xctf中command_execution

觀察題目， 對於看到ping或者ping命令卻沒有弄waf時就要想到命令注入。 看到ping命令就可以利用截斷來執行新的命令。 首先測試所有的截斷符號： ‘$’ ‘;’ ‘|’ ‘-’ ‘(’ ‘)’ ‘反引號’ ‘||’ ‘&&’ ‘&’ ‘}’ ‘{’ '%0a’可以當作空格來用； 利用截斷符號配合普通命令簡單問題基本就出來； 例如：127.0.0.1;cat /home/flag.txt 簡

>>阅读原文<<