DAWA命令注入

命令注入

低级代码

可以看到只是判断了操作系统类型我们就直接用&&拼接一个命令就可以了

这里我用8.8.8.8 && whoami

中级代码

这里可以看到对&和；做了过滤但是并没有对||过滤

所以我们的思路就是用||但是如果第一个条件成立就不会执行第二个了

因此这里需要把第一个条件设成错误的

我用8.8.8.8.8 || whoami

高级代码

这里使用了str_replace（）函数对敏感字符进行了过滤

str_replace函数用于替换字符串中的某些字符。这个函数可以替换字符串中的指定子串（子字符串）为另一个子串

但是作者在’| ’这里留了一个空格所有用中等的方法还是可以成功

我们用8.8.8.8.8 || whoami