1. 项目概述当命令执行遇上字符“黑名单”在渗透测试和CTF比赛中远程命令执行RCE漏洞的利用是核心技能之一。我们通常的思路是找到一个注入点然后拼接上system、exec这类函数或者直接使用反引号、管道符来执行系统命令。但现实往往更“骨感”——开发者为了安全常常会设置过滤规则最常见的就是禁止使用字母和数字。当你发现一个疑似RCE的点兴冲冲地输入ls或whoami时却只返回一片空白或错误这时候常规的payload就完全失效了。这恰恰是“无字母数字RCE”这个主题的魅力与挑战所在。它考验的不仅仅是漏洞发现能力更是对编程语言特性、操作系统底层原理以及编码转换的深刻理解。这不再是简单的“找到注入点-执行命令”而是进入了一个需要精巧构造和创造性思维的领域。无论是PHP、Python、Java如Fastjson反序列化导致的RCE还是其他语言环境绕过字符限制的思路往往有共通之处。掌握这些技巧不仅能让你在CTF中游刃有余更能深刻理解防御机制的薄弱环节从而在真实的攻防对抗中占据先机。2. 核心原理不依赖字母数字我们还能用什么要突破无字母数字的牢笼我们必须将目光投向字符集中那些“非字母数字”的成员。我们的武器库主要包括以下几类2.1 特殊符号与运算符这是最直接的资源。在许多Shell和编程语言中以下符号具有特殊意义连接与执行|(管道)、(后台执行)、;和/||(命令连接符)。通配与匹配*(通配符)、?(单字符通配)在文件路径匹配中极其有用。变量与替换$(变量取值)、\(转义)、(反引号命令替换)。重定向、、(输入输出重定向)可以用来创建文件或传递数据。2.2 利用进制与编码转换这是实现“无字命令”的核心魔法。核心思想是我们虽然不能直接写出cat、ls这些单词但我们可以通过其他方式生成它们。八进制/十六进制编码在Bash中可以通过$\xxx的形式表示字符其中xxx是八进制值。例如字母c的ASCII码八进制是143那么$\143就能表示字符c。通过连接多个这样的表达式就能拼出完整的命令。Base64编码命令echo d2hvYW1pCg | base64 -d | bash中d2hvYW1pCg就是whoami的Base64编码。我们通过管道将编码后的字符串解码并传递给bash执行。关键在于我们只需要构造出echo、base64、bash和这些符号而这些词本身可能也被过滤这就需要更巧妙的嵌套或利用环境变量。利用Linux环境变量Linux系统中存在大量环境变量如$PATH,$SHELL,$HOME等。通过截取${PATH:0:1}、拼接或利用其固有值有时能提取出我们需要的字母。例如${SHELL:0:1}通常等于/bin/bash的第一个字符/这本身可能没用但结合其他技巧或许能成为拼图的一块。2.3 巧用已有命令与通配符在受限环境下系统可能已经存在一些可用的命令。/bin目录下的ls、cat、echo、printf、awk、sed等是强大的工具。结合通配符*和?我们可以在不知道完整路径或文件名的情况下执行命令。例如如果知道cat命令存在但/bin/cat被过滤尝试/???/???或/???/c?t可能匹配到/bin/cat。注意这些方法的有效性高度依赖于目标系统的过滤规则、操作系统类型Linux/Windows、Web服务器语言PHP/Python/Java以及可用的命令集合。没有一种方法能通吃所有场景需要根据实际情况进行组合和尝试。3. 实战场景与Payload构造详解理论需要结合实践。下面我们分场景拆解几种经典的绕过方法并解释其背后的原理。3.1 场景一PHP下的无字母数字WebShell这是CTF中最常见的题型。假设存在如下代码?php $code $_GET[code]; if(!preg_match(/[a-z0-9]/i, $code)) { eval($code); } else { die(Hacker!); } ?我们的目标是让eval执行任意代码但不能使用字母和数字。这里可以利用PHP的一些奇特特性。方法A利用非字母数字字符执行命令异或/取反PHP中两个字符串进行异或^或取反~操作可以得到新的字符串。我们可以用_下划线和等允许的字符通过位运算构造出我们想要的函数名如system。手工构造原理理解例如字符s的ASCII码是115y是121。我们可以找到两个非字母数字字符其ASCII码异或后等于115。但这通常需要脚本辅助生成。自动化工具实际上我们不会手工计算。可以使用现成的工具或编写简单脚本生成类似如下的Payload$_(%01^).(%13^).