1. 项目概述当命令执行遇上字符集限制在CTFCapture The Flag的Web安全挑战中命令执行Command Execution是一个经典且高频的考点。它模拟了攻击者如何利用Web应用的漏洞在服务器上执行任意系统命令从而获取敏感信息、读取文件甚至直接获取服务器控制权即“getshell”。然而出题人为了增加难度常常会设置各种“过滤”或“限制”其中一种极具挑战性的情况就是“无数字字母”命令执行。所谓“无数字字母”指的是在构造恶意命令时我们无法直接使用大小写字母a-z, A-Z和数字0-9。这几乎封死了我们使用常规命令如ls,cat,whoami和路径如/etc/passwd的可能性。这听起来像是一个不可能完成的任务但正是这种极端的限制逼迫我们深入理解操作系统命令解释的原理、编程语言的特性以及数据在计算机中的多种表示形式。解决这类问题不仅能帮助你在CTF比赛中得分更能深刻理解安全防护的绕过思路和底层系统的灵活性对于从事安全研究、渗透测试或代码审计的人来说是必须掌握的高级技巧。2. 核心思路拆解我们能用什么当数字和字母被禁用我们的武器库似乎瞬间清空。但别急让我们换个角度思考计算机最终执行的机器码是二进制的0和1字符只是人类为了方便而赋予的符号。因此我们的核心思路就是利用非数字字母的字符通过巧妙的组合和运算动态地“生成”或“表示”出我们需要的字母和数字。2.1 可用的字符资源盘点首先我们需要明确在Linux的Bash Shell环境下哪些字符是我们依然可以自由使用的假设过滤规则仅剔除字母和数字符号$,(,),{,},[,],,,-,*,/,%,,|,!,~,“,‘,\,#,,?,,,.,:,;,,,_。空格通常用${IFS}、$IFS$9或、来替代因为空格本身也可能被过滤。引号单引号‘和双引号“对于构造字符串至关重要。在这些字符中一些具有特殊功能的字符将成为我们构造Payload的基石变量操作符$用于引用变量如$PATH。更重要的是它可以用于$(...)命令替换和${...}变量扩展。通配符*和?在文件名匹配中*代表任意字符?代表一个字符。这在定位文件时极其有用。位运算符~、、|可以用于数字的按位运算。逻辑运算符!可用于取反。括号()和{}用于定义执行顺序、代码块以及进行各种扩展。2.2 核心突破原理异或XOR与取反NOT在PHP环境下CTF Web题很多是PHP我们有两种强大的武器来生成任意字符串取反~和异或^。原理简述在PHP中对一个字符串进行取反~操作是对该字符串中每个字符的ASCII码进行按位取反。例如字符a的ASCII码是97二进制为01100001按位取反后得到10011110即十进制的-98在PHP中对字符取反的结果通常以不可见字符显示但我们可以用urlencode查看其十六进制形式%9E。更妙的是取反操作是可逆的。如果我们对取反后的结果再进行一次取反就能得到原字符~~’a’本质上还是’a’。那么如果我们无法写出’a’但可以写出~’a’所对应的那个“乱码”字符呢在“无数字字母”的限制下我们虽然不能直接输入a但可以通过其他方式比如利用PHP中字符串的自增特性或从已有变量中切割得到一个包含我们所需字符的字符串然后对其整体或部分进行取反来得到我们想要的命令。例如在PHP中$_’a’;$a~$_那么$a就是~’a’。如果我们能构造出$a那么~$a就是a。关键在于我们如何在不使用字母数字的情况下初始化一个变量并赋值。一个经典的技巧是利用PHP的可变变量和未初始化变量的类型转换。但更通用、更强大的方法是利用异或运算。任何两个字符进行异或运算都可能产生第三个字符。如果我们能构造出两个由允许字符组成的字符串并且它们的异或结果正好是我们想要的命令字符串那么问题就解决了。通常我们会先构造出一个全是可见特殊字符的字符串称为“字典”然后通过精心计算找到另一串特殊字符使得两者异或后得到cat /flag这样的命令。