搜索

[17094] 2021-07-31_记一个限制长度命令执行的操作

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-31_记一个限制长度命令执行的操作 记 一 个 限 制 长 度 命 令 执 行 的 操 作 原 创   r 0 y a n x   F r e e B u f   2 0 2 1 - 0 7 - 3 1 0 x 0 0   前 言 前 言 本 文 来 源 于 一 道 C T F 题 ， 这 是 一 道 文 件 上 传 题 ， 限 制 了 上 传 内 容 长 度 小 于 1 5 个 字 符 ， 且 校 验 文 件 头 ， 上 传 文 件 拓 展 名 采 用 黑 名 单 限 制 ， 最 终 使 用 了 一 个 巧 妙 的 方 法 成 功 g e t s h e l l 。 0 x 0 1   一 顿 操 作 拿 一 顿 操 作 拿 f l a g 首 先 题 目 打 开 后 页 面 如 下 ， 扫 描 了 一 下 目 录 未 发 现 其 它 文 件 上 传 一 张 图 片 ， 提 示 长 度 不 能 大 于 等 于 1 5 然 后 把 文 件 内 容 改 短 一 点 ， 可 以 看 到 是 会 校 验 文 件 内 容 的
用 常 用 的 文 件 头 可 以 绕 过 ， 如 然 后 再 测 测 文 件 名 ， 发 现 后 缀 是 会 拦 截 简 单 测 试 发 现 是 黑 名 单 ， 那 就 简 单 的 等 多 种 拓 展 名 可 绕 过 G I F 8 9 A p h p p h t / p h t m l
因 为 限 制 了 长 度 ， 所 以 使 用 ， 不 闭 合 也 能 执 行 ， 可 以 尽 可 能 缩 短 内 容 长 度 然 后 根 据 返 回 的 文 件 路 径 ， 访 问 文 件 ， 可 以 看 到 p h p 代 码 确 实 执 行 了 再 想 执 行 稍 长 一 点 的 命 令 ， 发 现 已 经 超 长 了 ， 所 以 接 下 来 的 问 题 就 是 缩 短 文 件 内 容 长 度 测 试 发 现 仅 使 用 作 为 文 件 头 也 能 成 功 绕 过 文 件 头 校 验 p h p 短 标 签 p h p 标 签 G I F
然 后 居 然 就 这 么 看 到 疑 似 f l a g 的 东 西 ， 提 交 上 去 是 对 的 ？ ？ ？ 0 x 0 2   进 阶 进 阶 g e t s h e l l 看 到 这 个 f l a g 我 不 禁 陷 入 沉 思 ， 题 目 这 么 出 有 什 么 意 思 ？ ？ ？ 这 不 是 单 纯 恶 心 人 么 ？ ？ ？ 于 是 想 是 否 还 有 其 它 方 式 能 够 绕 过 长 度 拦 截 ， 从 而 g e t s h e l l 呢 ？ 既 然 文 件 内 容 长 度 是 有 限 制 的 ， 但 是 文 件 名 却 没 有 限 制 ， 那 么 是 否 能 通 过 控 制 文 件 名 来 执 行 想 要 的 命 令 呢 ？ 于 是 研 究 起 l i n u x 命 令 ， 发 现 可 以 让 当 前 目 录 的 文 件 名 作 为 命 令 执 行 当 前 目 录 的 文 件 名 作 为 命 令 执 行 本 地 生 成 一 个 名 为 的 文 件 ， 使 用 命 令 可 以 看 到 把 文 件 名 作 为 命 令 执 行 了 因 为 本 身 就 会 把 的 值 作 为 命 令 执 行 ， 号 统 配 符 代 表 了 当 前 目 录 所 有 的 文 件 名 ， 所 以 便 执 行 成 功 根 据 这 个 思 路 ， 构 造 文 件 内 容 ， 发 现 长 度 超 了 ， 1 6 位 正 好 超 一 位 s h   - c   * w h o a m i s h   - c   * s h   - c - c *
于 是 测 试 其 它 文 件 头 ， 发 现 可 用 接 下 来 便 是 构 造 文 件 名 了 ， 我 们 既 要 文 件 名 后 缀 为 p h p 可 执 行 的 ， 又 要 执 行 命 令 ， 可 用 使 用 号 来 分 割 命 令 ， 先 试 试 ， 通 过 号 分 割 后 ， 即 便 后 面 的 不 能 正 常 执 行 也 不 影 响 前 面 的 命 令 执 行 访 问 文 件 看 到 执 行 成 功 了 B M . p h t ; w h o a m i ; . p h t ; . p h t
然 后 就 是 写 s h e l l ， 因 为 要 写 到 文 件 名 所 以 把 文 件 内 容 b a s e 6 4 编 码 一 下 再 通 过 重 定 向 写 入 文 件 发 送 上 传 包 ， 成 功 写 入 这 个 畸 形 的 文 件 名 及 内 容 接 下 来 要 访 问 一 下 ， 才 能 让 它 执 行 并 生 成 ， 这 里 需 要 把 空 格 U R L 编 码 ， 然 后 2 0 0 访 问 成 功 再 访 问 一 下 上 传 命 令 的 ， 2 0 0 访 问 成 功 1 . p h t e c h o   P D 9 w a H A g Z X Z h b C g k X 1 B P U 1 R b M V 0 p O w = = | b a s e 6 4   - d   > 1 . p h t ; . p h t 1 . p h t 1 . p h t
然 后 就 拿 个 w e b s h e l l 连 接 工 具 就 行 了 ， 这 里 用 的 是 蚁 剑
0 x 0 3   修 复 建 议 修 复 建 议 白 名 单 制 限 制 上 传 文 件 的 拓 展 名 强 制 修 改 文 件 名 ， 如 使 用 随 机 字 符 串 作 为 文 件 名 0 x 0 4   小 结 小 结 本 文 介 绍 了 一 种 限 制 上 传 文 件 内 容 长 度 的 绕 过 思 路 ， 如 有 雷 同 ， 纯 粹 巧 合 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理