(%13^).(%05^).(%12^).(%14^); // $_system $___.(%0D^]).(%2F^).(%0E^]).(%09^]); // $___GET ${$_}[$__](${$_}[$___]); // system($_GET[_]) 假设$___是另一个构造出的参数名值为命令访问URL?code$_...;_cat/etc/passwd。这个Payload看起来是一堆乱码但完全由非字母数字字符构成成功绕过了过滤。方法B利用PHP的字符串自增特性这是更巧妙的一种方法。在PHP中字符串支持操作。a会变成bz会变成aa。关键是我们可以从一个非字母的字符开始。构造数组$_[];[]不是字母数字。在PHP中空数组[]转换成字符串是Array但其第一个字符A可以被利用吗这里有个更直接的技巧$_^;得到一个空字符串但我们需要一个可自增的起点。从_开始实际上我们可以直接使用下划线_。在PHP中$__;。_不属于[a-z0-9]是允许的。神奇的事情来了$__;$__$_;。此时$_是A$__是_。我们通过自增从_得到了A连锁反应有了A就可以继续自增得到B、C...Z、AA...。通过精心设计自增链我们可以拼出任何函数名。例如先构造出S再构造出Y...最终拼出SYSTEM。然后通过${SYSTEM}(whoami)的形式来调用。整个Payload可以完全由_、$、{、}、、(、)、等符号构成。实操心得PHP字符串自增绕过是比赛中的“大杀器”但构造过程繁琐。通常我会先写一个本地PHP脚本模拟过滤环境然后编写一个“编译器”脚本输入想要执行的命令自动输出由_和自增运算符组成的Payload。这比手动构造高效准确得多。3.2 场景二操作系统命令注入的绕过当注入点发生在系统命令调用处如os.system、Runtime.exec过滤的是我们输入的参数中的字母数字。方法A通配符魔法Linux的Shell通配符*和?是强大的武器。执行/bin/cat /etc/passwd如果路径被过滤尝试/???/??? /???/??????解释/???/???可能匹配到/bin/cat/???/??????可能匹配到/etc/passwd。这利用了系统目录结构的确定性。执行ls -la如果ls被过滤尝试/???/l? -l?或者如果知道/bin下有个ls也可以用/???/?s -la。方法B内联执行与编码利用Base64Payload:echo d2hvYW1p | base64 -d | sh这里d2hvYW1p是whoami的base64去掉换行。我们需要确保echo、base64、sh、|、-d这些字符可用。如果echo也被过滤可以尝试printfprintf d2hvYW1p | base64 -d | sh。利用八进制编码Bash特性Payload:$\154\163会执行ls因为\154是l的八进制\163是s的八进制。更复杂的命令可以拼接$\167\150\157\141\155\151执行whoami。这种方法在Bash环境下有效且完全避开了字母。方法C利用已有命令构造新命令假设echo、cat、tac、rev、awk、sed等命令可用。反转字符串如果想执行ls但ls被过滤而rev反转字符串可用。我们可以先创建一个内容为sl的文件如何创建可以用echo sl /tmp/a这里echo和sl可能允许然后通过rev /tmp/a得到ls但如何执行这个输出需要用到命令替换rev /tmp/a或$(rev /tmp/a)。这又回到了需要反引号或$()的问题上如果它们也被过滤就困难了。这体现了绕过需要多步骤组合。4. 工具辅助与自动化生成手工构造复杂的无字母数字Payload极其耗时且容易出错。在实际渗透测试或CTF中我们通常借助工具。4.1 常用工具介绍CTF工具集如CyberChef这是一个Web端的“数字厨房”集成了编码、解码、异或、取反等大量操作。你可以将你想要得到的命令如system作为目标尝试用各种算法看能否用允许的字符生成它。自定义Python脚本这是最灵活的方式。根据比赛或目标的过滤规则编写脚本暴力枚举或智能生成Payload。功能一异或/取反生成器输入允许的字符集例如!$^*()_-[]{}|;:,./?~以及目标字符串cat /flag脚本遍历所有组合找出能通过异或或取反操作得到目标字符串的Payload。功能二PHP自增链生成器输入目标函数名脚本自动输出最短或最可靠的_自增构造链。