DVWA靶机通关攻略第二关——命令注入

已于 2023-03-16 12:57:59 修改
阅读量931 收藏 3
点赞数
分类专栏： DVWA 文章标签： 安全
于 2023-03-07 20:05:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/F_A_N_G_/article/details/129389534
版权
文章讲述了如何解决DVWA（DamnVulnerableWebApplication）中命令注入问题，包括修改编码解决中文显示问题，设置代理服务器以访问127.0.0.1，以及在不同安全级别下利用不同的字符绕过过滤进行命令执行。同时，推荐了SwitchyOmega插件简化代理配置，并列举了一些示例命令来展示命令注入漏洞的利用。
摘要由CSDN通过智能技术生成

目录

一、Command Injection（命令注入）

1、解决不是中文问题

 2、无法访问127.0.0.1

LOW

Medium

High

一、Command Injection（命令注入）

我们去访问127.0.0.1就可以看到我们是可以正常访问的

（这里有两个问题，一个问题是回显的信息没有中文，一个是没有回显）

1、解决不是中文问题

我们去dvwa目录下访问dvwaPage.inc.php文件进行修改，修改277行，将UTF-8改为GBK或者GB2312即可。

 

 2、无法访问

最低0.47元/天 解锁文章
小飞侠之飞侠不会飞
关注
专栏目录
DVWA通关攻略_DVWA通关教程(上)
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
09-08 815
DVWA是一款基于PHP和mysql开发的web靶场练习平台，集成了常见的web漏洞如sql注入,xss，密码破解等常见漏洞。本教程将以DVWA为例，演示常见的web漏洞的利用和攻击。 DVWA通关攻略要下创建数据库，登录创建数据库（账号为admin，密码为password） 登录后界面 在dvwa security选项中，可以调整dvwa的难易程度， Brute Force（暴力破解）DVWA Brute Force即为暴力破解，通过枚举获取管理员的账号和密码,在实际的操作中，一般用来破解后台管理系统的登
DVWA靶机通关攻略第四关——文件包含
小飞飞的博客
03-11 848
DVWA靶机的文件包含详细教学
DVWA环境里，普通SQL注入没错误回显原因
qq_43309162的博客
02-24 1727
DVWA环境里，普通SQL注入没错误回显的原因，即使不是盲注也没有回显，心态崩了啊。
【渗透测试】——DVWA靶场搭建
最新发布
HinsCoder的博客
09-12 2636
DVWA是一个用于安全漏洞测试的 PHP/MySQL 网络应用，旨在为安全专业人士提供一个合法的环境，以测试他们的技能和工具，同时帮助 Web 开发者更好地理解 Web 应用的安全防护过程。
dvwa靶场之命令注入
m0_63314341的博客
01-22 1621
如上图便是命令注入 注入结果 |符的前面输入我们想要执行命令入侵的ip地址，后面输入我们想要注入的命令 low级别的不会阻拦你的注入，源码仅是辨别是否为正确的IP地址以及正确的命令 medium和high级别是对你所用的分割符进行了过滤，但他们都没有过滤掉| ...
DVWA靶场-命令注入（commandInjection）
zeroone的博客
01-09 3318
第二关：Command Injection（命令注入）       命令注入，是指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。PHP命令注入攻击漏洞是PHP应用程序中常见的脚本漏洞之一。 Low <?php if( isset( $_POST[ 'Submit' ] ) ) { // Get input $target = $_REQUEST[ 'ip' ]; // Determine OS
DVWA靶场-Command Injection 命令注入
安全知识学习-该平台为唯一原作者平台，其他平台属冒名顶替，请勿相信上当受骗
06-02 947
Command Injection 命令注入 Low Command Injection 核心代码 Medium Command Injection 核心代码 High Command Injection 核心代码 Impossible Command Injection 核心代码
DVWA通关之旅（二）
fx-py的博客
07-26 411
DVWA不安全的验证码（Insecure CAPTCHA）LowMediumHighImpossibleSQL注入（SQL Injection）LowMediumHighImpossibleSQL盲注（SQL Injection（Blind))LowMediumHighImpossible弱会话ID（Weak Session IDs)LowMediumHighImpossible 不安全的验证码（Insecure CAPTCHA） Low 首先还是分析代码。代码有点长，之前没分析过，所以花的时间稍微长了一点
DVWA靶机通关攻略第三关——CSRF攻击
小飞飞的博客
03-09 1097
DVWA靶机通关攻略请求伪造详细教学
DVWA靶机通关攻略第一关——暴力破解
小飞飞的博客
03-07 545
DVWA靶机的暴力破解详细教学
DVWA靶机通关攻略第五关——文件上传
小飞飞的博客
03-11 998
DVWA靶机文件上传详细教学
DVWA靶场系列（一）—— Command Injection（命令注入）
