当前位置：首页 > news >正文

【BUUCTF】【WEB】Nmap

news 2026/5/16 6:16:18

考点：escapeshellarg() + escapeshellcmd()组合参数注入漏洞；Nmap 命令参数；Bash 字符串解析规则；错误信息泄露的利用。

打开题目：

尝试输入127.0.0.1尝尝咸淡，发现这个页面貌似什么有用的信息都没有。

回到主界面，尝试输入一个单引号'：

有个result.php文件，同时发现主机被“吃掉”了，这代表着我们输入的'被转义了。

这证明了有escapeshellarg()函数的存在。

为什么呢？

因为escapeshellarg()的作用是：确保输入作为一个完整的参数，详细描述就是把任意输入变成一个 "安全的、完整的单个 shell 参数"。

至于具体工作原理......这里留个悬念，后面在解释。

尝试输入' -v '后，发现主机还是被“吃掉”了：

' -v '由六个字符组成，解释一下各个字符的含义：

当输入' -v '后，主机仍被"吃掉"，就代表这另一个函数escapeshellcmd()也存在。

为什么呢，因为escapeshellcmd()的作用是：转义了单引号字符串内部的反斜杠

目前可以确定是escapeshellarg() + escapeshellcmd()组合漏洞

现在讲明整个paylaod的处理过程：

先说escapeshellarg()的算法：

也就是说当输入' -v '时，经过escapeshellarg()的处理，将

' -v ' //发现没有，格式不是'-v'

转化为（注意：是两对单引号，不是一对双引号）。至于单引号中间为什么有空格，先填个坑......

' ' -v ' '

再把中间的两个单引号替换为'\''

' '\'' -v '\'' '

再说escapeshellcmd()的算法：

escapeshellcmd()会扫描整个字符串，不管上下文，只要看到它认为是 "shell 特殊字符" 的东西，就在前面加一个反斜杠：

' '\'' -v '\'' '

它看到了两个反斜杠：

' '\\'' -v '\\'' '

这里有个问题，为什么最终结果是执行成功呢？

经过两次转义后，关键部分是：

' '\\'' & '\\'' '

Bash是什么？所有的命令注入漏洞，本质上都是利用了 Bash 的解析规则。

Bash 会做这几件事：

所以——

Bash 逐字符解析过程

字符序号	字符	当前解析状态	解析动作	结果
1	`'`	初始状态	进入单引号字符串模式	-
2	空格	单引号模式	普通字符，保留
3	`'`	单引号模式	遇到单引号，退出单引号模式	-
4	`\`	无引号模式	反斜杠转义后面的一个字符	-
5	`\`	无引号模式	被前面的反斜杠转义，变成一个普通的`\`	`\`
6	`'`	无引号模式	普通的单引号字符	`'`
7	`'`	无引号模式	遇到单引号，重新进入单引号模式	-

我们可以发现

所以整个字符串：

' '\\'' -v '\\'' '

在 Bash 中最终被解析为：

' '\'' -v '\'' '

也就是：

' ' -v ' '

两个连续的单引号''在 Bash 中就是一个空字符串，所以整个命令等价于：

nmap -v

按理说会出现版本信息对吧？那为什么没有显示版本信息呢？

这是因为Nmap 的命令行参数解析规则和后台默认参数的顺序导致的。

Nmap 的命令行语法是绝对严格的：

nmap [扫描类型] [选项参数] {目标}

所有选项参数（比如-v、-iL、-o等）必须放在目标的前面。任何放在目标后面的内容，即使以-开头，也会被 Nmap 当作另一个扫描目标，而不是选项。

这个漏洞的本质是：