23-命令执行漏洞（一）

已于 2024-06-22 19:25:35 修改
阅读量592 收藏 7
点赞数 14
分类专栏： 渗透测试 文章标签： 网络安全 安全 web安全 网络攻击模型 安全性测试 威胁分析 网络
于 2024-05-15 09:47:25 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42321190/article/details/138871390
版权

环境准备：虚拟机windows2003  phpstudy2016   pikachu、dvwa靶场环境   bp

1.1命令与代码执行原理:

命令执行原理：设计者在编写代码时没有做严格的安全控制，导致攻击者通过接口或相关参数提交“意想不到”的命令，从而让后台进行执行，从而控制整个后台服务器 。

代码执行原理：没有对对接口输入的内容进行严格判断，造成攻击者精心构造的代码非法执行。

命令执行原理：

exec'ping'

打开pikachu靶场，查看exec "ping"源代码：

发现：参数给变量未经过滤，使用了不安全函数shell_exec

if(isset($_POST['submit']) && $_POST['ipaddress']!=null){
    $ip=$_POST['ipaddress'];
//     $check=explode('.', $ip);可以先拆分，然后校验数字以范围，第一位和第四位1-255，中间两位0-255
    if(stristr(php_uname('s'), 'windows')){
//         var_dump(php_uname('s'));
        $result.=shell_exec('ping '.$ip);//直接将变量拼接进来，没做处理
    }else {
        $result.=shell_exec('ping -c 4 '.$ip);
    }

命令执行测试方法：
&
&&
|
||

命令执行：（可以执行操作系统命令)
前提：参数给变量未经过滤
如只能填写ip地址执行ipconfig：
&： 127.0.0.1&ipconfig
--前后有错误都会被执行
&&： 127.0.0.1&&ipconfig 
--前后错误只会执行&前面
|:127.0.0.1|ipconfig、127.0.0.1| ipconfig
--前后错误只会执行|后面的，用|绕过，可加多个空格（操作系统执行不影响）
||： 127.0.0.1||ipconfig、127.0.0.1|| ipconfig
--前后错误都会执行，用||绕过，可加多个空格（操作系统执行不影响）
​
系统命令执行：
assert、system、exec、shell_exec、``(反单引号）、passthru、pcntl_exec、popen、proc_open（前五个常用）
​
代码执行：
eval（一般木马使用eval）、assert、phpinfo()、call_user_func、base64_decode、gzinflate、 gzuncompress、gzdecode、str_rot13
​
struts2框架命令执行漏洞：
s2-005、s2-009、s2-013、s2-016、s2-019、devmode、s2-032、s2-037、s2-045、s2-048、s2-052、s2-057

windows系统命令参数

正常命令执行：

C:\Documents and Settings\Administrator>ping 127.0.0.1&ipconfig

Pinging 127.0.0.1 with 32 bytes of data:

Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128

Ping statistics for 127.0.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 0ms, Average = 0ms

Windows IP Configuration


Ethernet adapter 本地连接:

   Connection-specific DNS Suffix  . :
   IP Address. . . . . . . . . . . . : 10.0.0.101
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 10.0.0.254
-------------------------------------------------------------------------

& ：前后有错误都会被执行：

-----------

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC&ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

&&：前后有错误只会执行&前面

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC&&ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.

|：前后有错误只会执行|后面

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC|ipconfigABC
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

||：前后有错误都会被执行

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC||ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
代码执行原理：
代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13

常用：eval

exec "eval"

打开pikachu靶场，exec "eval"输入：

phpinfo();

查看exec "eval"源代码：

 使用了代码执行函数：（eval）

（参数给变量未经过滤，使用不安全函数eval）

if ($SELF_PAGE = "rce_evel.php"){
    $ACTIVE = array('','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','active open','','','active','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','');
}

$PIKA_ROOT_DIR =  "../../";
include_once $PIKA_ROOT_DIR . 'header.php';

$html='';
if(isset($_POST['submit']) && $_POST['txt'] != null){
    if(@!eval($_POST['txt'])){
        $html.="<p>你喜欢的字符还挺奇怪的!</p>";

 代码成功执行

1.2命令执行一般出现那些地方
只要带参数的地方都可能出现命令执行漏洞

常见的路由器、防火墙、入侵检测、自动化运维平台
1.3 如何挖命令执行漏洞
（1）执行系统命令:
assert,system,passthru,exec,pcntl_exec,shell_exec,popen,proc_open,``(反单引号）
（2）代码执行与加密: 
eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
 （3）文件包含与生成:
require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
 （4）.htaccess:
SetHandler, auto_prepend_file, auto_append_file

1.4dvwa靶场环境测试
Low级别

可执行：

127.0.0.1&ipconfig、127.0.0.1&&ipconfig、127.0.0.1||ipconfig、127.0.0.1|| ipconfig

 low级别没过滤漏洞代码：


<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1&ipconfig、127.0.0.1&&ipconfig、127.0.0.1||ipconfig、127.0.0.1|| ipconfig
​
检查提交按钮： 使用 isset($_POST['Submit']) 检查用户是否已点击了名为 "Submit" 的表单提交按钮。
获取用户输入的IP： 从POST请求中获取IP地址，存储在变量 $target 中。
操作系统检测： 使用 stristr 函数检测操作系统，如果php_uname('s')（操作系统名称）中包含 "Windows NT"，则认为是Windows系统；否则，视为类Unix系统（如Linux或macOS）。
执行ping命令： 根据操作系统类型，使用 shell_exec 函数执行相应的ping命令。在Windows中，不带参数直接执行ping命令；而在类Unix系统中，使用 -c 4 参数限制发送4个ICMP回显请求。
没有进行IP地址的有效性检查，也没有进行任何安全预防措施.

