如果你在CTFHub技能树里刷到“RCE命令注入”这一节，大概率会经历一个从“一脸懵”到“原来如此”的过程。命令注入这个考点，说难不难，说简单也不简单——它的核心逻辑很直白：程序把用户输入拼进了系统命令里，又没有做好过滤，导致你能通过几个特殊符号让服务器执行自己的命令。但真正上手做题时，各种过滤规则、绕过姿势、回显判定问题会一层层叠上来，刷完整个模块你会发现自己对shell命令、Linux系统特性、PHP函数行为的理解都上了一个台阶。
这篇文章就围绕CTFHub技能树的RCE命令注入题目来写，从命令注入的基本原理讲起，按“无过滤—单点过滤—综合过滤—无回显”这条主线展开，把每类题目的判断思路和绕过技巧拆开揉碎，最后分享一些我在刷题过程中踩过的坑和排错方法。不管你是刚开始接触CTF的新手，还是刷了一半卡在某个过滤点的选手，这篇文章都能给你一条相对完整的通关路径。
1. 命令注入的本质：先搞清楚我们在打什么
很多人把命令注入、代码执行、文件包含这几个RCE相关考点混在一起，实际上它们的触发点和利用方式完全不同。命令注入的核心前提是：程序本身调用了系统命令，而你输入的内容被当作命令的一部分拼接了进去。换句话说，漏洞不在函数本身，而在变量拼接这一段逻辑。
1.1 命令注入与代码执行的分界线
代码执行对应的是eval、assert这类函数，你输入的是PHP代码本身，程序把你输入的内容当代码来解析，比如eval($_GET['code'])。命令注入对应的则是system、exec、shell_exec、passthru、popen、proc_open这一类函数，你输入的内容最终会传递到操作系统的shell里去执行。
打个比方：代码执行是你直接抢过厨师手里的锅铲自己炒菜，而命令注入是你只能往菜单里加备注，但厨师完全信任你的备注，连“多加辣”和“把厨房点了”都分不清。在CTFHub这类平台里，RCE模块通常把这两类题目都收进来，但命令注入子模块专注的是后者。
1.2 命令注入的高发拼接场景
命令注入最容易出现在需要调用系统命令的业务场景里，典型的包括：
- ping功能：
ping -c 4 $ip，用户传IP地址进去 - 日志查看：
tail -f $logfile - 文件压缩/解压：
zip -r $filename.zip $dir - 网络诊断：
tracert $host、nslookup $domain - 执行脚本：
python $script_path
在CTFHub的命令注入题目里，最常见的是一个ping测试接口或者一个文件查看接口。输入IP/文件名后，后台执行命令并把结果回显到页面上。这种场景的好处是回显直观，适合教学；缺点是想做成“完全无过滤”其实很难，因为只要有一层过滤，你就得开始琢磨绕过方案了。
1.3 注入符号的语义差异：为什么都往;上靠
命令注入第一步是选分隔符，让攻击命令和原有命令断开或者说并列执行。常见的符号有这些：
| 符号 | 含义 | 注入示例 | 是否常用 |
|---|---|---|---|
; | 顺序执行多条命令，不管前一条是否成功 | 127.0.0.1;whoami | 最常用 |
&& | 前一条成功后才执行后一条 | 127.0.0.1&&whoami | 常用 |
| | 把前一条的输出作为后一条的输入 | 127.0.0.1|whoami | 常用 |
|| | 前一条失败才执行后一条 | 127.0.0.1||whoami | 偶尔用 |
& | 后台执行前一条，同时执行后一条 | 127.0.0.1&whoami | 偶尔用 |
| 换行符 | 利用shell解析换行的特性 | %0awhoami | 特定场景 |
拿CTFHub的ping题来说，输入127.0.0.1后台执行的是ping -c 4 127.0.0.1，如果你输入127.0.0.1;whoami，shell会先执行ping -c 4 127.0.0.1，再执行whoami，最终输出里除了ping的结果还会带上当前用户名（通常是无权用户www-data之类的）。这个步骤是命令注入的第一个完整的验证链。
实战中我一般优先用分号，因为它对前置命令的成功与否没有要求，也不依赖管道输出，信息不容易丢。如果分号被过滤了，再考虑&&、|这些替代。
