web129

代码

知识点

• 包含特定字符绕过

做题

子目录

函数/方法

stripos

stripos

(PHP 5, PHP 7, PHP 8) stripos - 查找字符串首次出现的位置（不区分大小写） 返回 needle 存在于 haystack 字符串开始的位置(独立于偏移量)。同时注意字符串位置起始于 0，而不是 1。 如果未发现 needle 将返回 false 。 警告 此函数可能返回布尔值 ，但也可能返回等同于 的非布尔值。请阅读 布尔类型章节以获取更多信息。应使用=== 运算符 来测试此函数的返回值。

https://www.php.net/manual/zh/function.stripos.php

readfile

readfile

https://www.php.net/manual/zh/function.readfile

web130

代码

做题

web131

知识点

• PHP 正则表达式最大回溯/递归表示

代码

做题

PHP中，为了防止一次正则匹配调用的匹配过程过大从而造成过多的资源消耗，限定了一次正则匹配中调用匹配函数的次数。 回溯主要有两种 贪婪模式下，pattern部分被匹配，但是后半部分没匹配（匹配“用力过猛”，把后面的部分也匹配过了）时匹配式回退的操作，在出现*、+时容易产生。 非贪婪模式下，字符串部分被匹配，但后半部分没匹配完全（匹配“用力不够”，需要通配符再匹配一定的长度），在出现*?、+?时容易产生。 ———————————————— 版权声明：本文为CSDN博主「z.volcano」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。 原文链接：https://blog.csdn.net/weixin_45696568/article/details/113631173

Payload

参考资料

深悉正则(pcre)最大回溯/递归限制

今天, Tank 问了一个问题, 对于如下的正则: / .*? /is 当要匹配的字符串长度 大于100014的时候, 就 不会 得出正确结果: $reg = "/ .*? /is"; $str = " ******** "; //长度大于100014 $ret = preg_replace($reg, "", $str); //返回NULL 难道正则对匹配的串有长度限制? 不是, 当然不是, 原因是这样的, 在PHP的pcre扩展中, 提供了俩个设置项. 1. pcre.backtrack_limit //最大回溯数 2. pcre.recursion_limit //最大嵌套数 默认的backtarck_limit是100000(10万). 这个问题, 就和设置项backtrack_limit有关系. 现在要弄清这个问题的原因, 关键就是什么是"回溯". 这个正则, 使用非贪婪模式, 非贪婪模式匹配原理简单来说是, 在可配也可不配的情况下, 优先不匹配.

https://www.laruence.com/2010/06/08/1579.html

web132

代码

做题

web133

知识点

• PHP 执行运算符运行 Shell

• 分隔符中插入变量

代码

做题

• ` 这个符号在PHP中代表了什么？为什么 $F 可以绕过截断？它的作用是否和 eval 类似？
答：`shell code here` 在PHP中的作用和 shell_exec() 一样，要求 shell_exec() 启用的时候才会有效

• 可以绕过截断的情况下，为什么`$F` 不会造成循环调用自身？
答：因为在 shell 环境下，实际上 $F 是没有被赋值的，我们利用下面这个简单的两行代码来看看效果



可以看到，$F 是没有值的， 同时我们可以跑一些自带的命令如 ping 来看一下它的作用。

参考资料

ctfshow web133和其他命令执行的骚操作_Firebasky的博客-CSDN博客

这里是总结自己最近遇到的命令执行题，感觉还是不错分享出来。也欢迎师傅们评论一些骚操作 1.正常解 这个题是自己出的主要是考察，命令执行的骚操作和curl -F的使用 分析一下代码发现仿佛是只能读取前面6个字符去执行命令，禁止了命令执行的函数，并且没有写入权限。可能利用就比较可能 但是，如果我们传递的参数就是$F本身，会不会发生变量覆盖？ 那我们来一个简单的测试, 然后就是利用curl去带出flag.php curl -F 将flag文件上传到Burp的 Collaborator Client （ Collaborator Client 类似DNSLOG，其功能要比DNSLOG强大，主要体现在可以查看 POST请求包以及打Cookies） 使用方法 所以方法原理就是将flag.php上传到bp的Collaborator Client.获得flag 在线工具 2.新思路 但是总是有师傅用其他方法,嘻嘻嘻比如说 羽师傅 羽师傅是利用curl 去带出数据类似于dnslog 但是自己之前测试过带出数据只能一排一排的带出，数据太多就不行 测试 而我的test.php内容是 这就说明只能一排一排的带出数据。 那么我们想一想flag.php里面肯定有flag想一想有没有特点用于区别其他行？ hhh,当然是 flag{}啦，我们就可以使用 grep 命令进行筛选(经过测试发现一排只能带65个字符) 实验 test2.php内容是 成功获得flag 细心的师傅就会发现6个字符截断其实是一个小小的坑~ 还有这里解释一下，反弹shell可能不会成功，自己测试了一下大概是因为& 符合的影响，在GET方法中识别成变量的分隔符。可能是我太菜了，没有成功~。成功的师傅可以分析一下呢 1.base64绕过 这里源代码非常简单就是不能匹配正则表达式上面的字母 想一想可以通过编码的方法来绕过，linux下面支持base64编码和解码。 base64 -d用来解码。 使用思路就清楚啦，先将命令进行base64编码然后去base64 -d解码，然后通过bash去执行。 payload: echo$IFS$9Y2F0ICAvZmxhZwo=|base64$IFS$9-d|bash 意思是： echo cat /flag | base64 -d|bash 将cat /flagbase64编码的进行base64解码然后通过bash执行 (注意的是需要多次改变空格来保证不需要命令执行情况而且不能包含正则表达式上面的字母） 2.