注意在实际CTF题目中出题人可能会禁用~、^等关键运算符。因此我们需要掌握多种方法不能只依赖一种。2.3 备选方案自增与通配符1. Shell中的通配符/???/?at 在Bash中如果我们想执行cat命令但c、a、t都不能写可以尝试用通配符匹配。系统/bin目录下通常有cat命令。我们可以用/???/?at来匹配它。/???匹配/bin四个字符/?at匹配cat三个字符首字符任意。同理/???/?as可能匹配bash。这常用于执行已知路径下的命令。2. PHP中的字符串自增 在PHP中字符串支持自增操作行为类似于Perl。例如$a’a’; $a;后$a等于’b’。更神奇的是$a’’; $a的结果是’1’不对空字符串自增是’1’但如果我们从’_’下划线或’!’等允许的字符开始通过多次自增理论上可以“迭代”出我们想要的字符。例如‘_’的ASCII码是95经过特定次数的自增可以变成小写字母。但这种方法通常效率较低且需要知道起始字符和目标的“距离”。3. 实战构造从零到Payload我们假设一个典型的CTF题目场景题目提供了一个Web页面有一个参数比如cmd存在命令执行漏洞但后端对cmd的值进行了严格过滤移除了所有数字和字母。我们的目标是读取服务器上的/flag文件。3.1 环境侦察与可用变量首先我们需要知道当前环境有哪些“遗产”可以利用。即使在严格过滤下PHP中依然存在大量预定义变量超全局变量其中可能包含字母但它们是系统定义的我们的输入无法控制它们的存在。然而我们可以引用它们。例如$_、$__、$___……这些单下划线、双下划线变量在默认情况下可能未定义或为空但它们作为变量名是合法的。更重要的是我们可以通过${_}的形式来引用它们。在Linux的Shell中环境变量是一大宝库。即使命令被过滤我们依然可以尝试输出环境变量来看看有没有可利用的字符串。在Bash中${PATH}变量包含字母但我们无法直接输入PATH。不过我们可以利用$*、$、$?等特殊变量或者通过${PWD:0:1}这种字符串截取方式如果PWD可用来提取单个字符。但在无字母数字限制下PWD、PATH这些变量名本身也含有字母无法直接写出。因此更常见的突破口在PHP层面。我们可以构造一个不含字母数字的PHP代码片段让它动态生成我们想要的命令字符串。3.2 基于取反~的Payload构造这是目前最主流和高效的方法。核心步骤是找到一个可以不使用字母数字初始化的变量并赋值为一个特殊字符或空。通过一系列自增、拼接或取反操作让这个变量的值变成我们想要的命令字符串的取反形式。对这个变量进行取反操作得到原始命令字符串。利用shell_exec、system、passthru等函数需要绕过函数名过滤或反引号执行该命令。一个经典的Payload生成过程如下假设我们最终要执行cat /flag我们首先需要得到字符串cat /flag。我们选择先得到它的取反形式。在PHP中我们可以写一个小脚本计算出~’cat /flag’?php echo urlencode(~cat /flag); // 输出%9E%8C%8C%9A%8D%8B%9A%92%D7%D8%93%93%97%8D ?现在我们需要在不使用字母数字的情况下构造出这个十六进制字符串所对应的二进制数据。我们可以利用PHP中两个字符串异或^或取反~来生成新字符串的特性。但这里我们采用一种更直接的方法利用.点号进行字符串拼接以及利用$后接非字母字符创建变量。一个广为流传的Payload构造方法是?php $_~%9E%8C%8C%9A%8D%8B%9A%92%D7%D8%93%93%97%8D; // 这行在真实攻击中无法直接写因为包含了% // 实际上我们需要构造出这个取反后的字符串 ?更实际的构造是利用一个起始字符通过自增得到所有必要字符。但自增需要循环在无字母数字条件下写循环很困难。