這道題是上一個cmd1的升級版

ssh [email protected] -p2222 (pw:mommy now I get what PATH environmentis for :))

登錄之後，還是審計一下源代碼：

#include <stdio.h>
#include <string.h>

int filter(char* cmd){
    int r=0;
    r += strstr(cmd, "=")!=0;
    r += strstr(cmd, "PATH")!=0;
    r += strstr(cmd, "export"
 
)!=0;
    r += strstr(cmd, "/")!=0;
    r += strstr(cmd, "`")!=0;
    r += strstr(cmd, "flag")!=0;
    return r;
}

extern char** environ;
void delete_env(){
    char** p;
    for(p=environ; *p; p++)    memset(*p, 0, strlen(*p));
}

int main(int argc, char* argv[], char** envp){
    delete_env();
    putenv(
 
"PATH=/no_command_execution_until_you_become_a_hacker");
    if(filter(argv[1])) return 0;
    printf("%s\n", argv[1]);
    system( argv[1] );
    return 0;
}

可以看到，比上一次的命令過濾要嚴格，過濾了“/”，這樣一來，上一次的payload就不能用了。

但是可以想辦法構造上一次的payload。—— /tmp/p4nda

仔細看來，只有/被過濾了，其他的都可以保持不變。而通過嘗試，發現system函數可以執行pwd命令

可以想到，是否可以通過pwd構造/呢？

在linux文件目錄下 / 代表根目錄，這樣cd /之後，再次執行pwd就是/了。

因此，同樣構造上次的/tmp目錄下p4nda文件，內容為“/bin/cat /home/cmd2/flag”

並且利用$()來拼接/tmp/目錄

具體可以用$(pwd)tmp$(pwd)p4nda

當輸入到程序中，並沒有執行

原因是在調用時，系統自動就把$(pwd)轉換成了/

這時想到用單引號‘，來繞過這種修改，

/home/cmd2/cmd2 ‘$(pwd)tmp$(pwd)p4nda‘

flag:

【pwnable.kr】cmd2