PHP命令注入笔记

一、PHP命令注入介绍

在学习php相关的攻击时，遇到了Command Injection，即命令注入攻击，是指这样一种攻击手段，黑客通过把HTML代码输入一个输入机制(例如缺乏有效验证限制的表格域)来改变网页的动态 生成的内容。

使用系统命令是一项危险的操作，尤其在你试图使用远程数据来构造要执行的命令时更是如此。如果使用了被污染数据，命令注入漏洞就产生了。

1、dos相关的字符和命令

1）& ：and符，例如ping 114.114.114.114 & whoami 等价于ping 114.114.114.114  、whoami书序执行。　

==============================================
C:\Users\speinf>ping 114.114.114.114 & whoami

正在 Ping 114.114.114.114 具有 32 字节的数据:
来自 114.114.114.114 的回复: 字节=32 时间=29ms TTL=67
来自 114.114.114.114 的回复: 字节=32 时间=29ms TTL=58
来自 114.114.114.114 的回复: 字节=32 时间=34ms TTL=87
来自 114.114.114.114 的回复: 字节=32 时间=30ms TTL=84

114.114.114.114 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
最短 = 29ms，最长 = 34ms，平均 = 30ms
speinf-pc\speinf

===============================================

2）|：管道符，前一个命令的输出作为下一个命令的输入。如下

===============================================
C:\Users\speinf>ping 114.114.114.114 | whoami
speinf-pc\speinf

C:\Users\speinf>

===========================================

3）||：分为两种情况：

命令1||命令2，命令1执行成功，则命令2被屏蔽，否则执行命令2

C:\Users\speinf>ping 114.114.114.114 || whoami

正在 Ping 114.114.114.114 具有 32 字节的数据:
来自 114.114.114.114 的回复: 字节=32 时间=297ms TTL=80
来自 114.114.114.114 的回复: 字节=32 时间=288ms TTL=66
来自 114.114.114.114 的回复: 字节=32 时间=204ms TTL=66
来自 114.114.114.114 的回复: 字节=32 时间=297ms TTL=65

114.114.114.114 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
最短 = 204ms，最长 = 297ms，平均 = 271ms

C:\Users\speinf>
==================================================
命令1||命令2，命令1执行失败，则命令2被执行，否则执行命令2
C:\Users\speinf>ping 114.114.114.00 || whoami

正在 Ping 114.114.114.0 具有 32 字节的数据:
请求超时。
请求超时。
请求超时。
请求超时。

114.114.114.0 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 0，丢失 = 4 (100% 丢失)，
speinf-pc\speinf

C:\Users\speinf>

2、php语言中以下5个函数，可以执行外部的应用程序或系统函数。

　　

system、exec、passthru、shell_exec、“(与shell_exec功能相同)

函数原型

string system(string command, int &return_var)

command 要执行的命令

return_var 存放执行命令的执行后的状态值

string exec (string command, array &output, int &return_var)

command 要执行的命令

output 获得执行命令输出的每一行字符串

return_var 存放执行命令后的状态值

void passthru (string command, int &return_var)

command 要执行的命令

return_var 存放执行命令后的状态值

string shell_exec (string command)

command 要执行的命令

3、实例：

写一下后台页面：

 ip=127.0.0.1 | whoami

因为的&本身是url中的变量隔离符，通过url编码后是%26，所以我们手动测试在URL中输入%26 whoami，在经过URL编码，后台接受到的参数命令执行结果就是： ip=127.0.0.1 & whoami