xctf中command_execution

观察题目， 对于看到ping或者ping命令却没有弄waf时就要想到命令注入。 看到ping命令就可以利用截断来执行新的命令。 首先测试所有的截断符号： ‘$’ ‘;’ ‘|’ ‘-’ ‘(’ ‘)’ ‘反引号’ ‘||’ ‘&&’ ‘&’ ‘}’ ‘{’ '%0a’可以当作空格来用； 利用截断符号配合普通命令简单问题基本就出来； 例如：127.0.0.1;cat /home/flag.txt 简

>>阅读原文<<