DVWA使用教程（Command Injection）（二）

DVWA使用教程（Command Injection）（二）

 

DVWA是一个用来练习Web渗透的PHP应用。共有十个模块，分别是

1.Brute Force(爆破)

2.Command Injection（命令注入）

3.CSRF(跨站请求伪造)

4.File Inclusion（文件包含）

5.File Uplod（文件上传）

6.Insecure CAPTCHA(不安全的验证码)

7.SQL Inj（SQL注入）

8.SQL B Inj（SQL盲注）

9.XSS-ref（反射型xss）

10.xss-stored（存储型xss）

 

一、    简介

命令注入（Command Injection）漏洞主要由函数参数过滤不严产生。用户的输入被带到系统命令中执行。

 

二、    功能特点

利用各种调用系统命令的web应用,通过命令拼接、绕过黑名单等方式实现在服务端实现想要实现的系统命令。

 

三、    各防护等级简介

low等级，对命令注入行为毫无设防。

medium等级，对命令注入行为防护不足，防护做法欠考虑。

hight等级，对命令注入行为有一定防护，但有疏忽。

impossible等级，对命令注入行为正确防护。

 

四、基础知识补充

命令区别（&、|、&&、||）

&起到连接命令的作用，不管前一条命令是否执行成功，下一条都会接着执行。

|起到管道的作用，前一条命令的输出，作为下一条命令的输入，只打印最后一条命令的执行结果。

&&和||比较常见，就不多说了。