qq_45612828的博客
07-10 4101
DVWA靶场系列（一）—— Command Injection（命令注入）
DVWA靶机之命令注入
qq_43332077的博客
12-14 855
DVWA靶机之命令注入 command injection 命令注入是一种常见漏洞，通过攻击者拼接注入命令从而攻破漏洞，仅针对系统命令 low web页面提示ping a device，我们提交一个IP地址，测试反应 输入127.0.0.1 得知此处的用处为Ping 我们在IP地址后添加查询命令：127.0.0.1 && pwd，查看结果 在页面回显的最下端，我们看到回显 /v...
dvwa靶场通关（二）
qq_65950075的博客
05-25 1022
什么是命令注入：命令注入就是在需要输入数据的地方输入了恶意代码，而且系统并没有对其进行过滤或者其他处理导致恶意代码也被执行，最终导致数据泄露或者正常数据被破坏。常用到的命令：（总结来说就是系统操作命令DOS命令都可以在此执行试试）ipconfig，net user（查看系统用户），dir（查看当前目录），find（查找包含指定字符的行），whoami（查看系统当前有效用户名）
DVWA靶场--命令注入 （Command Injection）难度（low）
m0_53623242的博客
02-21 3998
作业准备： 1、kali虚拟机 2、靶机：Jdk环境、搭建DVWA靶场、phpStudy（Apache和MySQL都已配置）、BurpSuite抓包 3、虚拟主机
【小白靶场学习】DVWA靶场篇——Command Injection命令注入
u013569931的博客
11-14 654
人菜瘾还大的小白靶场修真路
DVWA 靶场之 Command Injection（命令执行）middle&high
Welcome To Myon'Blog !
02-27 876
除了靶场，其实命令执行漏洞在我们的现实中也是有很多的，建议各位多去打打实战，当然是在符合法律的前提下。这个原理其实还是一样的，只是说它引入了更大范围的黑名单，移除了更多可能用于构造恶意命令的字符。设置了黑名单数组，其中包含了一些常见的用于命令注入的特殊字符，如 && 和;使用 str_replace() 函数将黑名单数组中的特殊字符替换为空字符串。以上就是关于 dvwa 靶场命令执行漏洞的讲解。还可以使用两个或，让前面为假，执行后面的。因此我们使用无空格的或即可绕过。一个或是直接执行后面的命令。
PHP代码审计入门-DVWA靶场命令注入篇
身高两米不到的博客
11-14 722
从零学习php，最终目的实现代码审计入门，软件采用sublime text，环境使用phpstudy搭建，数据库是navicat，需要有基本的前端基础、简单的php+mysql后端基础、渗透知识和漏洞原理，文章跟随流沙前辈学习记录，看看曾经遥不可及的代码审计能不能慢慢啃下来。这里先把 $target 输出，看看代码是如何防止命令注入的。常用的命令连接符就差不多了，还有一个常用的但不是命令连接符的东东，基本就这么多。命令注入模块，注释写在代码里，尽量用详细的语言描述代码含义。|| ，前面为假才执行后面命令。
DVWA 1.9 通关秘籍
dfdhxb995397的博客
09-21 340
DVWA 1.9 通关秘籍 本文来源：i春秋社区-分享你的技术，为安全加点温度 DVWA (Dam Vulnerable Web Application) DVWA是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。本次我们测试使用的是Version 1.9 (Release d...
dvwa靶机sql注入
08-04
DVWA靶机中的SQL注入是一种安全漏洞，攻击者可以通过构造恶意的SQL语句来绕过应用程序的验证和过滤机制，从而获取未授权的访问权限或者获取敏感信息。根据引用[1]和引用[2]中提到的内容，DVWA靶机中的SQL注入分为不同的安全级别，包括Low、Medium、High和Blind注入。 在Low级别的SQL注入中，攻击者可以通过在输入框中输入特定的SQL语句来绕过应用程序的验证，从而执行恶意操作。在Medium级别的SQL注入中，应用程序对输入进行了一定的过滤，但仍存在一些漏洞可以被攻击者利用。在High级别的SQL注入中，应用程序对输入进行了更严格的过滤，但仍然存在一些漏洞可以被攻击者利用。 在Blind注入中，攻击者无法直接获取注入结果，但可以通过构造特定的SQL语句来判断条件是否成立，从而获取敏感信息。Blind注入可以分为不同的级别，包括Low、Medium和High级别。 为了进行SQL注入攻击，攻击者可以使用手工方法或者工具如sqlmap。手工方法需要攻击者具备一定的SQL注入知识和技巧，而工具如sqlmap可以自动化执行注入攻击，提高攻击效率。 为了防御SQL注入攻击，开发人员应该对用户输入进行严格的验证和过滤，使用参数化查询或预编译语句来防止SQL注入攻击。此外，还可以限制数据库用户的权限，避免敏感信息的泄露。 根据引用[3]中的结论，可以通过使用sqlmap工具来获取DVWA靶机中的数据库名和表名。具体的命令可以参考引用[3]中提供的示例。 总之，DVWA靶机中的SQL注入是一种常见的安全漏洞，攻击者可以通过构造恶意的SQL语句来绕过应用程序的验证和过滤机制，获取未授权的访问权限或者敏感信息。开发人员应该采取相应的防御措施来保护应用程序的安全。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

小飞侠之飞侠不会飞

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值