RCE on Jay's CTF life

SWPUCTF 2021 新生赛 hardrce

Wed, 18 Mar 2026 13:42:26 +0800

本体总来讲还是比较简单的，主要就是考察 RCE 绕过，不过也给新入门的小伙伴提供了一个新思路，就是无字母的 RCE，可以进行绕过，例如异或、取反、自增自减等。

a. 源代码

<?php
header("Content-Type:text/html;charset=utf-8");
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['wllm']))
{
 $wllm = $_GET['wllm'];
 $blacklist = [' ','\t','\r','\n','\+','\[','\^','\]','\"','\-','\$','\*','\?','\<','\>','\=','\`',];
 foreach ($blacklist as $blackitem)
 {
 if (preg_match('/' . $blackitem . '/m', $wllm)) {
 die("LTLT说不能用这些奇奇怪怪的符号哦！");
 }
 }
 if(preg_match('/[a-zA-Z]/is',$wllm))
 {
 die("Ra's Al Ghul说不能用字母哦！");
 }
 echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？";
 eval($wllm);
}
else
{
 echo "蔡总说：注意审题！！！";
}
?>

b. 代码审计

大部分都是常见的代码，本题唯一重要的两个点就是两个 preg_match() 函数用于过滤：第一个 preg_match() 用于过滤特殊符号，第二个 preg_match() 将大小写所有字母过滤。

c. 具体解法

我们已知的是将所有字母过滤，特殊符号过滤了 ^，但没有过滤 ~（取反），所以我们能用取反编码的方式来解决这个题。

GXYCTF 2019 Ping Ping Ping

Mon, 16 Mar 2026 00:17:57 +0800

a. 方法一

进入题目我们发现需要 ping 地址，那我们就输入常见的 127.0.0.1，正常回显：

之后试着在地址之后加上指令 ls 来读取文件：

看到两个 php 文件之后，我们第一时间想着去读取试试，结果返回的是：

127.0.0.1;cat /index.php
1fxck your symbol!

经过尝试我们发现这里过滤了空格。然后我们尝试 ${IFS} 去绕过，发现还是不行，我们继续尝试 $IFS$9：

<?php
if(isset($_GET['ip'])){
 $ip = $_GET['ip'];
 if(preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{1f}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
 print_r($match);
 print($ip);
 echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
 die("fxck your symbol!");
 }
 else if(preg_match("/ /", $ip)){
 die("fxck your space!");
 }
 else if(preg_match("/bash/", $ip)){
 die("fxck your bash!");
 }
 else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
 die("fxck your flag!");
 }
 $a = shell_exec("ping -c 4 ".$ip);
 echo "<pre>";
 print_r($a);
}
?>

这里的源代码也可以看出来过滤了空格和大括号。然后我们想着试一下 cat$IFS$9flag.php，发现不能直接用——因为里面既过滤了 flag 整个字段，同时把顺带的 * 通配符也过滤了。因此我们选择一个变量赋值的取巧方法，用 q 变量拼接出 flag：

SWPUCTF 2021 新生赛 babyrce

Thu, 05 Mar 2026 19:13:30 +0800

附题目链接：https://www.nssctf.cn/problem/425

源码

<?php
error_reporting(0);
header("Content-Type:text/html;charset=utf-8");
highlight_file(__FILE__);
if($_COOKIE['admin'] == 1)
{
 include "../next.php";
}
else
 echo "小饼干最好吃啦！";
?>

a. 代码审计

error_reporting(0)：这是 PHP 的内置报错控制函数，无论代码哪里出现错误都不会显示。
$_COOKIE['admin'] == 1 的意思是当 cookie 中 admin 的值为 1 的时候，执行包含一个 php 文件。

b. 具体执行

根据前面的代码审计，给 cookie 的 admin 赋值为 1：

操作之后包含了一个名为 rasalghul.php 的文件，我们将它添加到端口之后获得以下源码：

<?php
error_reporting(0);
highlight_file(__FILE__);
error_reporting(0);
if (isset($_GET['url'])) {
 $ip = $_GET['url'];
 if(preg_match("/ /", $ip)){
 die('nonono');
 }
 $a = shell_exec($ip);
 echo $a;
}
?>

通过 GET 传参的方式获取一个叫 url 的参数，随后将这个参数赋给变量 ip。preg_match 是 PHP 的内置函数，将变量 ip 和 "/ /" 里面的东西比较，如果说有相同就执行 die——这里的话是跟空格比较，也就是过滤了空格：