网络安全笔记-OS命令注入漏洞

OS命令注入漏洞

原理以及成因：

程序员使用脚本语言（比如PHP）开发应用程序过程中，脚本语言开发十分快速、简洁，方便，但是也伴随着一些问题。比如说速度慢，或者无法接触系统底层，如果我们开发应用，特别是企业级的一些应用需要去调用一些外部程序（系统命令或者exe等可执行文件）。当应用需要调用一些外部程序时就会用到一些系统命令的函数。应用在调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户的输入的情况下，就会造成命令执行漏洞。
1、用户输入作为拼接
2、没有足够的过滤

漏洞危害

1、继承Web服务器程序权限（Web用户权限），去执行系统命令
2、继承Web服务器权限，读写文件
3、反弹Shell（服务器主动连接攻击方）获得目标服务器的权限
4、进一步内网渗透，控制整个网站
5、控制整个服务器

相关函数示例

• system()
  system()能够将字符串作为OS命令执行，自带输出功能。
  测试代码如下：

#system.php
<meta charset='gb2312'>
#1
<?php
$str="ipconfig";
system($str);
?>
#2
<?php
if($_GET['cmd']){
	$str=$_GET['cmd'];
	system($str);
}
?>
#
<?php
if(isset($_GET['cmd'])){
	echo "<pre>";
	system($_GET['cmd']);
}
else{
	echo"?cmd=ipconfig";
}
?>

• exec()
  exec()能够将字符串作为OS命令执行，需要输出执行结果。
  测试代码如下：

#exec.php
<meta charset="gb2312">
<?php
if(isset($_GET['cmd'])){
	echo "<pre>";
	print exec($str);
}else{
	echo"?cmd=whoami";
}
?>

• shell_exec()
  测试代码如下：

#shell_exec.php
<?php
if(isset($_GET['cmd'])){
	print shell_exec($_GET['cmd']);
}else{
	echo"?cmd=whoami";  # cmd=systeminfo / net user add
}
?>

• passthru(). 自带输出
  测试代码如下：

#passthru.php
<?php
if(isset($_GET['cmd'])){
	passthru($_GET['cmd']);
}else{
	echo"?cmd=whoami";  # cmd=systeminfo / net user add
}
?>

• popen().执行OS命令，并非返回命令结果，而是返回一个文件指针。
  测试代码如下：

#popen.php
<?php
if(isset($_GET['cmd'])){
	$cmd=$_GET['cmd'].">>1.txt";
	popen($cmd,'r');
}else{
	echo"?cmd=whoami";  # cmd=systeminfo / net user add
}
?>

查看1.txt文件

• 反引号`（Mac英文输入下，option+1左边的键盘）
  反引号``内的字符串，也会被解析成OS命令。
  测试代码如下：

#`.php
<?php
if(isset($_GET['cmd'])){
	$cmd=$_GET['cmd'];
	print `$cmd`;
}else{
	echo"?cmd=whoami";  # cmd=systeminfo / net user add
}
?>

漏洞利用

OS命令注入漏洞，攻击者直接继承Web用户权限，在服务器上执行任意命令，危害特别大。以下命令均在windows系统下测试成功。

• 查看系统文件
  提交参数
  [?cmd=type c:\windows\system32\drivers\etc\hosts]
  查看系统hosts文件。
• 显示当前路径
  提交参数[?cmd=cd]
• 写文件
  提交参数
  [?cmd=echo"?php phpinfo();?>" > D:\xampp\htdocs\Commandi\shell.php]
  页面没有报错，说明文件写入成功。访问shell.php文件。

防御方法

1. 尽量减少命令执行函数的使用，并在disable_functions中禁用
2. 在进入命令执行的函数或方法之前，对参数进行过滤
3. 参数的值尽量使用引号包裹，并在拼接前调用addslashes进行转义

练习

安全是需要全方面考虑的问题

DVWA 命令注入（代码审计）

low
127.0.0.1| whoami
127.0.0.1|whoami
127.0.0.1&&whoami
127.0.0.1;whoami
127.0.0.0.1||whoami
medium
127.0.0.1| whoami
127.0.0.1|whoami
127.0.0.0.1||whoami
high
127.0.0.1|whoami

参考链接

OS命令注入