因此实战中通常采用提前计算好Payload然后一次性赋值的方法。这需要利用到PHP的短标签和进制转换。例如我们可以通过$_‘’然后进行一系列操作吗不这需要字母。真正的无数字字母构造往往是从一个空变量或下划线开始通过嵌套的变量赋值和取反来实现。例如?php $_[].“”; // 得到一个空字符串但[]和“”可能被过滤 ?一个更可靠的起点是$_~“”;。在PHP中对空字符串取反会得到一个特殊的内容。但我们需要一个具体的、可打印的字符作为“种子”。实际上最经典的Payload利用了PHP的以下特性$_‘_’;可以得到一个下划线假设_不被过滤。但是‘_’包含了字母下划线被视为字母吗在正则\w里是但在简单的字符串比较中下划线_通常不会被归类为“字母”它属于“下划线字符”。很多过滤正则/[a-zA-Z0-9]/不会过滤掉_。如果_可用那么$_‘_’;就初始化了一个变量。然后我们可以用$$可变变量等进行复杂操作。由于构造过程极其复杂通常我们会使用自动化工具来生成Payload。但理解其原理至关重要。最终生成的Payload可能看起来像一堆天书${~%A0%B8%BA%AB}【等等】这串%A0%B8...就是phpinfo等函数名经过取反后URL编码的结果。3.3 利用通配符和已有命令的Shell Payload在Shell层面如果我们能够注入命令即使不能写字母也可以利用通配符和系统内建命令。假设我们可以注入这样的点?cmd我们想执行cat /flag。cat可以用/???/?at替代。空格可以用${IFS}替代。/flag是路径无法用通配符除非flag文件名未知但格式已知如flag.txt可以用/????.???匹配。那么一个可能的Payload是?cmd/???/?at${IFS}/?????这个Payload尝试用/???/?at匹配/bin/cat用/?????匹配/flag假设flag是5个字母。但成功率依赖于系统路径和文件名。为了更可靠地执行命令我们可能需要先确定/bin目录下有哪些命令可用。我们可以尝试执行/???/?这会列出/bin下所有三个字母的命令但输出可能被过滤或看不到。更高级的技巧是利用重定向比如将命令结果写入一个web目录下的文件然后通过web访问该文件。但这需要写权限。另一个强大的Shell技巧是使用内联命令替换和进制转换。例如echo $((0x63))会输出99即字符c的ASCII码。但echo、$((...))都包含了字母。我们可以用printf配合八进制或十六进制。但printf也有字母。在极端限制下Shell层面的无数字字母RCE通常需要结合环境变量中的字符串片段。例如$PATH变量通常包含字符串/bin、/usr等。我们可以通过${PATH:0:1}来截取第一个字符/。但PATH和数字0、1都包含字母数字。不过我们可以利用特殊变量$?是上一条命令的退出状态数字$$是当前进程ID数字。如果我们可以通过某种方式让$?等于一个特定的数字再结合printf或awk将其转换为字符就可能构造出字母。例如$(($?))可能得到0但如何得到99呢这非常困难。因此在实战中PHP层面的取反/异或构造法比Shell层面的通配符法更为通用和强大尤其是在代码执行如eval($_POST[‘a’])的场景下。而在系统命令注入如shell_exec($_GET[‘cmd’])的场景下如果过滤发生在PHP代码调用shell_exec之前即我们的输入先经过PHP函数过滤再传入shell_exec那么我们依然需要在PHP层面构造出绕过过滤的字符串。4. 工具辅助与自动化生成手动构造无数字字母的Payload是一项繁琐且容易出错的工作。幸运的是安全社区已经开发出一些优秀的工具来帮助我们自动化这个过程。4.1 使用工具生成PHP取反Payload最著名的工具之一是p牛phith0n编写的脚本通常集成在CTF工具集或AWD/CTF相关的工具箱中。