本文讨论了在设计允许用户远程操作设备的Web界面时，如果没有实施严格的安全控制，可能导致攻击者利用接口恶意执行命令的风险。作者强调了减少命令执行函数、过滤用户输入和对变量检查的重要性，并以DVWA测试为例。同时提到了impossible代码解析可能涉及的复杂性。
漏洞原理：
应用系统设计需要给用户提供指定的远程命令操作的接口，比如：路由器，防火墙，入侵检测等设备的web管理界面。一般会给用户提供一个ping操作的web界面
用户从web界面输入目标IP，提交后台会对改IP地址进行一次ping测试并返回测试结果
如果设计者在完成改功能时，没有做严格的安全控制，则可能会导致攻击者通过该接口在正常指令之后恶意拼接其他命令，让后台进行执行，从而获得后台服务器权限
防御措施
- 设计者尽可能少设计使用一些命令执行函数。
- 若有必要使用，那么必须对特殊函数做过滤，对用户输入的命令做检查，对客户端提交的变量在进入执行命令前做好过滤和检查等。
指令举例：
DVWA测试：
impossibel代码解析：
扫一扫
2996
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