2. CTFHub技能树RCE命令注入的题目地图与通关策略
CTFHub这类平台的技能树设计通常有明确的递进逻辑：先让你用一个最简单的姿势打通关，再逐步增加过滤条件，逼着你学习各种绕过手段。RCE命令注入这一节也不例外，整体是一条“由简到难、逐层加过滤”的主线。
2.1 题目的递进逻辑
从我刷题的经验来看，命令注入子模块通常会安排这样一个顺序：
- 无过滤命令注入：直接拼
;ls就能看到目录，再cat flag就出答案，主要目的是让你把基本流程跑通 - 过滤cat类命令：
cat关键字被过滤，需要找替代命令或者拼接技巧 - 过滤空格：空格被过滤，需要借助
${IFS}等特殊变量绕过 - 过滤目录分隔符：
/被过滤，需要切换路径思考方式 - 综合过滤练习：多个关键字同时过滤，组合前面的技巧
- 无回显/盲注类：输出被完全截断，只能靠延迟或DNS请求判断命令是否执行
每一关对应的是一个过滤维度，刷完这个模块相当于把“命令注入的绕过武器库”完整过了一遍。
2.2 每一关对应的能力点
| 关卡类型 | 考察的核心能力 | 关键绕过思路 |
|---|---|---|
| 无过滤 | 最基本的注入点探测 | 分号、管道符、and/or逻辑判断 |
| 过滤cat | Linux命令替代方案 | tac、more、less、nl、sed等 |
| 过滤空格 | 对shell字段分隔符的理解 | ${IFS}、重定向符重写命令 |
| 过滤目录分隔符 | 路径切换与通配符运用 | cd、通配符、变量拼接 |
| 综合过滤 | 多个技巧的组合运用 | 编码绕过、变量拼接、命令替换 |
| 无回显 | 盲打技术的判断思路 | 延迟注入、DNS外带（练习环境可自行搭建验证） |
2.3 环境与工具准备
刷题前的工具准备其实不需要太多，浏览器加一个HackBar插件就够起步。HackBar的优势在于可以直接在浏览器里改GET/POST参数，不用来回切Burp Suite。到了后面调试复杂payload时，用curl反而更高效，因为它能精确控制URL编码和特殊字符。
我个人习惯的组合是：
- HackBar/FoxyProxy：快速改参数，适合前期摸索
- Burp Suite：重放和观察响应，适合分析过滤点，也能配合Intruder做关键字fuzz
- 本地Linux终端：验证命令本身是否正确，比如
${IFS}在bash里的解析效果，不确定的时候本地敲一遍最靠谱
话虽如此，真正决定刷题效率的不是工具，而是对命令本身的熟悉度。很多绕过姿势在本地Shell里一试便知，不需要在平台上反复试错。
3. 无过滤命令注入：第一关的正确打开方式
无过滤题目是整个模块的“开胃菜”，但千万别因为简单就跳过。这一关的意义在于帮你建立一个标准的命令注入操作流程：判断注入点、确认命令执行、查看flag、回显处理。这个流程在后面对抗过滤规则时会被反复使用。
3.1 先探测注入点与回显
假设题目是一个ping功能，输入框提示你输入IP地址。正常输入127.0.0.1会看到4个ping包的结果，这是默认业务逻辑。
接下来用payload探测是否存在命令注入：
127.0.0.1;ls 127.0.0.1&&whoami 127.0.0.1|id如果页面出现了ls列出的文件列表，或者whoami/id的输出，说明命令注入成立。通过不同符号的回显情况，你还能顺便判断后台拼接代码是怎么写的——比如&&生效而;不生效，说明输入可能经过了某种处理。
这一步是重点：不要只测一个符号就完事。不同的过滤规则会让你误判“这题不能注入”，实际上只是符号选错了。我当时刷题时就用;测不出来，换成|马上就通了。
3.2 从ls到cat的完整流程
确认注入点后，查看当前目录：
127.0.0.1;ls通常能看到flag.php、index.php这类文件。下一步就是读取flag。这里需要注意，CTF题目的flag可能藏在：
- 当前目录下的
flag、flag.txt文件 flag.php文件（访问时会被当PHP执行，直接访问URL看不到源码，但用cat命令能直接读出原始PHP代码）- 上级目录或系统临时目录
所以如果当前目录没有，可以试试：
127.0.0.1;ls / 127.0.0.1;ls /flag 127.0.0.1;cat /flag_xxx找到flag文件后用cat读取：
