dvwa靶场

force

low

1.首先在点击login的时候，用burpsuit进行抓包

2.发送给intruder

3.点击清除把所有变量清除
分别双击输入的用户名和密码，点击添加，变为有效载荷
选择攻击类型，攻击类型有四种，这里出于实际情况，我们选择第四种集束炸弹的模式

Sniper： 单参数爆破，多参数时使用同一个字典按顺序替换各参数，只有一个数据会被替换
Battering ram： 多参数同时爆破，但用的是同一个字典，每个参数数据都是一致的
Pichfork： 多参数同时爆破，但用的是不同的字典，不同字典间数据逐行匹配
Cluster bamb： 多参数做笛卡尔乘积模式爆破

4.点击有效载荷，添加字典

5.选择长度与其他不一致的，即为正确

6.点开响应 攻击成功

command injection 命令行注入

没有做安全防护，通过接口提交命令执行

常见的：网站本身有网络连接检测功能，在进行执行操作的时候，容易存在注入漏洞

防御

将符号替换成空，或者限制输入，后端格式验证，将四个数字分开，检测是否为数字，再进行拼接；进行去除\转义符

low

1.首先查看源码 有-c 4拼接，可能存在命令行注入

补充说明命令连接符：

&前面一个命令无论是否执行，后面命令都能执行，执行两个命令

&&前面一个执行成功之后，才会执行后面一个

| 无论前面一个命令是否执行成功，后面的命令都能执行，且只执行后面的一个命令

|| 前面一个命令不能正常执行后，才能执行后面一个命令

； 无论第一个是否执行成功，第二个都会被执行