WEB安全基础-命令注入

命令注入

 

命令：如DOS（关机，添加用户，运行某个文件等等等）命令和Bash命令

DOS：查看本地网络：ipconfig

查看当前系统用户：net user

查看目录：dir “./”

字符串查找： find “hello” ./test.txt

 

复合命名：echo hello &echo world

就会打印：

Hello

World

 

管道符|，前面命令的输出作为后面命令的输入。

命令拼接&，依次执行拼接命令 ipconfig | find “IPv4”

 

 

WEB应用满足以下3条命令才能实现命令注入：

1.调用可执行系统命令的函数。

2.函数或函数的参数控制。

3.拼接注入命令。

 

Php中可执行的命令注入的函数：

1.System

2.Exec

3.Shell_exec

4.Eval

5.等等等