DVWA——Command Injection

Command Injection

---

---

一、什么是Command Injection？

命令注入是利用系统弱点获取对系统的访问权限，以执行恶意代码、获取用户数据和参与其他活动。

>根据程序调用系统命令。

程序中有调用系统命令的部分，例如输入ip，程序调用系统命令ping这个ip。如果在ip后面加一个&&、&、|、||命令拼接符号再跟上自己需要执行的系统命令。

二、DVWA实战

Low级别

该级别对输入没有进行过滤。
首先要输入一个IP,之后接自己想要执行的命令。
一、输入：127.0.0.1 && ipconfig
ipconfig命令是DOS系统中的命令，可以帮助用户查看网络状况，可以看到你想看到的众多网络信息，比如延迟，IP，主机信息，物理地址信息等等。

二、输入：127.0.0.1 && whoami
可得账户。

通过执行想要地命令，得到自己需要的信息。

Medium级别

一、输入：127.0.0.1&&whoami
报错

推断可能是这里&&被过滤了，那我们就试一下其它的连接方法。
二、输入：12 || whoami
成功获得账户

三、输入：12&whoami
成功获得账户

据此推断，Medium级别对输入进行了部分过滤。
查看源码

对&&和；符号进行了消除。

High级别

high级别与其他的级别类似，只是过滤机制更加强了。
可以直接看源码：

很多连接符都被过滤，不过还是有漏洞比如：
输入：12222222 |whoami
中间不加空格
成功获得账户

至于impossible级别就很困难了，目前不会，总的来说，DVWA中前三个级别的Command Injection还是比较容易，理解命令注入知道一些常用的命令。