commix 命令注入获取信息 （好东西）

已于 2022-08-25 16:18:22 修改
阅读量2.2k 收藏 8
点赞数 1
CC 4.0 BY-SA版权
分类专栏： 渗透工具 Web/系统安全与溯源 文章标签： 安全 web安全
于 2019-05-10 16:54:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/u012206617/article/details/90079341
本文通过kali系统及BWAPP靶场演示了如何利用commix进行命令注入攻击，详细介绍了从发现注入点、抓取POST数据、构造注入语句到获取shell的过程，并强调了网络安全法对未授权测试的禁止规定。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

有特征

我们使用kali+BWAPP环境本地搭建（未授权测试，为非法测试。请勿用于非法利用）

1.网站访问发现有注入

2.使用Tamper Data 抓取post的包，因为他是post提交的。

3.提取复制其中的cookie和postdata包内容数据

4.提取出来的数据 cookie和url还有 postdata

了解本专栏 订阅专栏 解锁全文
利用命令注入getshell
weixin_45253622的博客
03-17 1340
利用命令注入getshell 靶机ip：192.168.41.129 kali：192.168.41.128 任务：靶机存在命令注入漏洞，获取靶机权限。 漏洞原理 命令执行直接调用操作系统命令。其原理是，在操作系统中，“&、|、I都可以作为命令连接符使用，用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户输入的情况下，造成命令执行漏洞。 规则 command1&command2 两个命令同时执行 command1
Commix一键检测Web注入漏洞（KALI工具系列四十二）
LNN0212的博客
07-13 805
Kali Linux 是一个功能强大、多才多艺的 Linux 发行版 ，广泛用于网络安全社区。它具有全面的预安装工具和功能集，使其成为安全测试、数字取证、事件响应和恶意软件分析的有效平台。作为使用者，你可以把它理解为一个特殊的Linux 发行版 ，集成了精心挑选的渗透测试和安全审计的工具，供渗透测试和安全设计人员使用，也可称之为平台或者框架。Commix（Command Injection Exploiter）是一个开源工具，用于自动化发现和利用Web应用程序中的命令注入漏洞。
commix工具配合命令注入
Sylon的博客
06-11 4212
commix简介 commix是一款由python编写,开源自动化检测系统命令注入工具https://github.com/commixproject/commix commix参数 选项： -v　　　　　　　　　　VERBOSE详细程度级别（0-1，默认值：0）。 --version　　　　　　显示版本号并退出。 ...
命令注入工具Commix
weixin_33943836的博客
05-18 462
2019独角兽企业重金招聘Python工程师标准>>> ...
全面掌握Commix串口调试工具
最新发布
weixin_28872035的博客
06-06 1019
RS-232（Recommended Standard 232）是串行通信中广泛使用的一种标准，最初由电子工业协会（EIA）在1962年发布。RS-232主要是为了连接计算机及其外围设备，如调制解调器和终端，定义了物理连接器和电气特性。电气特性上，RS-232定义了串行数据信号和控制信号的电压电平。其典型特征包括：信号电压电平：RS-232标准定义逻辑"1"为-3V至-15V，逻辑"0"为+3V至+15V。这种负电压逻辑允许使用简单的非平衡传输线路，并且具有一定的抗干扰能力。
commix使用
赵一舟的博客
01-18 416
00 02 读取的寄存器的长度。00 00 起始寄存器地址。01 前两位为通讯地址。
shell 工具_Kali Linux渗透工具【八】:系统命令注入漏洞工具 – Commix使用
weixin_39986973的博客
12-15 1069
声明：【Kali与编程】所有分享，仅做学习交流，切勿用于任何不法用途，否则后果自负！一、Commix是什么？Commix由Python编写的一款工具，它是一个适用于web开发者、渗透测试人员及安全研究者的自动化测试工具，可以帮助他们更高效的发现web应用中的命令注入攻击相关漏洞。在Kali Linux中自带有Commix这款工具。二、Commix补充介绍。Commix是为了方便的检测一个请求是否存...
commix-testbed:网页集合，容易受到命令注入漏洞的攻击
05-02
Commix-testbed是现实场景的集合，易受命令注入漏洞的影响，用于评估的检测和利用能力： 注射方案。 注入方案。 注入方案。 注入方案。 方案。 （） 截屏 安装 通过克隆官方Git存储库下载commix-testbed： git...
commix：自动化的多合一OS命令注入和利用工具
02-05
通过使用此工具，很容易在某些易受攻击的参数或HTTP标头中查找和利用命令注入漏洞。 法律免责声明 对于每次混合运行，最终用户必须同意以下前言： (!) Legal disclaimer: Usage of commix for attacking targets ...
Commix使用说明.doc
10-03
Commix使用说明.doc
commix
weixin_44686157的博客
01-12 565
用法：commix [option(s)] optios： -h, --help：显示帮助并退出。 -v:详细级别（0-4，默认值：0） --verson：显示版本号并退出 --output-dir=OUT..：设置自定义输出目录路径 -s SESSION_FILE：从存储的（.sqlite）文件加载会话 --flush-session：刷新当前目标的会话文件 --ignore-sessi...
ModBus串口调试工具Commix
03-09
