会问, 为什么是 flag, 两个 / 去哪了
      • 其实前面 重点看 preg_replace('/_/', '-', $_SESSION['random_func']); 函数 就提到了
      • / /是 PHP 中 正则表达式 的定界符, 用来表示正则表达式的区间
    • 而判断语句内是die 函数
      • 这个函数是用于停止整个PHP脚本, 并且返回其内容
        

  • 总体看来, 就是判断 cmd 参数是否有 flag 字符, 如果有的话就退出脚本, 如果没有的话就继续执行函数接下来语句

    • 而这个就是一个最简单的 WAF, 即网页应用防火墙 (在不管是CTF, 还是Web渗透中, 最常见的就是绕过WAF吧 🙃)

  • 接下来的语句就是把 cmd 作为系统命令去执行了

解题分析

• 整代码看下来, 我们要通过 GET 请求传入 cmd 参数, 参数中是获取 flag 的语句, 但是其中又不能含有 flag 字符
• 这里就可以看到注释中给的提示, 可以通过 通配符 和 空字符来绕过(注意了, 这里是在Shell命令中)

空字符

• 简单来说就是使用引号包裹的字符(或者什么都包裹), 在运行时会除去引号运行

  ?cmd=cat /f''lag
  ?cmd=cat /f'l'ag
  

  • 即上述两个Payload都是执行 cat /flag

通配符(这里引用一下靶场的WP)

• 如果会 正则表达式 对于通配符应该不陌生, 就是通过一些特殊符号(即通配符), 使一个字符串可以匹配多个字符串
  • 如 (不举例, 上面的表格已经是例子了)

解题步骤

- 那我就随机取一个绕过方式简单截个图 (这里是 GET 请求, 就不用BP抓包截图了)

• 这里的引号自动被浏览器进行 URL编码 了, 原本的 Payload 为 ?cmd=cat /f'l'ag

附

• 靶场在Github上的WP还讲到了 赋值与拼接 、反斜杠 和 特殊变量 的绕过WAF的方法, 记得去看哦