其核心原理是指定你想要执行的命令或代码例如cat /flag。脚本会自动计算该命令字符串的取反~后的URL编码形式。然后脚本会生成一段PHP代码这段代码仅使用非字母数字字符通过变量操作、字符串拼接和最终的取反操作还原并执行原命令。生成的Payload通常长这个样子?$_‘?’^‘E’;$_‘?’^‘E’;$__‘?’^‘-’;$___‘?’^‘.’;${$_}[$__](${$_}[$___]);?这看起来像乱码但实际上是利用了异或运算。‘?’^‘E’的结果是字符t因为?的ASCII是63E是6963^69106即j… 这里只是举例实际计算需精确。这段代码通常用于连接一句话木马。对于取反构造工具生成的Payload可能更晦涩如${~%A0%B8%BA%AB}{%A0}(${~%A0%B8%BA%AB}{%A1});其中%A0%B8%BA%AB是_POST的取反URL编码%A0和%A1分别是键名。使用方法在本地PHP环境或确信安全的沙箱中运行生成脚本。输入你想要执行的命令。复制输出的Payload提交到目标题目。实操心得不要完全依赖工具。理解工具生成的Payload每一部分的含义至关重要。因为题目环境可能微有不同如PHP版本、禁用函数、魔术引号等可能导致工具生成的Payload失效。届时你需要手动调整。例如如果$符号也被过滤那么整个思路都需要改变。4.2 利用在线平台或浏览器Console进行计算如果你没有现成的工具也可以利用在线的PHP代码执行环境或浏览器开发者工具的Console进行辅助计算。步骤打开一个在线的PHP代码执行网站确保仅用于测试。编写计算取反或异或的代码例如?php $cmd ‘cat /flag’; $neg ~$cmd; for($i0; $istrlen($neg); $i){ echo ‘%’.dechex(ord($neg[$i])256); } ?得到取反后的编码串。然后你需要构思如何用非字母数字字符构造出这个编码串对应的变量。这可能涉及到用“”空字符串的自增特性或者从$_SERVER[‘QUERY_STRING’]等超全局变量中提取特定字节。4.3 手工构造的思维训练尽管有工具但手工构造的能力依然重要。以下是一个简化的思维训练目标在不使用字母数字的情况下让PHP输出字符串“a”。思路我们需要一个起始点。PHP中未定义的常量会被当作字符串使用并产生一个Notice。例如_一个下划线是一个合法的常量名吗不它需要被定义。但我们可以用“_”字符串。假设我们可以使用下划线_和点号.。我们可以尝试$_‘_’;。但‘_’包含了引号引号是允许的。现在$_的值是‘_’。字符‘_’的ASCII是95。‘a’的ASCII是97。我们需要将95变成97。我们可以用自增$_;执行一次后$_变成‘‘‘96对应的字符反引号。再执行一次$_;就变成了‘a’。所以最终代码可以是$_‘_’;$_;$_;echo $_;检查_、、、;、echo中的e、c、h、o都是字母echo不能用。我们需要用其他方式输出比如用?$_?短标签。但?中的?和是允许的。前提是短标签开启。所以最终可行的Payload可能是?$_‘_’;$_;$_;$_?这里仍然有$_和‘_’。$_变量名是允许的$加下划线。‘_’字符串是允许的。自增运算符是允许的。短标签? ... ?是允许的。成功这个例子展示了手工构造的基本逻辑从允许的字符集合中找到一个“种子”通过允许的操作自增、拼接、位运算将其“培育”成目标字符。5. 高级技巧与组合绕过当简单的取反和异或被过滤时我们需要组合更多技巧。5.1 利用PHP字符串解析特性PHP在将参数传递到函数时会对字符串进行一些解析。例如$_GET[‘a’]如果传入a[]1那么$_GET[‘a’]就是一个数组。