https://blog.csdn.net/qq_46091464/article/details/109095382

PHP: 执行运算符 - Manual

Just a general usage note. I had a very difficult time solving a problem with my script, when I accidentally put one of these backticks at the beginning of a line, like so: [lots of code]` $URL = "blah...";[more code] Since the backtick is right above the tab key, I probably just fat-fingered it while indenting the code.

https://www.php.net/manual/zh/language.operators.execution.php

web134

知识点

• 利用 parse_str 覆盖数组

• 利用 extract 将数组解析为变量

做题

web135

代码

知识点

• 使用通配符绕过正则表达式

• 该题文件可写，直接复制一个就行了。。

• 使用ping与dnslog逐行将内容带出（反正我没搞出来（

做题

非预期解 1

非预期解 2

预期解

web136

知识点

• exec 执行 linux 指令

• tee 将标准输出输出至文件

代码

做题

Linux and Unix tee command tutorial with examples | George Ornbo

Tutorial on using tee, a UNIX and Linux command for copying standard input to standard output and making a copy to one or more files. Examples of writing to a file, appending to a file and writing to a privileged file.

https://shapeshed.com/unix-tee/

web137

知识点

• class 静态方法的调用

• call_user_func 使用 class::method 调用类方法

代码

做题

参考资料

How do I dynamically invoke a class method in PHP?

EDIT: I just worked out what you were trying to ask... ah well.. will leave my comments in anyway. You can substitute names of classes and methods with variables if you like..(but you are crazy) - nick To call a function from within a class you can do it one of two ways...

https://stackoverflow.com/questions/273169/how-do-i-dynamically-invoke-a-class-method-in-php

web138

代码

知识点

• class 静态方法的调用

• call_user_func 使用 class::method 调用类方法

做题

web139

知识点

• 利用时间盲注来猜测文件名&字符串

• linux 截取字符串的方法

• Python 的 for 循环语句

• ASCII 码表

做题

参考资料

What linux shell command returns a part of a string?

In "pure" bash you have many tools for (sub)string manipulation, mainly, but not exclusively in parameter expansion : ${parameter//substring/replacement} ${parameter##remove_matching_prefix} ${parameter%%remove_matching_suffix} Indexed substring expansion (special behaviours with negative offsets, and, in newer Bashes, negative lengths): ${parameter:offset} ${parameter:offset:length} ${parameter:offset:length} And of course, the much useful expansions that operate on whether the

https://stackoverflow.com/questions/219402/what-linux-shell-command-returns-a-part-of-a-string

使用awk命令获取文本的某一行，某一列_aywb1314的博客-CSDN博客_awk 第二行

1、打印文件的第一列(域) ： awk '{print $1}' filename2、打印文件的前两列(域) ： awk '{print $1,$2}' filename3、打印完第一列，然后打印第二列 ： awk '{print $1 $2}' filename4、打印文本文件的总行数 ：

https://blog.csdn.net/aywb1314/article/details/52239281

web140

代码

知识点

• 松散比较

• 对于函数的intval

做题

参考资料

php弱类型、强类型总结

CTF中遇到过的弱类型及强类型绕过

https://flag0.com/2019/09/20/php%E5%BC%B1%E7%B1%BB%E5%9E%8B/

web141

代码

知识点

• 无字母数字绕过正则表达（取反/异或）

• PHP 7 解析方式特性 (function/variable)(param)