127.0.0.1;cat flag.php这时页面会把flag.php的源码连同ping的输出一起显示出来，里面就是flag{...}的答案。
3.3 一个很容易踩的坑：命令输出与HTML渲染
很多新手第一次看到cat flag.php的结果会以为自己失败了，因为页面上显示的是一大段PHP代码，flag并不显眼。原因很简单：flag.php里除了flag还有一个PHP标签结构，而cat输出的是纯文本源码，没有经过PHP解析，会直接出现在响应里。
比如flag.php的内容可能是：
<?php $flag = "flag{test_flag_123}"; ?>页面显示时<?php这些标签会被浏览器当HTML注释或文本处理，但中间的flag字符串一定会显示出来。所以用cat读源码是没问题的方式。
如果输出的内容里出现了大量空白、换行错乱，多数情况下不是命令失败，而是PHP标签被当作HTML解析了。这时候按Ctrl+U查看页面源码或者用curl直接看原始响应会清晰很多。
4. 过滤绕过实战：cat、空格和目录分隔符三场硬仗
刷过无过滤的入门题之后，真正的挑战才开始。平台会在后台把某些关键字直接替换为空字符串或拦截，你需要做的事只剩一件：找到一种方式，在绕过过滤的前提下，让shell仍然能识别并执行你想用的命令。
4.1 核心思路：绕过不是魔法，是换一种表达
先说一个总原则：shell本身是“按字符拆词，按特殊字符解释”的解析器，过滤规则通常只针对一串固定字符串。只要你能让最终交给shell的字符串在不包含禁用关键字的情况下，被解释成相同的命令，就算绕过成功。
因此绕过方式本质上都是同一类思路：对命令字符串做变形，让过滤正则匹配不到，但shell能正确识别。
4.2 过滤cat时的替代命令与拼接技巧
当后台过滤cat时，最简单的方案是换一个功能等价命令。Linux里能查看文件内容的命令远不止cat一个：
tac：反序输出，效果几乎一样more、less：分页显示head、tail：显示头部或尾部nl：带行号输出sed：流编辑，sed -n '1,100p' flag.php效果等同catod、xxd：十六进制转储，虽然格式不友好但能看到内容sort：排序输出strings：提取可打印字符串
在CTFHub的命令注入题里，最常用的替代就是tac，因为tac flag.php在输出文本内容上几乎和cat flag.php没差别。
如果所有常见查看命令都被过滤了（或者你懒得一个个试），还有两个更细的绕法：
变量拼接：
c''at flag.php c"at" flag.php在bash里，c''at会被解析成字符串"cat"。因为单引号和双引号里的内容会被合并到同一单词里，最终传给execve的命令名是"cat"。而过滤规则通常只匹配cat这个连续字符串，c''at不在匹配范围里。
反斜杠转义：
c\at flag.php反斜杠在shell里表示转义下一个字符，\a就是字母a本身。过滤规则匹配的是原始输入字符串，c\at也没有连续出现cat，所以能绕过。
这两种方法放在命令注入里尤其好用，因为payload一般通过URL传递，只要对方没有二次解码或更严格的过滤，直接传入就能生效。
4.3 过滤空格时的IFS变量与重定向思路
空格被过滤是更常见的难题。命令行的核心结构是“命令 + 参数”，参数之间需要分隔符，空格就是最自然的分隔符。但shell里可作分隔符的不止空格，还有制表符和换行符，而${IFS}这个变量恰好就代表这三个字符。
所以常见的绕过是这样：
cat${IFS}flag.php${IFS}会被shell展开成空格、制表符和换行的集合，在命令解析时充当字段分隔符。实际效果等同于cat flag.php。
如果${IFS}也被过滤，还有两个替代思路：
$IFS的简化写法：
cat$IFS$9flag.php$IFS后面跟$9是为了把IFS和后面的文件名隔开。如果不加$9，$IFSflag会被解析成变量名IFSflag，因为shell里变量名以字母开头时，后面连续的数字和字母都属于变量名的一部分。
重定向符替代空格：
cat<flag.php<是输入重定向符，cat<flag.php的意思是“把flag.php作为cat的输入”，效果等同于cat flag.php。这里根本不需要空格，因为<自身就是命令和文件名之间的分隔。
