2024 CISCN WEB 部分wp

很可惜差一点点解出ezjava 之后花时间好好研究一下 py的栈帧绕过也是完全没见过学到了很多新东西

又是被二进制爷带飞的两天

Simple_php

if(isset($_POST['cmd'])){
    $cmd = escapeshellcmd($_POST['cmd']); 
     if (!preg_match('/ls|dir|nl|nc|cat|tail|more|flag|sh|cut|awk|strings|od|curl|ping|\*|sort|ch|zip|mod|sl|find|sed|cp|mv|ty|grep|fd|df|sudo|more|cc|tac|less|head|\.|{|}|tar|zip|gcc|uniq|vi|vim|file|xxd|base64|date|bash|env|\?|wget|\'|\"|id|whoami/i', $cmd)) {
         system($cmd);
}

php签到但是真的过滤了很多差点没签到上

escapeshellcmd没见过看看文档

escapeshellcmd:
(PHP 4, PHP 5, PHP 7)
shell 元字符转义
string escapeshellcmd ( string $command )
escapeshellcmd() 对字符串中可能会欺骗 shell 命令执行任意命令的字符进行转义。 此函数保证用户输入的数据在传送到 exec() 或 system() 函数，或者 执行操作符 之前进行转义；反斜线（\）会在以下字符之前插入： &#;`|*?~<>^()[]{}$, \x0A 和 \xFF；’ 和 " 仅在不配对儿的时候被转义；在 Windows 平台上，所有这些字符以及 % 和 ! 字符都会被空格代替

正常情况下下面这些关键字可以直接用‘’去绕过如l‘’s，但是这些都用不来了

用%0a绕过正则判断

l%0as / 绕过没看到flag

翻找文档找到一个函数pr能读文件

102280b40cf08cb415ada88275f494d4