DVWACommandInjection(命令注入)（全难度）

原理参考&＃xff1a;网络安全笔记-99-渗透-OS命令注入

管道符

• ”&＃xff1b;“&＃xff1a;分号。执行完前面的语句再执行后面的语句
• ”|“&＃xff1a;显示后面语句的执行结果&＃xff0c;例如&＃xff1a;ping 127.0.0.1| whoami
• ”||“&＃xff1a;当前面的语句执行出错时执行后面的语句。例如&＃xff1a;ping 1 || whoami
• ”&“&＃xff1a;如果前面的语句为假则直接执行后面的语句&＃xff0c;前面的语句可真可假
• ”&&“&＃xff1a;如果前面的语句为假则直接出错&＃xff0c;也不执行后面的语句&＃xff0c;前面的语句只能为真。

常见URL编码&＃xff1a;

• %21: 空格
• %5c: \
• %26: &
• %7c: |

难度分级

Low

核心代码

{$cmd}";
}?>


分析&＃xff1a;

php_uname(”string“)&＃xff1a;返回运行PHP的系统的有关信息。

‘a’&＃xff1a;此为默认。包含序列 “s n r v m” 里的所有模式。
‘s’&＃xff1a;操作系统名称。例如&＃xff1a; FreeBSD。
‘n’&＃xff1a;主机名。例如&＃xff1a; localhost.example.com。
‘r’&＃xff1a;版本名称&＃xff0c;例如&＃xff1a; 5.1.2-RELEASE。
‘v’&＃xff1a;版本信息。操作系统之间有很大的不同。
‘m’&＃xff1a;机器类型。例如&＃xff1a;i386。

---

shell_exec()&＃xff1a;通过 shell 环境执行命令&＃xff0c;并且将完整的输出以字符串的方式返回

判断系统类型&＃xff0c;然后直接拼接用户输入$target&＃xff0c;没有过滤。

利用&＃xff1a;

Medium

核心代码

if( isset( $_POST[ &＃39;Submit&＃39; ] ) ) {// Get input$target &＃61; $_REQUEST[ &＃39;ip&＃39; ];// Set blacklist.设置黑名单$substitutions &＃61; array(&＃39;&&&＃39; &＃61;> &＃39;&＃39;,&＃39;;&＃39; &＃61;> &＃39;&＃39;,);// Remove any of the charactars in the array (blacklist).替换在黑名单里的字符$target &＃61; str_replace( array_keys( $substitutions ), $substitutions, $target );// Determine OS and execute the ping command.if( stristr( php_uname( &＃39;s&＃39; ), &＃39;Windows NT&＃39; ) ) {// Windows$cmd &＃61; shell_exec( &＃39;ping &＃39; . $target );}else {// *nix$cmd &＃61; shell_exec( &＃39;ping -c 4 &＃39; . $target );}// Feedback for the end userecho "

{$cmd}

分析&＃xff1a;

将”&&“和”;“替换为空。其他管道符仍然可以使用。

利用&＃xff1a;

与Low模式相同。

High

&＃39;&＃39;,&＃39;;&＃39; &＃61;> &＃39;&＃39;,&＃39;| &＃39; &＃61;> &＃39;&＃39;,&＃39;-&＃39; &＃61;> &＃39;&＃39;,&＃39;$&＃39; &＃61;> &＃39;&＃39;,&＃39;(&＃39; &＃61;> &＃39;&＃39;,&＃39;)&＃39; &＃61;> &＃39;&＃39;,&＃39;&＃96;&＃39; &＃61;> &＃39;&＃39;,&＃39;||&＃39; &＃61;> &＃39;&＃39;,);// Remove any of the charactars in the array (blacklist).$target &＃61; str_replace( array_keys( $substitutions ), $substitutions, $target );// Determine OS and execute the ping command.if( stristr( php_uname( &＃39;s&＃39; ), &＃39;Windows NT&＃39; ) ) {// Windows$cmd &＃61; shell_exec( &＃39;ping &＃39; . $target );}else {// *nix$cmd &＃61; shell_exec( &＃39;ping -c 4 &＃39; . $target );}// Feedback for the end userecho "

{$cmd}

分析&＃xff1a;

替换的字符变多了。但是“| ”后面有一个空格&＃xff0c;所以我们依然可以用“|”进行绕过。

利用&＃xff1a;

不变。

Impossible

核心代码&＃xff1a;

{$cmd}";}else {// Ops. Let the user name theres a mistakeecho &＃39;

ERROR: You have entered an invalid IP.

分析&＃xff1a;

首先去除反斜线。

stripslashes()&＃xff1a;返回一个去除转义反斜线后的字符串&＃xff08;\’ 转换为 ’ 等等&＃xff09;。双反斜线&＃xff08;\\&＃xff09;被转换为单个反斜线&＃xff08;\&＃xff09;。

然后将IP地址用点号.分隔&＃xff0c;返回一个字符数组。

explode():用字符串分隔另一个字符串&＃xff0c;返回分隔后的字符数组。

然后再检查IP地址中的每8个比特位是否为数字&＃xff0c;如果是则把IP地址重新组合起来。

Impossible级别并且加入了Anti-CSRF token与session Token。安全级别非常高。