做题

取反

异或

参考资料

无字母数字绕过正则表达式总结（含上传临时文件、异或、或、取反、自增脚本）_羽的博客-CSDN博客

题目例子<?phperror_reporting(0);highlight_file(__FILE__);$code=$_GET['code'];if(preg_match('/[a-z0-9]/i',$code)){ die('hacker');}eval($code);我们下面以命令system('ls')为例一、异或<?php/*author yu22x*/$myfile =

https://blog.csdn.net/miuzzx/article/details/109143413

PHP: 不向后兼容的变更 - Manual

PHP 7 现在使用了抽象语法树来解析源代码。这使得许多由于之前的PHP的解释器的限制所不可能实现的改进得以实现。 但出于一致性的原因导致了一些特殊例子的变动，而这些变动打破了向后兼容。 在这一章中将详细介绍这些例子。

https://www.php.net/manual/zh/migration70.incompatible.php

web142

代码

做题

web143

代码

做题

web144

代码

做题

web145

代码

知识点

• 运算符与函数的配合

做题

web146

• 运算符与函数的配合

代码

做题

web147

代码

做题

• 为什么 \ 可以绕过正则表达式？



答：这里可以看到官方对于全局空间的概念。

如果没有定义任何命名空间，所有的类与函数的定义都是在全局空间，与 PHP 引入命名空间概念前一样。在名称前加上前缀 \ 表示该名称是全局空间中的名称，即使该名称位于其它的命名空间中时也是如此。（参考资料3）

php里默认命名空间是\，所有原生函数和类都在这个命名空间中。普通调用一个函数，如果直接写函数名function_name()调用，调用的时候其实相当于写了一个相对路径；而如果写\function_name() 这样调用函数，则其实是写了一个绝对路径。 如果你在其他namespace里调用系统类，就必须写绝对路径这种写法。 接下来第二个参数可以引发危险的函数。（参考资料1）

刚好该题中正则表达式又限制了不允许只出现数字和下划线，用一个 \ 即可成功绕过正则表达式。

参考资料

create function php,PHP create_function()代码注入_寒墨夜殇的博客-CSDN博客

查看代码 分析 变量$action要出现数字字母以外的字符，还要执行函数。 /i不区分大小写 /s匹配任何不可见字符，包括空格、制表符、换页符等等 /D如果使用$限制结尾字符,则不允许结尾有换行 这里要绕过正则，经过百度得知\ 百度百科： php里默认命名空间是\，所有原生函数和类都在这个命名空间中。普通调用一个函数，如果直接写函数名function_name()调用，调用的时候其实相当于写了一个相对路径；而如果写\function_name() 这样调用函数，则其实是写了一个绝对路径。 如果你在其他namespace里调用系统类，就必须写绝对路径这种写法。 接下来第二个参数可以引发危险的函数。 这里注意到参数的构造方式 $action('',$arg); 很显然，需要一个可以输入至少2个参数的函数 发现create_function create_function在构建函数的时候，也是使用的字符串拼接的方式，将第二个参数的$code传入到其中 create_function函数 string create_function ( string $args , string $code ) string $args 变量部分 string $code 方法代码部分 举例： create_function('$fname','echo $fname."Zhang"') 类似于： function fT($fname) { echo $fname."Zhang"; } 尝试构造payload ?action=%5ccreate_function&arg=1";}phpinfo();/* ?action=\create_function&arg=1;}print_r(file_get_contents('../flag_h0w2execute_arb1trary_c0de'));/* 标签：function,string,create,fname,action,PHP,函数 来源： https://www.cnblogs.com/ZHH-BA/p/12468480.html

https://blog.csdn.net/weixin_33169898/article/details/115145469

create_function

(PHP 4 >= 4.0.1, PHP 5, PHP 7) create_function - Create an anonymous (lambda-style) function 警告 This function internally performs an and as such has the same security issues as . Additionally it has bad performance and memory usage characteristics. If you are using PHP 5.3.0 or newer a native anonymous function should be used instead.

https://www.php.net/manual/zh/function.create-function.php

PHP: 全局空间 - Manual

In namespaced context the Exception class needs to be prefixed with global prefix operator.

https://www.php.net/manual/zh/language.namespaces.global.php

create_function函数如何实现RCE | Mochazz's blog

这是在 code-breaking 中遇到的一道题目，名为：easy - function。题目地址： http://51.158.75.42:8087 ??

https://mochazz.github.io/2019/01/12/create_function%E5%87%BD%E6%95%B0%E5%A6%82%E4%BD%95%E5%AE%9E%E7%8E%B0RCE/

web148

代码

非预期解

预期解

web149

代码

做题

web150

代码

做题

web150_plus（未完成）

代码

做题

参考资料

Session 上传进度

https://www.php.net/manual/zh/session.upload-progress.php