DVWA（四）：Command Injection 全等级命令注入

Command Injection ：

　　命令注入（Command Injection），对一些函数的参数没有做好过滤而导致用户可以控制输入的参数，使其恶意执行系统命令或这cmd、bash指令的一种注入攻击手段。php命令注入攻击漏洞是一种php应用程序常见的脚本漏洞。

　　流程：

　　1.判断是否可调用系统命令（权限问题）

　　2.函数或函数的参数是否可控

　　3.是否能拼接注入命令

　　下面解释关于4个命令连接符（&&，&，||，|）

　　1. &&：先执行command1，执行command1成功后可执行command2，否则不执行command2

　　　例如：command1 && command2

　　2. &：先执行command1，不管是否成功都执行command2

　　　例如：command1 & command2

　　3. ||：先执行command1，执行失败后执行command2

　　　例如：command1 || command2

　　4. |：将command1的输出作为command2的输入，只打印command2执行结果

　　　例如：command1 | command2

　　

Low等级：

　　观察low级别源码：

Low Security Level
<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?> 

这里解释几个php函数：

1.isset()

isset函数是检测变量是否设置。

格式：bool isset( mixed var [, mixed var [, ...]] )

返回值：

若变量不存在则返回FALSE

若变量存在且其值为NULL，也返回FALSE

若变量存在且值不为NULL，则返回TURE

同时检查多个变量时，每个单项都符号上一条要求时才返回TRUE,否则结果为FALSE

如果已经使用unset()释放了一个变量之后，它将不再是isset()。若使用isset()测试一个被设置成NULL的变量，将返回FALSE。同时要注意的是一个NULL字节（"\0"）并不等同于PHP的NULL常数。

2.stristr(string,search,before_search)

(1):string参数，必需，规定被搜索的字符串

(2):search参数，必需，规定要搜索的字符串，如果是数字则会匹配该数字在ascii码表中对应的字符

(3):before_search参数，可选，默认值为false，如果设置为true则返回search参数第一次出现之前的部分

返回值：返回从匹配点开始字符串的剩余部分，如果没有搜索到字符串，则返回false

　　例如：返回值为 o world！，这里111对应的ascii字符为o，因为before_search为false所以返回的是匹配点开始之后的字符。

<?php
echo stristr("Hello world!",111);
?>

　　例如：这次返回的就是hello，这里此函数不区分大小写。

<?php
echo stristr("Hello world!","WORLD",true);
?>

3.php_uname()函数

　　string php_uname ([ string $mode = "a" ])

该函数会返回运行php的操作系统的相关描述，mode是单个字符，用于定义要返回什么信息。

'a':此为默认，包含s(操作系统名)，n(主机名)，r(版本名)，v(版本信息)，m(机器类型)里的所有模式

这里服务器通过判断操作系统执行不同的ping命令，但没对用户使用的参数做任何的过滤，严重的注入漏洞

例如输入：127.0.0.1 && net user  实现注入。

这里net user可以换成其他的命令，比如ipconfig（windows下）只要是在权限范围内的命令都可以使用

如果是Linux可以：127.0.0.1 && cat /etc/shadow

Medium等级：

　观察源代码：

　　这里服务器对ip参数进行了过滤，即把&&和；删除，本质上采用的是黑名单机制，但依旧可以注入

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];

    // Set blacklist
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );

    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

因为被过滤的只有&&和；所以可以使用&和|

　例如：127.0.0.1 & net user

或者用&；&代替&& 即：

　例如：127.0.0.1 &;& net user

Linux下可用cat /etc/shadow等等...

High级别：

　　观察源代码：

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);

    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );

    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

相比Medium，进一步完善了黑名单，但依然可以绕过。

这里是把'| '转换为' ' (这里注意|后有空格)，所以我们用|即可

输入：127.0.0.1|net user