【CTF 攻略】如何绕过四个字符限制getshell
2017-11-10 18:21
363 查看
作者:qqwe_01
预估稿费:400RMB
投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿
前言
本文主要整理如何巧用Linux命令绕过命令注入点的字符数量限制,内容围绕HITCON CTF 2017 的两道题展开,先讲五个字符的限制,再讲四个字符的。在此感谢下主办方分享这么有趣的点子。
热身
问题的起源是 HITCON CTF 2017 的 BabyFirst Revenge 题,题目的主要代码如下:
目标环境根据每个访问者的IP为其在sandbox里新建一个文件夹并作为其工作目录,接受并执行访问者提交的命令。访问者可随时通过提交reset来重置环境。这是个有限制无回显的后门,命令长度要求小于等于5 ,我们会希望利用这一点撕开口子,往服务器上写一个自己的木马,从而扩大命令执行范围。
我们所面临的最主要问题是能够执行的命令长度太短,因此考虑把命令写进文件里再执行,命令的功能是下载我们指定的文件。
在此之前,先做些知识铺垫。
IP的等价表示法
IP地址本质上就是一个整数,只是通常用点分十进制表示,以至于我们反而不太熟悉它本来的样子。只要必要,我们可以用十六进制、长整数、八进制表示IP,大部分情况下效果是相同的。
它们之间的转换也很方便:
利用续行符拆分命令成多行
用两个字符在Linux下创建文件
将命令执行结果重定向到文件
利用重定向向文件追加内容
删除文件
ls 的文件排列顺序
一句alphabetical耐人寻味,不过大致顺序就是如下图所示。
开始表演
假设我有一台目标服务器能够访问到的公网主机,为了方便我把该主机IP转换成长整数,然后利用以上的知识将 curl ip > A 用续行方式切割成多行写进文件 A ,然后执行 sh A 就可以下载到预先放在公网主机上的文件并且覆盖本地的文件A,而下载下来的文件内容是用来写PHP木马的PHP代码,我再执行 php A就可以写个自己的webshell进去啦。
这里比较取巧的是我的公网IP转成长整形恰好能分割成顺序的四段,如果构造不出来,可以试试十六进制,八进制,找台能用的主机等等:)或者继续往下看,还会有其他办法。
另外,其实GET也是能用的,只是目标主机里没有安装所以这题不能用。
接下来让我们完成最后30%的工作,写个exp。
挑战升级
这篇文章有趣的地方才刚刚开始。
代码只改了一个字符,但趣味已经不在一个量级。一脸懵逼的我看了大佬们的wp后兴奋不已。
BabyFirst Revenge v2:
只有四个字符的施展空间意味着我们能做的事情少之又少,但Linux本身的简洁给了我们机会。
突破之旅从神奇的星号 * 开始。
经过简单测试我们猜测 * 的作用相当于 `ls` 。这其实相当厉害,我们本就基本上可以创建任意名字的短文件,现在又可以一个字符就把这些文件名连起来当作命令执行,这提供了很大的想象空间。
还有本质上一样但现象很有趣的,待会儿会用到:
虽然这些特技提供了一些可能性,但是 ls 列出的文件顺序问题仍然是个挑战,我们很难在 alphabetical 序的基础上构造出有用的命令。
写入时间是我们可以控制的,如果能执行 ls –t(将文件按时间排序输出),那么只要把想执行的命令分割成若干段然后逆序写入,就可以随心所欲地构造出任意命令。考虑到 ls -t 本身就已经有4个字符了,我们故技重施,先将 ls -t > f 写入文件 g 中,然后执行 sh g 即可将我们分段逆序写入的命令拼接起来。
在开始操作前,再介绍两个会用到的命令:dir 和 rev。
dir
在GNU文档中有下图这样的描述:
虽然基本上和 ls 一样,但有两个好处,一是开头字母是d ,这使得它在 alphabetical 序中靠前,二是按列输出,不换行。
rev
这个前面出场过,可以反转文件每一行的内容。
实验一下:
开始挑战
需要知道的命令和 tips 都已经介绍了,下面是代码和解释:
后记
我相信除了文中给出的方法外一定还有一些奇招,大家可以多多探索,可以围观HITCON CTF 2107的官方解答区,还可以学习下Phithon师傅的《小密圈里的那些奇技淫巧》 中与本文主题相关的部分。
最后,如果关于文章内容有任何建议或疑惑,你可以在https://findneo.github.io/ 联系本文作者。感谢阅读\o/
本文由 安全客 原创发布,如需转载请注明来源及本文地址。
本文地址:http://bobao.360.cn/ctf/detail/214.html
相关文章推荐
- 如何绕过PowerShell Execution Policy限制?
- 如何限制textBox输入字符长度?MaxLength属性一下搞定!
- C语言如何将每行代码限制在80个字符
- Flex中TextInput组件如何设置限制某些字符的输入
- symbian 2nd如何绕过程序管理器的限制
- Flex中TextInput组件如何设置限制某些字符的输入
- 如何绕过图片格式限制上传木马获取WebShell
- symbian 2nd如何绕过程序管理器的限制
- 禁用了PowerShell又如何?看我如何用PowerShell绕过应用白名单、环境限制、以及杀毒软件
- Flex中TextInput组件如何设置限制长度,字符
- 超级简单:在一个TextArea中如何限制行数和字符数
- [技巧]如何绕过MaxtoCode的15天限制
- android 中如何限制 EditText 最大输入字符数
- android 中如何限制 EditText 最大输入字符数
- android 中如何限制 EditText 最大输入字符数
- EditText字符个数限制如何操作 两种方法
- android 中如何限制 EditText 最大输入字符数
- 超级简单:在一个TextArea中如何限制行数和字符数
- 请问如何更改dedecms“文件保存目录”的字符限制 ?
- 如何在一个脚本文件中超越OSQL的1000字符限制