DVWA1.8全级别之命令执行

jnu_issc_zrx

已于 2024-03-06 12:43:24 修改

阅读量256

点赞数 1

分类专栏： web安全文章标签：安全

于 2020-10-13 21:24:26 首次发布

本文链接：https://blog.youkuaiyun.com/weixin_46938584/article/details/109005842

版权

web安全专栏收录该内容

7 篇文章

订阅专栏

本文探讨了PHP命令执行漏洞在三种级别（LOW、MEDIUM、HIGH）的代码实例，展示了漏洞原理、过滤机制的不足及利用方法。讲解了如何通过str_replace和严格的输入验证防止恶意命令执行，以及针对不同级别的安全措施和绕过技巧。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

DVWA全级别之命令执行

命令执行

命令执行，是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。PHP命令注入攻击漏洞是PHP应用程序中常见的脚本漏洞之一，国内著名的Web应用程序Discuz!、DedeCMS等都曾经存在过该类型漏洞。

下面对3种级别的代码进行分析。

LOW

服务器端核心代码

<?php

if( isset( $_POST[ 'submit' ] ) ) {

    $target = $_REQUEST[ 'ip' ];

    // Determine OS and execute the ping command.
    if (stristr(php_uname('s'), 'Windows NT')) { 
    
        $cmd = shell_exec( 'ping  ' . $target );
        echo '<pre>'.$cmd.'</pre>';
        
    } else { 
    
        $cmd = shell_exec( 'ping  -c 3 ' . $target );
        echo '<pre>'.$cmd.'</pre>';
        
    }
    
}
?>

漏洞利用

window和linux系统都可以用&&来执行多条命令

127.0.0.1&&net user

Linux下输入127.0.0.1&&cat /etc/shadow甚至可以读取shadow文件，可见危害之大。

Medium

服务器端核心代码

<?php

if( isset( $_POST[ 'submit'] ) ) {

    $target = $_REQUEST[ 'ip' ];

    // Remove any of the charactars in the array (blacklist).
    $substitutions = array(
        '&&' => '',
        ';' => '',
    );

    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
    
    // Determine OS and execute the ping command.
    if (stristr(php_uname('s'), 'Windows NT')) { 
    
        $cmd = shell_exec( 'ping  ' . $target );
        echo '<pre>'.$cmd.'</pre>';
        
    } else { 
    
        $cmd = shell_exec( 'ping  -c 3 ' . $target );
        echo '<pre>'.$cmd.'</pre>';
        
    }
}

?>

可以看到，相比Low级别的代码，服务器端对ip参数做了一定过滤，即把”&&” 、”;”删除，本质上采用的是黑名单机制，因此依旧存在安全问题。

漏洞利用

1、127.0.0.1&net user

因为被过滤的只有”&&”与” ;”，所以”&”等不会受影响。
这里需要注意的是不同管道符的区别：
command1 && command2 先执行 command1，如果为真，再执行command2；
command1 | command2 将Command 1的输出作为Command 2的输入，并且只打印Command 2执行的结果；
command1 & command2 先执行Command 1，不管是否成功，都会执行Command 2；
command1 || command2 先执行 command1，如果为假，再执行 command2；

2、由于使用的是str_replace把”&&” 、”;”替换为空字符，因此可以采用以下方式绕过：

127.0.0.1&;&ipconfig

High

服务器端核心代码

<?php
if( isset( $_POST[ 'submit' ] ) ) {
    $target = $_REQUEST["ip"];
    $target = stripslashes( $target );
    
    // Split the IP into 4 octects
    $octet = explode(".", $target);
    
    // Check IF each octet is an integer
    if ((is_numeric($octet[0])) && (is_numeric($octet[1])) && (is_numeric($octet[2])) && (is_numeric($octet[3])) && (sizeof($octet) == 4)  ) {
    
    // If all 4 octets are int's put the IP back together.
    $target = $octet[0].'.'.$octet[1].'.'.$octet[2].'.'.$octet[3];
    
        // Determine OS and execute the ping command.
        if (stristr(php_uname('s'), 'Windows NT')) { 
    
            $cmd = shell_exec( 'ping  ' . $target );
            echo '<pre>'.$cmd.'</pre>';
        
        } else { 
            $cmd = shell_exec( 'ping  -c 3 ' . $target );
            echo '<pre>'.$cmd.'</pre>';
        }
    else {
        echo '<pre>ERROR: You have entered an invalid IP</pre>';
    }
}