4.2 一个简单的Payload生成脚本示例假设我们需要为上文提到的PHP场景只允许非字母数字生成一个执行system(‘id’)的Payload。import urllib.parse def generate_system_call(cmd): # 这是一个非常简化的示例实际生成逻辑复杂得多 # 假设我们通过某种方式如异或已经构造出了字符串 system 和 _GET # 这里我们模拟一个已知的利用技术用反引号执行命令然后通过包含变量来调用 # 注意以下仅为思路演示非有效payload payload_base $_~(%8F%97%8F%96%91%99%90);$__~(%9C%9E%8B%DF%D0);$_($__[X]); # 伪代码表示取反构造 # 需要将X替换为实际用于传递命令的参数名也需要用同样方式构造 # 更实际的脚本会包含完整的字符集遍历和运算。 return payload_base.replace(X, urllib.parse.quote(cmd)) # 使用 cmd id payload generate_system_call(cmd) print(f生成的Payload: ?code{payload}构造出的参数名id)注意事项自动化脚本生成的Payload可能很长或很怪异在Web请求中需要注意URL编码。特殊字符如、、?、#在URL中有特殊含义必须使用%XX形式进行编码如空格是%20是%26否则会被服务器错误解析导致Payload失效。Burp Suite的Decoder模块是处理编码的好帮手。5. 防御视角与排查技巧了解了攻击才能更好地防御。从开发和安全审计角度如何防范此类绕过5.1 不安全的过滤方式黑名单过滤仅仅过滤;、、|、反引号是远远不够的。攻击者可以使用%0a换行符、%0d回车符或$(cmd)在Bash中执行命令。只过滤字母数字正如本文所讨论的这会被各种编码和符号绕过。前端过滤仅在JavaScript端过滤是自欺欺人攻击者直接抓包重放即可绕过。5.2 相对安全的建议白名单校验对于用户输入如果预期是数字如ID就严格校验是否为纯数字。预期是有限选项如状态就只允许特定的几个值。这是最有效的方法。参数化与安全API数据库使用预编译语句Prepared Statements绝对不要拼接SQL。系统命令尽量避免直接执行命令。如果必须使用安全的API如Python的subprocess.run()并明确传递参数列表args[‘ls’, ‘-la’]而不是一个完整的命令字符串。禁止使用shellTrue。文件操作避免将用户输入直接作为文件名或路径的一部分如需使用应进行严格的路径规范化如os.path.normpath并限定在特定目录内。深度防御与WAF输入转义根据输出上下文HTML、SQL、OS命令、JSON使用专门的转义函数。最小权限原则运行Web服务的进程如www-data应具有尽可能低的系统权限避免它能读写敏感文件或执行高危命令。Web应用防火墙WAF部署WAF可以帮助拦截一些已知的攻击Payload和模糊测试行为但它不能替代代码本身的安全。5.3 渗透测试中的排查思路当你在测试中怀疑存在RCE但普通Payload无效时可以遵循以下步骤信息收集确定后端语言PHP/Python/Java/Go、操作系统、服务器软件。模糊测试系统性地测试每个参数使用{{7*7}}、$(sleep 5)、sleep 5、| sleep 5、 sleep 5、; sleep 5等Payload观察响应时间或输出变化判断是否存在注入及被过滤的字符。识别过滤规则通过返回的错误信息或差异响应逐步试探哪些字符被过滤。是过滤了空格可用${IFS}、%09(tab)、、代替还是过滤了特定关键词。尝试编码绕过如果直接输入命令被阻尝试URL编码、双重URL编码、Base64、十六进制、八进制等形式。利用环境与上下文查看错误信息是否泄露路径尝试读取/proc/self/environ获取环境变量看看是否有文件上传功能能否上传WebShell是否存在反序列化入口点如Java的FastjsonPHP的unserialize。升级Payload当确认存在过滤时根据识别的规则应用本文所述的无字母数字或特定绕过技术从简单到复杂构造Payload。无字母数字的RCE绕过是一场思维的游戏它要求我们跳出常规深入理解系统运行的每一个细节。从PHP的字符串自增到Bash的通配符扩展每一种技巧都像是打开了一扇新的窗户。掌握它们不仅能解决CTF中的难题更能让你在面对真实世界复杂的防御措施时拥有更广阔的突破思路。真正的安全始于对攻击技术的深刻认知。