DVWA-命令注入

本文探讨了命令注入漏洞的三个安全级别,从低到高分别展示了如何利用管道符和逻辑运算符执行恶意命令。在低级别中,未过滤的输入导致直接的命令执行风险。在中级别,虽然对部分特殊字符进行了限制,但仍有绕过方法。在高级别,尽管对通道符进行了过滤,但一个疏忽的空格成为攻击点。总结指出,防御此类漏洞的关键在于采用白名单过滤和对敏感字符的转义处理。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

命令注入

low级别

分析源码发现对输入的数据没有做任何处理只是看你点击提交没有和判断你输入的是window还是unix的ping命令所以可以直接用通道符|,||,&,&&来附加命令获取信息 I只获取命令2的返回结果

在这里插入图片描述

在这里插入图片描述

medium级别

分析页面源码发现对&&和;符号做了黑名单,这里需要注意的是”&&”与” &”的区别:

Command 1&&Command 2

先执行Command 1,执行成功后执行Command 2,否则不执行Command 2

Command 1&Command 2

先执行Command 1,不管是否成功,都会执行Command 2

在这里插入图片描述

那直接用I或者&符号就行了

在这里插入图片描述

high级别

分析源码发现所有的通道符号都加黑名单了,但是发现了|符号多了个空格,这是一个疏忽,但是却是一个突破点
在这里插入图片描述

在这里插入图片描述

总结:

漏洞原理分析:没有对用户输入的字符做好黑名单过滤,白名单过滤

方法:通过通道符,|和&就可以执行许多恶意命令

符做好黑名单过滤,白名单过滤

方法:通过通道符,|和&就可以执行许多恶意命令

防御方法:采用白名单的做法,或使用正则表达式进行过滤,对敏感字符进转义。

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值