花括号展开：
{cat,flag.php}在bash里，花括号展开{a,b}会展开为用空格分隔的两个参数，所以{cat,flag.php}等于cat flag.php。缺点是花括号展开对逗号两侧内容有限制，不能有空格，但简单的命令加文件名是可以用的。
4.4 目录分隔符受限时的路径切换思路
如果/被过滤，你没法直接写cat /flag这种绝对路径。这时需要换个思路：不是一定要用绝对路径。如果flag文件就在当前目录，直接cat flag就行，根本不需要斜杠。
但如果flag在别处，可以用cd命令先切目录：
cd /;ls等等，/被过滤了连cd都写不了。再想一层：cd不跟参数时，默认回到$HOME目录，但这个路径往往没有flag。
更实用的思路是利用通配符和相对路径。Linux里*.php可以匹配任意以.php结尾的文件，./flag里的.代表当前目录。如果题目环境下/确实被过滤，可以尝试：
cat flag.php cat ./*.php但如果flag在根目录下的/flag这种位置，没有斜杠确实很难处理。这时候可以依赖环境变量，比如$PATH包含的路径通常以/开头，但复杂场景下不一定可用。在CTFHub这套题目里，目录分隔符过滤通常结合的是“相对路径+通配符”就能解决，如果配合空格过滤还要叠加${IFS}，一题多滤的场景在综合练习题里很常见。
5. 综合过滤与组合拳：把零散技巧连成思路
单点过滤练完之后，平台的综合过滤题目会把cat、空格、目录分隔符等多个关键字同时卡住。这种题能筛掉一大批停留在一招一式的玩家，因为单一技巧已经不够用，必须把多个绕过方式组合成一条完整链路。
5.1 先确认过滤了哪些字符
综合过滤题的第一步不是猜，而是探测。通过逐个尝试输入不同字符观察回显，或者用一个比较长的payload观察哪一部分被“吃掉”了，可以快速确定过滤名单。
举个例子，如果输入：
/;ls但输出里只剩下了ping的响应，没有执行ls，说明;或者/很可能被拦截。再输入：
;ls如果ls的输出出现了，说明;没问题，有问题的可能是/。继续用二分法缩小范围，这种方法效率很高。
有的题目会直接在你提交的payload里显示“检测到攻击字符”之类的提示，并按过滤规则返回错误信息，那么过滤名单就一目了然了。但更多的题目不会给你反馈，只能靠行为判断。
5.2 一条可复用的综合绕过payload构建公式
当多个字符被过滤，构建payload的有效路径是：
先写出目标命令的标准形式→替换被过滤的命令名→替换被过滤的分隔符→替换被过滤的路径符→逐段验证。
比如目标命令是cat /flag，假设cat和空格都被过滤：
- 标准形式：
cat /flag - 替换cat为
tac：tac /flag - 替换空格为
${IFS}：tac${IFS}/flag - 如果
/也被过滤，考虑用cd切换目录或通配符：tac ./*flag*（假设当前目录可到达目标文件）
组合起来，URL里的payload可能是：
;tac${IFS}./*flag*如果还有更多过滤，还要在前面叠加变量拼接、反斜杠等方法。
这里有个实操技巧：在本地Shell里验证通配符和IFS展开后的真实命令。比如你怀疑通配符展开结果不对，可以先在自己电脑上跑一下echo ./*flag*看看输出是不是你想要的路径。肉眼观察展开结果能省很多试错时间。
5.3 无回显场景下的盲打思路
刷到模块末段时，有些题目会把回显完全切断，页面只显示“命令已执行”或直接空白。这种题不能直接看到命令输出，需要转换思路，把“能不能看到结果”变成“命令有没有执行”。
命令注入盲打的三种典型手段：
延迟注入：利用sleep命令制造时间差。
;sleep 5如果页面等5秒才返回，说明命令确实被执行了。延迟时间的长短还能作为条件判断的依据，比如用;sleep $(if [ -f /flag ];then echo 5;else echo 1;fi)这种方式做布尔盲注。
逻辑判断输出差异：让命令执行结果影响页面内容。比如输入;ls /tmp，如果后台代码把命令输出渲染进页面，即使没有明文回显，也可能通过页面元素的变化判断结果。
