企业网站建设案例南京网站建设价位

企业网站建设案例,南京网站建设价位,竞赛网站开发,江西网站建设公司将初始url中img参数的内容进行两次base64解码以及一次16进制解码后#xff0c;可以得到555.png。可以将参数改为index.php进行一次16进制编码、两次base64编码后传参#xff0c;获取到index.php的源码。?php error_reporting(E_ALL || ~ E_NOTICE); header(content-type…将初始url中img参数的内容进行两次base64解码以及一次16进制解码后可以得到555.png。可以将参数改为index.php进行一次16进制编码、两次base64编码后传参获取到index.php的源码。?phperror_reporting(E_ALL||~E_NOTICE);header(content-type:text/html;charsetutf-8);$cmd$_GET[cmd];if(!isset($_GET[img])||!isset($_GET[cmd]))header(Refresh:0;url./index.php?imgTXpVek5UTTFNbVUzTURabE5qYz0cmd);$filehex2bin(base64_decode(base64_decode($_GET[img])));$filepreg_replace(/[^a-zA-Z0-9.]/,,$file);if(preg_match(/flag/i,$file)){echoimg src ./ctf3.jpeg;die(xixi no flag);}else{$txtbase64_encode(file_get_contents($file));echoimg srcdata:image/gif;base64,.$txt./img;echobr;}echo$cmd;echobr;if(preg_match(/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\|\|\|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\[^\d]||\||\\$|\[|\]|{|}|\(|\)|-||/i,$cmd)){echo(forbid ~);echobr;}else{if((string)$_POST[a]!(string)$_POST[b]md5($_POST[a])md5($_POST[b])){echo$cmd;}else{echo(md5 is funny ~);}}?前面较为容易绕过较为难绕过的是下述代码echo$cmd;echobr;if(preg_match(/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\|\|\|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\[^\d]||\||\\$|\[|\]|{|}|\(|\)|-||/i,$cmd)){echo(forbid ~);echobr;}else{if((string)$_POST[a]!(string)$_POST[b]md5($_POST[a])md5($_POST[b])){echo$cmd;}else{echo(md5 is funny ~);}}可以看到$cmd参数设置了较为严格的过滤常见的查看文件内容的命令都被过滤more less head tail cat但是还有其他方法可以查看文件内容base64 /flag strings /flag接下来还需要以post方式传参a和b两个参数且a与b不能相等但是他们的md5值严格相等。if((string)$_POST[a]!(string)$_POST[b]md5($_POST[a])md5($_POST[b])){echo$cmd;}可用下面两个字符串虽然他们的值不同但是他们的md5值相同TEXTCOLLBYfGiJUETHQ4hAcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak TEXTCOLLBYfGiJUETHQ4hEcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak最终payload如下