对使用Modbus协议通讯的设备与终端，使用此工具简单易用。 特点： 1. ASCII，HEX两种数据格式 2. Com1-Com16 3. 任意波特率设置 4. 5-8位数据位 5. 可以设置自动换行 6. 可以设置空格过滤 7. 可以显示时间间隔
串口调试工具 Commix 1.4
08-11
专为工业控制设计的串口设备调试工具。能根据设备的通讯协议，方便地生成多种冗余校验如Modbus。支持串口COM1~COM255。还可以测出设备的响应间隔。
串口调试工具commix1.4
11-30
commix1.4版 为工业控制设计的串口设备调试工具，已被许多同行使用，主要特点： 1、能根据设备的通讯协议，方便地生成多种冗余校验如Modbus，并加上结束符，适用于大多数串口通讯的工业设备； 2、能够混合输入16进制数、10进制数、ASCII字符，这种功能通过转义符“\\”实现； 3、支持串口1~255，支持各种虚拟串口，可以自定义任意通讯参数组合，随时改变参数而不用关闭串口，支持不常用的波特率等； 4、可以测出设备的响应间隔； 5、通讯数据可保存到RTF文件，参数设置可保存到注册表reg文件。 6、可切换中文/英文显示。
串口调试工具-commix1.2
08-28
串口调试工具-commix1.2;工具描述;使用方法;详细参数配置
串口调试工具Commix
03-30
Commix 混合输入串口调试工具 Commix设计为串口调试工具，最大特点是：能够混合输入16进制数、10进制数、ASCII字符，这种功能通过转义符“\”实现。 界面说明： 1、 HEX： 输入数据看作16进制字节，不区分大小写 ASCII： 输入数据看作ASCII字符 忽略空格输入： 是否忽略用户输入数据中的空格 自动换行： 是否在接收与发送的数据之间自动换行显示 2、 在HEX和ASCII方式输入时，转义符输入都有效 3、 在ASCII方式，20h到7Eh的字符直接显示，其他字符显示为转义符形式 4、 如果改变显示区的光标位置，新的显示将插入在光标处 5、 用户输入（从串口输出）的数据显示为绿色，从串口输入的数据显示为蓝色，发送到接收之间的间隔时间（毫秒）显示为灰色，用户在显示区输入的字符显示为黑色 6、 程序不检测串口状态，因此也能用于最简单的3线制（第2、3、5针）RS232通讯 7、 串口打开后，修改通讯参数时不必关闭，新参数立即生效 8、 程序结束时，参数自动保存到注册表；点击注册表图标，可将当前设置保存到注册表文件 校验使用： 1、 主界面上，“校验”复选框被选中时，会出现校验设置窗口 2、 选择不同的校验方式，会有不同的选项出现 HEX/ASCII： 选择校验结果的存放方式 3、 如果校验被允许，程序将按“数据 校验 结束符”的顺序发送，结束符的默认格式与主界面上的HEX/ASCII设置相同 转义符使用： 1、 16进制输入： \xhh 2、 10进制输入： \ddd 3、 预定义字符输入： \ccc 或 \cc 或 \\ 4、 显示字符输入： \ra 5、 转义符输入长度必须与上述相符，不区分大小写 转义符使用举例： \x1B 、\027 、\ESC 的值是 1Bh \x0d 、\013 、\cr 的值是 0Dh \rA 、\065 的值是 41h \\ 、\r\ 、\x5C 的值是 字符\ ASCII输入： \stx011234R01\etx57\cr\lf 与HEX输入：02 30 31 31 32 33 34 \rR 30 31 03 \r5 \r7 \cr\lf 是相同的 转义符中的预定义字符： 输入 值 \\ 字符\ \LF 0Ah \CR 0Dh \NUL 0 \SOH 1 \STX 2 \ETX 3 \EOT 4 \ENQ 5 \ACK 6 \NAK 15h \CAN 18h \ESC 27h ************** 可以设置波特率 主要特点：可以对接收的数据进行校验 可以是十六进制或者字符形式发送
commix注入工具
zhaji001
10-22 3446
commix简介 commix是一款由python编写,开源自动化检测系统命令注入工具  https://github.com/commixproject/commix commix 参数 选项： -v 　　　　　　　　　　VERBOSE详细程度级别（0-1，默认值：0）。 --version　　　　 　　显示版本号并退出。 --output-dir=.. 　　设置...
Commix 工业控制串口调试工具 （使用说明）
创世纪GENESIS
05-18 6696
为工业控制设计的串口设备调试工具，主要特点： 1、能根据设备的通讯协议，方便地生成多种冗余校验如Modbus，并加上结束符，适用于大多数串口通讯的工业设备； 2、能够混合输入16进制数、10进制数、ASCII字符，这种功能通过转义符“\”实现； 3、支持串口1~255，支持各种虚拟串口，可以自定义任意通讯参数组合，随时改变参数而不用关闭串口，支持不常用的波特率等； 4、可以测出设备的响应间隔； 5、通讯数据可保存到Rtf文件，参数设置可保存到Reg文件。 主要说明...
kali commix工具使用详细教程
weixin_49071539的博客
11-19 4140
COMMIX 简介 commix 是一款由 python 编写，开源自动化检测系统命令注入工具 下载地址如下 github.com/commixproject/commix 参数 选项： -v 　　　　　　　　　　VERBOSE详细程度级别（0-1，默认值：0）。 –version　　　　 　　显示版本号并退出。 –output-dir=… 　　设置自定义输出目录路径。 -s SESSION_FILE　　 从存储（.sqlite）文件加载会话。 –flush-session　　 刷新当前目标的会话文件。 –
commix-testbed：评估命令注入漏洞的实战场景平台
资源摘要信息:"commix-testbed是一个专门设计用于模拟实际环境中可能存在的命令注入漏洞的测试平台。命令注入漏洞是一种常见的安全问题，攻击者可以通过注入恶意的命令代码，从而让应用程序执行非预期的操作。这一...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

墨痕诉清风

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值