dvwa学习之命令注入（command injection）

首先你可能会遇见ping一个ip后出现乱码的情况，那就是在DVWA-master\dvwa\includes目录下的到dvwaPage.inc.php文件中设置的字体是utf-8，解决方法把所有的”charset=utf-8”，修改”charset=gb2312”。（真实情况，俺遇见解决了回来改）。

 

学习命令注入，首先去看high等级的源码。因为你会发现，低级和中级只是使用的符号不一样。如下函数就是过滤的连接符号。所以低级和中级，只要你尝试就会知道他没有过滤哪些符号。

$substitutions = array( 
        '&'  => '', 
        ';'  => '', 
        '| ' => '', 
        '-'  => '', 
        '$'  => '', 
        '('  => '', 
        ')'  => '', 
        '`'  => '', 
        '||' => '', 
    ); 

接下来就是高级，注意看第三个过滤符号，在‘|’ 符号后面有一个空格，所以构造没有空格的连接命令即可。

最后不可能级别的·原因是

stripslashes()去除字符串中的反斜杠，反转义。

CSRF是跨站域请求伪造