我们可以利用这个特性来传递一些特殊值。在无数字字母的上下文中我们可以考虑用非字母数字的字符作为数组键名。例如如果我们能控制一个变量名我们可以用${‘_’}的形式来引用变量$_。更进一步我们可以用${“\x61”}来引用变量$a因为\x61是a的十六进制。但这里出现了字母x。我们可以用${~%8C%86}这样的形式吗这又回到了取反。5.2 利用.iconv编码转换与异常一个非常有趣的技巧是利用PHP的iconv扩展和非法字符序列。例如iconv(“UCS-4LE”, “UCS-4BE”, ‘xxxx’)可能会产生意想不到的结果。在某些PHP版本下通过精心构造的编码转换可以触发异常并在错误信息中泄露或执行代码。但这需要特定的PHP环境配置并非通用解法。5.3 利用.htaccess与文件上传如果题目存在文件上传点并且允许上传.htaccess文件我们可以尝试绕过。.htaccess中可以设置php_value来修改PHP配置。我们可以尝试用非字母数字的编码来设置auto_prepend_file为某个我们上传的图片马。但如何用非字母数字写出.htaccess文件的内容呢如果上传过程本身没有字符过滤我们可以直接上传一个包含正常字母数字的.htaccess。这里的“无数字字母”限制可能仅针对某个特定的输入点如命令执行参数而不是整个应用。因此识别限制的范围非常重要。5.4 无参数RCE与函数链这是“无数字字母”挑战的一个变种不仅不能有数字字母还不能有任何参数即函数调用必须是a(b(c()))这种形式不能是a(‘xxx’)。这就需要我们利用PHP内置函数的返回值作为其他函数的参数形成一个调用链。例如localeconv()返回包含小数点.的数组。current(localeconv())得到.。chr(ord(‘.’))等等最终可以构造出文件名或命令。结合scandir()、readfile()、getcwd()等函数实现目录遍历和文件读取。在无数字字母且无参数的情况下通常需要先找到一个返回特定字符如点号.的函数然后以此为基础通过chr()、ord()、next()、array_reverse()等函数进行变换最终拼凑出flag、cat等关键字。这更像是一场“函数编程”游戏。6. 防御视角与总结从防御者角度看“无数字字母”命令执行挑战揭示了黑名单过滤的局限性。仅仅过滤字母和数字是远远不够的因为编程语言和Shell环境的灵活性超乎想象。有效的防御措施应包括白名单替代黑名单严格定义允许的字符集只放行必要的字符如对于文件名参数只允许字母、数字、点、下划线、连字符。最小权限原则运行Web服务的用户权限应尽可能低避免其执行高危命令或访问敏感文件。禁用危险函数在PHP中在php.ini中禁用system、shell_exec、exec、passthru、proc_open、popen等函数。使用安全的API对于需要执行系统命令的场景尽量使用语言提供的、参数化的安全API如Python的subprocess.run([‘ls’, ‘-la’])避免直接拼接字符串。输入验证与转义对所有用户输入进行严格的验证和转义特别是在拼接进命令或SQL语句之前。部署WAFWeb应用防火墙可以帮助拦截一些常见的攻击Payload。对于安全研究者而言攻克“无数字字母”这类题目是对思维深度和知识广度的一次绝佳锻炼。它要求你不仅知道漏洞怎么利用更要理解计算机系统如何解释和执行命令理解数据在各种形式之间的转换。每一次成功的绕过都是对系统底层原理的一次致敬。在实际的渗透测试中这种极端的绕过技巧可能不常用但其中蕴含的“跳出框框思考”的思维模式是每一个安全从业者宝贵的财富。我个人的体会是在遇到这种题目时不要急于寻找现成的Payload而是静下心来从允许的字符出发像搭积木一样一步步推理出可能的构造路径这个过程本身带来的成就感远比直接拿到flag要大得多。
