CTFHub技能树web之RCE（二）
第五题：远程包含
根据题目，使用远程包含进行
打开phpinfo，可以看到allow_url_fopen和allow_url_include都是On，因此可以使用php://input，由于代码会检查file中的内容，因此不能够使用php://filter包含文件，使用php://input通过hackbar使用POST方式发包，抓包并在最后一行加php代码执行
成功得到flag
第六题：命令注入
首先熟悉管道符
Windows：
1. “|”直接执行后面的语句。
2. “||”如果前面的语句执行失败，则执行后面的语句，前面的语句只能为假才行。
3. “&”两条命令都执行，如果前面的语句为假则直接执行后面的语句，前面的语句可真可假。
4. “&&”如果前面的语句为假则直接出错，也不执行后面的语句，前面的语句为真则两条命令都执行，前面的语句只能为真。
Linux：
1. “;”执行完前面的语句再执行后面的语句。
2. “|”显示后面语句的执行结果。
3. “||”当前面的语句执行出错时，执行后面的语句。
4. “&”两条命令都执行，如果前面的语句为假则执行执行后面的语句，前面的语句可真可假。
5. “&&”如果前面的语句为假则直接出错，也不执行后面的语句，前面的语句为真则两条命令都执行，前面的语句只能为真。
根据题目中的php代码可以看到通过get方法获得我们输入的ip并传入cmd变量中，通过exec将cmd中的字符串当做命令执行。
先输入127.0.0.1
能够正确执行，那么使用&管道符执行我们自己的语句
可以看到带出了一个php文件，查看该文件内容
使用hackbar，构造传入的get参数为?ip=127.0.0.1&cat 24475257734453.php，根据传入参数后url可以看出其中的&符号是经过了url编码的，因此对于传入的这个参数也需要进行编码，&和cat后的空格需要url编码将传递的参数转化为?ip=127.0.0.1%26cat%20199408059289.php，点击发送
网页中未出现文件内容，右键查看网页源代码，发现文件内容即flag
第七题：过滤cat
和上一道题目一样，还是先试用ls指令得到flag文件名，通过hackbar传参，将cat指令改为tac效果一样,构造参数为?ip=127.0.0.1%26tac%20flag_28093118082000.php，点击发送，右键查看网页源代码即可看到flag
第八题：过滤空格
在 bash 下, 空格可以用以下字符代替空格：
<,<>,%20(space),%09(tab),$IFS$9, ${IFS},$IFS 等（摘抄）
因此本题中可以使用${IFS}代替cat后面的空格，构造参数为?ip=127.0.0.1%26cat${IFS}flag_301911467122181.php，点击发送右键查看源代码即可看到flag
第九题：过滤目录分隔符
通过ls命令发现只有一个又flag文件的目录，那么就先使用cd flag_is_here进入到该目录中，然后使用ls查看该目录下的文件，传入参数为?ip=127.0.0.1%26cd%20flag_is_here;ls
可以看到flag文件名，使用cat获取flag的内容，参数改为?ip=127.0.0.1%26cd%20flag_is_here;cat%20flag_14913376128096.php，点击发送，右键查看网页源代码即可看到flag内容
第十题：过滤运算符
过滤了 | 与 &，没有过滤;，那么可以用分号执行命令，构造参数为?ip=127.0.0.1%3Bls#查看该目录下的文件，查看到flag文件名
构造参数为?ip=127.0.0.1%3Bcat%20flag_750523229890.php，点击发送右键即可看到flag的内容
第十一题：综合过滤练习
根据题目过滤了前面几道题的内容，过滤了| & ; cat flag ctfhub和空格
拼接指令除了这几个管道符，还可以使用%0a（换行符）和%0d（回车符）进行拼接，首先使用%0a拼接ls查看该目录下的文件内容，构造语句为?ip=127.0.0.1%0als，看到flag文件的目录
绕过空格可以使用%09*，使用ls%09*可以查看该目录下的所有内容（包括子目录），构造参数为?ip=127.0.0.1%0als%09*，发送后可以看到flag文件的名字，通过
使用%0a拼接cd%09*_is_here进入flag文件所在的目录中，由于cat被过滤因此使用tac，再使用%0a拼接tac%09*输出flag文件内容，构造语句为?ip=127.0.0.1%0acd%09*_is_here%0atac%09*，点击发送，右键查看网页源代码即可看到flag
