RCE漏洞-CTF之Web安全入门系列课程（五）

RCE（远程命令/代码执行）在 CTF 的 Web 方向里属于那种“会就是会，不会怎么试都差一口气”的题型。它不像 SQL 注入有相对固定的注入点和闭合套路，也不像文件包含那样主要靠路径猜解，RCE 的解题过程更像是在和目标环境的过滤规则做博弈：题目给你一个执行入口，但输入被层层限制，你得判断哪些字符、哪些函数、哪些传参方式还活着，然后拼出一条能出结果的利用链。

这套《RCE漏洞-CTF之Web安全入门系列课程（五）》是系列中的第五部分，主题收得很窄，就围绕命令执行与代码执行展开。它适合已经接触过 CTF Web 基础题型、想专门把 RCE 这一类吃透的开发者对照练习，而不是拿来当泛安全科普看。

先分清命令执行与代码执行两条线

课程从原理层切进去，先把 PHP 里常见的命令执行函数（如 system、exec、shell_exec、passthru、反引号等）和代码执行入口（如 eval、assert、preg_replace 的 /e、create_function 等）分开讲。这个区分很关键，因为两者的绕过思路并不通用：命令执行面对的是 shell 的解析规则，代码执行面对的是 PHP 语法与变量作用域。课程会把每类入口对应的可控程度、回显方式、常见出题位置讲清楚，后面所有绕过技巧都挂在这两条线上，避免学成一堆零散 payload。

绕过思路按过滤维度拆解

基础部分重点在“过滤了什么就绕什么”。常见的命令拼接符（;、|、&&、||、换行）、空格替代（${IFS}、$IFS$9、<、%09）、关键字拆分与拼接、通配符匹配文件名、编码与进制转换（base64、hex、八进制）等，课程都是按“过滤维度”来组织的，而不是给一串 payload 让你背。这样组织的价值在于：遇到新题时你能反推命题人堵了哪条路，还剩哪条路没堵。

无回显、无字母、无参数三类进阶场景

这是本部分的重点，也是 RCE 从“会做简单题”到“能啃硬题”的分水岭。

• 无回显：目标执行了但结果不回显，需要走外带通道。课程会覆盖基于 HTTP 请求的外带（把结果拼进 URL 参数打到自己的服务）、DNS 外带、写文件到 Web 目录再访问、以及时间盲注式的布尔判断。这里会涉及搭建一个可接收请求的监听端，属于工程上要动手的部分。
• 无字母/无数字：过滤掉字母和数字后，利用 PHP 的异或、取反、自增等特性构造出所需字符串，再拼成函数名或命令。这部分需要理解字符是怎么被逐位拼出来的，课程按构造过程讲，不是直接甩结果。
• 无参数：函数被调用但不给参数，此时要靠 PHP 内置变量或函数自身行为拿数据，典型如利用get_defined_vars、session_id、phpinfo等间接取到可控内容再执行。这一类题对 PHP 语言细节的熟悉度要求最高。

配套笔记与练习建议

每个章节配有笔记，适合在本地环境复现后做一次复盘：把当节的过滤条件、可用入口、绕过手段、最终 payload 的构造逻辑记成一条链，而不是只记 payload 本身。建议每完成两到三节就整理一份小结，尤其是无字母和无参数这两块，手写一遍构造过程比看十遍讲解有用。练习时最好自建一个可调的 PHP 环境，自己改过滤规则，再回头验证课程里的绕过方法是否还成立——这个“自己出题自己解”的过程，对理解 RCE 的博弈本质帮助最大。

这份资料的定位是专题突破，不是入门第一课。如果你已经能独立完成基础的命令注入题，但卡在过滤绕过和无回显外带上，它可以作为一个结构清晰的对照参考；如果还没接触过 CTF Web 的基本题型，建议先把前四部分过一遍再回来。