DNS外带：在公网搭一个可控的DNS记录点（这类做法在真实渗透中常用于绕过出网限制，但在CTFHub这类商业平台上通常建议优先用延时和回显差异完成判断，更简洁高效）。
对CTFHub这类平台的练习题而言，盲注题目设计得一般比较基础，延时注入基本够用。我刷题时最常用的就是sleep 5和ping -c 3 127.0.0.1这种“让时间说话”的方式，既好写又不会触发额外限制。
6. 刷题过程中的经验沉淀与日常排错
命令注入题目刷多了以后，我最大的体会是：技巧背得再多，不如自己踩一次坑记得牢。下面这几个经验是我在CTFHub技能树上反复吃过亏后总结出来的，值得拿出来单独说一说。
6.1 不确定过滤规则时，用二分fuzz代替瞎猜
很多人遇到过滤题就直接去找“万能payload”，其实最高效的方法是先摸清过滤名单。我最常用的方式是先用Burp的Intruder跑一个常见字符集合：;、|、&、/、 、cat、flag、*、?、$、{、}、<、>。
对每个字符单独提交一次请求，观察哪些字符导致返回异常或没有执行命令，过滤规则就出来了。整个过程五分钟不到，比从网上找几百字的payload经验贴靠谱得多。
6.2 善用本地Shell预验证，别在平台上无限试错
命令注入的payload是一长串字符串，中间牵涉到shell解析、变量展开、通配符替换等多层逻辑。很多payload看起来没问题，但实际在bash里执行时因为一个引号没闭合就完全失效。
我的习惯是：先把payload复制到本地终端的bash里跑一遍，看真实展开和输出是什么。这样既能验证命令本身正确性，也能发现变量名粘连这类细节问题。另外，在本地测试时还能直接用set -x看shell的调试输出，看清每一步是怎么解析的。
6.3 Windows与Linux的命令差异，一开始就要意识到
CTFHub的题跑在Linux容器里，所以注入用的是ls、cat、tac、${IFS}这些Linux shell自带的东西。但如果哪天你刷到Windows靶机环境的题，命令就完全不一样了：dir替代ls，type替代cat，分隔符虽然还有;和&但没有${IFS}这么方便。
做题前先判断目标操作系统是基本功。判断方式很简单：看正常ping输出的TTL时间、看报错信息里的路径风格、看目录列表内容（Linux几乎必然有/etc/passwd这类文件，Windows则是C:\盘符风格）。CTF平台里虽然以Linux为主，但建立这个意识能帮你避免很多无效尝试。
6.4 一个清单：命令注入绕过的常用payload归纳
最后整理一份我实际使用频率最高的payload清单，覆盖常见过滤场景，方便做题时直接查：
| 目标 | payload例子 |
|---|---|
| 基础注入验证 | ;whoami、|id、&&pwd |
| 当前目录文件枚举 | ;ls、|ls -la、;find . -name flag* |
| 读取文件 | ;cat flag.php、;tac flag.php |
| 过滤cat | ;c''at flag.php、;c\at flag.php |
| 过滤空格 | ;cat${IFS}flag.php、;cat<flag.php、;{cat,flag.php} |
| 过滤目录分隔符 | ;cd ..;ls、;cat ./*flag* |
| 多字符过滤 | ;tac${IFS}./*f*、;head${IFS}-n${IFS}5${IFS}index.php |
| 无回显探测 | ;sleep 5、;ping -c 3 127.0.0.1 |
这些payload都不是银弹，要根据题目反馈调整，但覆盖CTFHub命令注入这一节点到线到面的练习，基本够了。
刷完这一节内容，回头看CTFHub技能树的RCE命令注入模块，它给我的感觉更像一个“shell命令熟练度训练场”。每一道题都在逼你想清楚：shell到底是怎么拆词的、变量是怎么展开的、通配符是怎么匹配的。这些知识在校招面试、真实渗透测试、甚至是日常写自动化脚本时都会用到。把无过滤到综合过滤这条线完整走一遍之后，再去碰其他平台的命令注入题，你会发现套路都大同小异，难度差异只在于过滤条件的组合方式。最后分享一个小技巧：刷这类题时把每次成功的payload记在一个本地笔记里，标注清楚题目过滤了什么、你的绕过依据是什么。积累十几题以后再回看，你自己就是命令注入的活字典。
