DVWA学习之Command Injection(命令注入)

Command Injection(命令注入)

0x01何为命令注入？

Command Injeciont 即命令注入，是指通过提交恶意构造的参数破坏命令语句结构，而系统缺少有效的过滤，从而达到执行恶意命令、破坏数据甚至攻破系统的目的。
PHP命令攻击注入攻击漏洞是PHP应哟程序漏洞常见的脚本漏洞之一，国内著名的web应用程序Discuz！DedeCMS等都曾经存在过该类型漏洞。此外，许多内容管理系统CMS都存在命令注入漏洞

0x02 命令注入漏洞产生的原因

命令注入漏洞产生的原因一般是：web应用程序有时需要调用一些系统命令的函数,如PHP中的system,exec,shell-exec等等,当用户能够控制这些函数中的参数时,就可以将恶意参系统命令拼接到正常命令中,从而造成命令注入攻击并且，用户的输入未经过滤或者过滤不严格就直接被当做系统命令进行执行；因此，嘿壳儿就可以通过批处理中的一些技巧来一次执行多条命令，并且通过构造可以这行任意的命令，从而控制我们的计算机或服务器。

漏洞形成需要同时满足以下三个条件:
1.使用了内部调用shell的函数(system,exec)
2.将外界传入的参数传递给内部调用shell的函数
3.参数中shell的元字符没有被转义

在命令执行的过程中，常用的连接符有：&& 、 & 、 || 、 | 、；
&& : 前一个指令执行成功，后面的指令才继续执行，就像进行与操作一样
& ： 直接连接多个命令
|| ： 前 一个命令执行失败，后面的才继续执行，类似于或操作
| ： 管道符，将前一个命令的输出作为下一个命令的输入
; ： 直接连接多个命令

0x03dvwa乱码问题

当直接在输入框输入命令式，会出现乱码问题，修改编码吧方式即可，解决方法：在DVWA-master\dvwa\includes目录下找到dvwaPage.inc.php文件中所有的”charset=utf-8”，修改”charset=gb2312”，即可。

0x04 Low级别

low级别的命名注入没有对命令进行任何过滤，输入框获取参数时，就直接交给shell_exec()函数执行了，因此可以直接构造命令获取系统信息等。
首先认识几个函数：
stristr(string,search,before_search)：
其中string：被搜索的字符串；
search ： 要搜索的字符串
before_search：布尔型，默认情况是false
例如，stristr(“I am jerry!”,”JeRRy”，false)：返回：jerry
stristr(“I am jerry!”,”JeRRy”，true)：返回：I am
Php_uname(mode)：：
Mode是有选择项的单个字符，用于决定要返回信息内容
‘a’：默认参数，包含序列”s n r v m ”里的所有模式
‘s’：返回系统名称。
‘n’ :返回主机名。
’r’：返回版本名称。
‘v’：返回版本信息。
‘m’：返回机器类型。
low模式下构造命令获取信息

 直接构造命令获取主机信息 ：127.0.0.1&&systeminfo

0x05 medium级别

切换到medium级别后，再使用low级别的命令时，发现系统报错；发现，采用了过滤，改级别才用了str_replace()函数，将“&&”字符和“”；“”字符更改为空。仅仅过滤了这连个连接符，那不就简单了，直接使用其他连接符绕过：

 构造命令：127.0.0.1  &  systeminfo  （多个命令一起执行）
 或者        ：127.0.0.1  |  systeminfo  （前一个命令的输出作为后一命令的输入）
                 ：127.0      ||   systeminfo（前一个命令出错，才执行后面的命令）

0x06 high级别

high级别在low级别的基础上，将过滤的范围扩大，同样使用str_replace()函数，将’&’、’：’ 、’| ’ 、 ‘-’ 、 ‘$’ 、 ‘(’ 、 ‘)’ 、‘’’ 、 ‘||’均进行了替换，全部过滤为空，此时，几乎杜绝了所有的命令注入，但仔细看一下过滤的第三条‘| ’，或许是出题者留给我们的后路吧，过滤的是‘|’加上一个空格而不是单纯的‘|’

  构造命名：127.0.0.1|systeminfo

0x07 impossible级别

stripslashes(string): 该函数会删除字符串string中的反斜杠，返回已剥离反斜杠的字符串。
explode(separator,string,limit): 该函数把字符串打散为数组，返回字符串的数组。参数separator规定在哪里分割字符串，参数string是要分割的字符串，可选参数limit规定所返回的数组元素的数目。
is_numeric(string): 该检测string是否为数字或数字字符串，如果是返回TRUE，否则返回FALSE。
可以看到，Impossible级别的代码加入了Anti-CSRF token，同时对参数ip进行了严格的限制，只有诸如“数字.数字.数字.数字”的输入才会被接收执行，因此不存在命令注入漏洞。

0x08 命令注入漏洞的危害及防御措施

其他的一些防御命令注入的措施：
1.采用白名单列表，仅让某些用户可以执行命令，或者使用正则表达式进行过滤；
2.采用黑名单列表，先对黑名单用户进行过滤；
2.不要让用户直接控制eval()、system、exec、shell_exec等函数的参数；
3.在进入执行命令函数和方法前，使用安全的函数对变量进行过滤，对敏感字符进行转义；
4.选择不调用系统命令的实现方法；
5.对参数进行校验；
6.将应用程序的权限降低；
不得不说一下该漏洞的危害
1.继承web应用程序的权限去执行系统命令读写执行文件
2.反弹shell
3.控制整个网站甚至整个服务器
4.进一步内网渗透