[web安全原理]PHP命令执行漏洞基础

前言

PHP命令执行漏洞

应用程序的某些功能功能需要调用可以执行系统命令的函数，如果这些函数或者函数的参数被用户控制，就有可能通过命令连接符将恶意命令拼接到正常的函数中，从而随意执行系统命令，这就是命令执行漏洞。

基本函数

1.system()用于执行外部程序，并且显示输出

<?php system('whoami'); ?>

2.exec()函数用于执行一个外部程序

<?php exec('whoami');?>

3.shell_exec()函数通过shell环境执行命令,并且将完整的输出以字符串的方式返回

<?php shell_exec('whoami'); ?>

4.passthru函数用于执行外部程序并且显示原始输出

<?php passthru('whoami'); ?>

5.popen()函数用于打开进程文件指针

r: 只读。
w: 只写 (打开并清空已有文件或创建一个新文件)

<?php touch popen("3.txt","r"); ?> 在当前目录创建名为3.txt的文件

6.Proc_popen函数用于执行一个命令，并且打开来输入输出的文件指针(有问题)

proc_open （字符串 $cmd ，数组 $descriptorspec ，数组 &$pipes [，字符串 $cwd=NULL [，数组 $env=NULL[，数组 $other_options=NULL ]]]）

<?php $proc=proc_open("whoami",

                  array(

                      array("pipe","r"),

                      array("pipe","r"),

                      array("pipe","r")),$pipes);

        print stream_get_contents($pipes[i]);

?>

7.反单引号

反单引号(`)是PHP执行运算符，PHP将尝试将返单引号中的内容作为shell命令来执行，并将其输出信息返回执行下面代码返回whoami的结果

<?php echo `whoami`;?>

Windows下的命令执行漏洞

1.windows下面的命令连接符

windows下的命令连接符:&、&&、|、||

(1)&命令连接符

&前面的语句为假，则直接执行&后面的语句:&前面的语句为真，则&前后的语句都执行

(2)&&命令连接符

&&前面的语句为假，则直接报错，&&后面的语句也不执行；&&前面的语句为真，则&&前后的语句都执行

(3)|命令连接符

|前面的语句为假,则直接报错,|后面的语句也不执行；|前面的语句为真，则执行|后面的语句

(4)||命令连接符

||前面的语句为假，则执行||后面的语句;||前面的语句为真，则执行||前面的语句,不执行||后面的语句

2.windows下的执行命令漏洞利用

代码

<?php

  $ip=$_GET['ip'];

  system("ping ".$ip);

?>

代码中调用了system函数执行ping命令

$ip是可控参数，可以通过Windows下的命令连接符执行多条命令,达到攻击的目的。输入?=127.0.0.1|whoami，成功执行，返回当前用户的信息，当然我们也可以进行其他的恶意操作。

linux下的命令执行漏洞

1linux下的命令连接符

Linux下的命令连接符:&、&&、|、||

　　(1).;命令连接符

　　;使多个命令顺序执行,前面的命令和后面的命令都会执行

　　2.&命令连接符

　　&的作用是使命令在后台运行，这样就可以同时执行多条命令

　　3.&&命令连接符

　　&&的作用是:如果前面的命令执行成功,则执行后面的命令

　　4.|命令连接符

　　|的作用是:将前面的命令的输出作为后面命令的输入，前面的命令和后面的命令都会执行，但只显示后面的命令执行结果　　

　　5.||命令连接符

　　||的作用类似于程序中的if-else语句。若前面的命令执行成功，则后面的命令就不会执行；若前面的命令执行失败,则执行后面的命令。

　　漏洞利用部分和windows下面代码一样就是命令连接符部分不一样！！！！

命令执行绕过方法

命令执行绕过

开发人员在开发过程中，为了避免命令执行漏洞，可能会过滤一些命令或者比较常见的攻击payload。攻击者会通过多种方式绕过过滤规则。

(1) 绕过空格过滤

　　1.${IFS}绕过

　　$IFS是shell的特殊环境变量,是Linux下的内部区域分隔符。$IFS中存储的值可以使空格、制表符、换行符或者其他自定义符号。

Payload: http://127.0.0.1/test.php?ip=127.0.0.1;ls${IFS}-l

　　2.$IFS$9绕过

　　Payload: http://127.0.0.1/test.php?ip=127.0.0.1;ls$IFS$9-l

　　3.制表符绕过

　　%09是制表符的URL编码,可以通过%09来代替空格，绕过空格过滤

　　Payload: http://127.0.0.1/test.php?cmd=ping%09127.0.0.1

4.{ }绕过

5.<绕过

(2) 绕过关键字过滤

　　1. 变量拼接绕过

　　Linux支持变量赋值，可以通过变量拼接来绕过过滤规则

　　绕过ls命令

　　2. 空变量绕过

　　3. 系统变量绕过

　　${SHELLOPTS}是系统变量，可以利用系统变量的字符拼接绕过过滤

　　4. \绕过

　　5. 通配符绕过

　　Linux支持利用通配符进行字符匹配。通配符的作用是在模糊查询时表示文件名中某些不确定的字符

*代表0到多个任意字符

?代表任意一个字符

[]内为字符范围，代表该字符范围中的任意一个字符

　　6. shell反弹绕过

　　在利用shell反弹进行攻击时，如果存在过滤，可以通过通配符来绕过过滤

　　7. BASE64编码绕过

　　利用系统函数base64对命令进行Base64编码，以绕过过滤。例如，id命令的Base编码为aWQ=,在利用base64 -d对aWQ=进行解码，这样就绕过了过滤，并且正常执行了命令

　　8. expr和awk绕过

　　通过expr和awk命令从其他文件中获取字符并进行命令构造

　　xiaohua文件内容为字符串xiaohua，通过以下命令可以获取xiaohua文件中存储的第一个字符。

　　9. 无回显的命令执行

　　如果存在命令执行漏洞，但是没有回显，可以通过shell反弹的方式将shell反弹到VPS上，然后通过VPS执行命令。如果无法反弹shell，也可以通过DNS管道解析的方式获取命令的执行结果。

PHP命令执行漏洞的修复

1.服务器配置修复

可以通过PHP配置文件中的disable_functions禁用敏感函数来修复命令执行漏洞

2.函数过滤

　　（1）escapeshellarg()函数：把字符串转码为可以在shell命令里使用的参数，以过滤命令中的参数。

　　 (2) escapeshellcmd()函数:可以对shell元字符进行转义，过滤命令

其他学习文章

　　https://www.freebuf.com/articles/web/137923.html

参考学习：《web安全原理分析与实践》