Generador de Bypass de Inyección de Comandos
Introduce un comando y un filtro regex. Generaremos payloads que lo evaden.
Cómo funciona
Esta herramienta automatiza la búsqueda de payloads de inyección de comandos que superan un filtro regex dado. Genera docenas de variantes ofuscadas de tu comando y prueba cada una contra el regex — en el servidor en PHP, nunca se ejecuta nada.
- 1. Introduce tu comando: el comando en bruto a inyectar, p. ej.
whoamiocat /etc/passwd. - 2. Pega el filtro regex: cualquier formato: PHP
/pattern/flags, Pythonr"pattern"ore.compile(...), JavaScriptnew RegExp(...), backtick de Go, o un patrón simple. - 3. Elige el tipo de filtro: los filtros blacklist bloquean la entrada coincidente (el payload NO debe coincidir); los filtros whitelist solo permiten la entrada coincidente (el payload debe coincidir).
- 4. Obtén tus bypasses: se devuelve cada payload que supera la condición del filtro, agrupado por técnica, con el SO al que aplica.
Categorías de técnicas de bypass
El generador cubre las siguientes familias de técnicas de bypass para Linux/Bash y Windows CMD/PowerShell.
Encoding (base64 / hex / xxd / octal)
Encodes the entire command using base64 (subshell and pipe-to-sh), raw hex decoded by xxd -r -p, printf \x escapes (lowercase), and ANSI-C $'\x..' quoting. Lowercase-only variants bypass [A-Z] filters.
Quote splitting
Inserts empty single quotes, double quotes, or backslash escapes inside the keyword, e.g. c''at or c\at, breaking pattern matching without changing shell semantics.
Space bypass
Replaces literal spaces with $IFS, ${IFS}, a tab character ($'\t'), brace expansion ({cmd,arg}), or input redirection (cat</etc/passwd).
Slash bypass
Replaces forward slashes using ${HOME:0:1}, ANSI-C $'\x2f', $'\57', or $(printf '\57').
Variable concat
Splits the command across two shell variables (a=wh; b=oami; $a$b) to avoid matching the full keyword in the regex.
Alternative commands
Substitutes blocked commands: cat → less, tac, nl, head, xxd; whoami → id; ls → echo *.
Wildcards / globbing (hint)
Generates c?t and c* variants. These bypass the regex but require the correct binary on the filesystem. Verify manually.
CMD caret obfuscation
Inserts the ^ escape character between chars (w^h^o^a^m^i). CMD ignores ^ and executes the command normally.
CMD quote splitting
Inserts empty double quotes (wh""oami). Functionally identical to the unquoted form in CMD.
CMD variable tricks
Splits across environment variables (set a=wh& set b=oami& call %a%%b%). Also supports delayed expansion via cmd /V:ON and !var!.
PowerShell backtick
The backtick (`) is a PowerShell escape character silently ignored in identifiers. wh`oami executes as whoami.
PowerShell encoding
Encodes as UTF-16LE base64 for powershell -enc, or rebuilds from a char array ([char[]](119,104,...) -join '') or string concat ('wh'+'oami').
PowerShell invoke variants
Uses iex, the & operator, ScriptBlock::Create, or mixed-case IeX without spelling Invoke-Expression.
Filtros blacklist vs. whitelist
Blacklist — el payload NO debe coincidir
La aplicación bloquea la entrada cuando el regex coincide. El regex describe el patrón peligroso — p. ej. [;&|`$] o cat|ls|whoami. Un payload no debe activar el regex para pasar.
Común en: PHP preg_match() con die/block al coincidir, guardas Python re.search().
Whitelist — el payload debe coincidir
La aplicación solo procesa la entrada cuando el regex coincide. El regex describe los caracteres permitidos — p. ej. ^[^;\/&A-Z]*$. Un payload debe satisfacer el regex mientras ejecuta un comando.
Común en: validadores de entrada, código fuente CTF, allowlists WAF.
Consejo: si el regex está anclado con ^ y $, casi siempre es una whitelist. La herramienta te avisará si tu selección de modo parece incorrecta.
Formatos de entrada regex admitidos
Pega el regex exactamente como aparece en el código fuente — la herramienta detecta automáticamente el formato, extrae el patrón y los flags, y lo compila en una expresión compatible con PHP.
| Idioma / formato | Ejemplo |
|---|---|
| PHP / JS / Ruby / Perl | /[;&|`$\s]/i |
| Patrón simple | ^[0-9a-z]+$ |
| Cadena raw de Python | r"^[^;/\&.<>\rA-Z]*$" |
| Python re.compile | re.compile(r"[;&|]", re.IGNORECASE) |
| JavaScript new RegExp | new RegExp("[;&|]", "gi") |
| Cadena raw de Go | `^[a-z0-9]+$` |
| Perl m// | m/[;&|]/gi |
| Cadena entre comillas | "^[a-z0-9]+$" |
Preguntas frecuentes
¿Esto ejecuta comandos realmente?
No. Todo se ejecuta en el servidor con PHP. Los payloads se generan como cadenas y se prueban contra tu regex con preg_match(). Nunca se ejecuta ningún comando en el servidor.
¿Qué significa "el payload debe coincidir / NO debe coincidir"?
Una blacklist bloquea la entrada cuando la regex coincide: el payload NO debe coincidir. Una whitelist solo permite la entrada cuando la regex coincide: el payload debe coincidir. La herramienta detecta automáticamente cuál es más probable y te avisa si tu selección parece incorrecta.
¿Por qué algunos payloads están marcados con una advertencia?
Los payloads basados en comodines y glob (p. ej. /bin/c?t) dependen de la estructura del sistema de archivos del objetivo. Eluden el filtro regex, pero solo funcionarán si el binario esperado está presente en esa ruta.
¿Por qué mi payload con comillas ANSI-C no se ejecuta directamente?
Una cadena ANSI-C como $'\x77\x68\x6f\x61\x6d\x69' se evalúa en bash como la cadena literal whoami, pero no se ejecuta por sí sola. Prefíjala con eval o bash -c, que son letras minúsculas y es poco probable que se filtren.
¿Puedo usar esto para retos CTF?
Sí. Esta herramienta está pensada para CTF y escenarios de pentesting autorizado donde necesitas eludir un filtro de entrada para lograr la ejecución de comandos. Úsala solo en sistemas que poseas o para los que tengas permiso explícito de prueba.