Medium级别
127.0.0.1&ipconfig
<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
​
    // Set blacklist
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );
​
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1&ipconfig、127.0.0.1&&&ipconfig
设置黑名单： 创建一个数组 $substitutions，其中包含需要替换的字符（'&&' 和 ';'），它们可能被用于命令注入攻击。

High级别

可执行：

127.0.0.1|| ipconfig
<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);
​
    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );
​
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1|| ipconfig
获取用户输入的IP： 从POST请求中获取IP地址，使用 trim 函数去除前导和尾随空格，然后存储在变量 $target 中。
设置黑名单： 创建一个数组 $substitutions，包含需要替换的字符，这些字符可能被用于构建危险的命令注入攻击。
清理用户输入： 使用 str_replace 函数，将黑名单中的字符替换为空字符串，以降低命令注入的风险。

impossible级别

ping ip无漏洞代码：


<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );

    // Split the IP into 4 octects
    $octet = explode( ".", $target );

    // Check IF each octet is an integer
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

无漏洞方式注解：
反CSRF令牌验证： checkToken 函数用于验证user_token与session_token是否匹配，以防止跨站请求伪造（CSRF）攻击。这两个变量分别来自POST请求和会话（$_SESSION）。

获取用户输入的IP： 从POST请求中获取IP地址，然后使用 stripslashes 函数移除可能存在的反斜杠转义。

IP地址分割： 使用 explode 函数将IP地址按点分隔成四个部分（称为八位字节）。

验证八位字节： 使用 is_numeric 检查每个八位字节是否为数字，并确保数组长度为4，以确保输入是有效的IP地址。

重新组合IP地址： 如果所有八位字节都有效，将它们重新组合成一个完整的IP地址。

操作系统检测： 使用 stristr 函数检测操作系统，如果是Windows，则执行Windows版本的ping命令；否则，执行Unix/Linux版本的ping命令。

执行ping命令： 根据操作系统类型，使用 shell_exec 函数执行相应的ping命令。Windows中不带参数，而Unix/Linux中使用 -c 4 参数限制发送4个ICMP回显请求。

声明：

  • 此文章只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试留言私信，如有侵权请联系小编处理。
Xlbb.
关注
  • 14
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
32-1 命令执行漏洞 - RCE挖掘与防范
weixin_43263566的博客
03-29 126
这里也找不到在线的，不过可以用bp编码。编码后的字符要使用就需要解密才行。如将 whoami 命令进行编码。这个我没找到编码工具。
命令执行漏洞挖掘技巧分享
weixin_44522540的博客
03-11 1025
1.1 前言 1、第三方开源通用框架/第三方类库的使用，如Struts，Jenkins等。 2、业务逻辑处理直接拼接用户可控参数区执行系统命令或者拼凑回调函数代码，中途无任何安全过滤比如说: 应用有时需要调用一些执行系统命令的函数，如PHP中的system、exec、shell_exec、passthru、popen、proc_popen等，当用户能控制这些函数中的参数时，就可以将恶意系统命令拼接到正常命令中，从而造成命令执行攻击，这就是命令执行漏洞。 这里以php说明含义，任何一门编程语言，使用到了一些系
命令执行漏洞
Jim的博客
09-29 1105
命令执行漏洞挖掘实例
sojrs_sec的博客
08-22 2433
前言 这两天给公司的产品做安全测试，有个比较经典的命令执行漏洞感觉还挺有意思，写出来记录一下 一: 前期判断 看到这里有个网络检测，感觉就有命令执行 的漏洞，抓包就试试看 输入127.0.0.1本地地址，发现能ping通 发现如果命令不正确或者ip地址不存在，返回包为false。因此即使存在命令执行的漏洞也无法回显。那这里就考虑用延时判断是不是存在命令执行漏洞 二：判断是否存在命令执行注入 其...
【基础篇】第07篇：PHP代码审计笔记--命令执行漏洞1
08-03
【PHP代码审计笔记--命令执行漏洞1】这篇文章主要讲解了PHP中的命令执行漏洞，这是一个严重的安全问题，允许攻击者通过浏览器在远程服务器上执行任意系统命令。与代码执行漏洞不同，命令执行漏洞更加专注于系统级别...
shiro远程命令执行漏洞检测工具.zip
11-15
shiro远程命令执行漏洞检测工具：包括了shiro_attack_2.2和ShiroExploit.V2.51，大家可根据需要自行下载
第五节 命令执行漏洞利用-01
09-15
命令执行漏洞是一种常见的安全漏洞，攻击者可以通过命令执行漏洞来执行恶意命令，获取服务器的控制权。今天，我们将深入探讨命令执行漏洞的利用方法，包括 PHP 下命令执行的补充、eval 函数的介绍、命令执行实验环境...
第一节 命令执行介绍-01
09-15
命令执行漏洞是一种常见的 Web 应用程序漏洞，指的是攻击者可以通过用户输入来执行恶意系统命令，导致服务器或系统敏感信息泄露、被植入木马、被控制等严重后果。下面是命令执行漏洞的相关知识点： 一、命令执行...
Web的基本漏洞--命令执行漏洞RCE
尽欢的博客
05-31 1645
命令执行漏洞介绍
【网络安全】命令执行漏洞
边缘拼命划水的小陈
04-19 1371
等函数用来执行系统命令。当黑客能控制这些函数的参数时，就可以讲恶意的系统命令拼接到正常的命令中，就会命令执行攻击，这就是命令执行漏洞。应用程序中有时候需要调用一些执行系统命令的函数，在php中常见的为。使用webshell工具连接。linux 操作系统。
漏洞挖掘入门教程（非常详细）从零基础入门到精通，看完这一篇就够了
bigbangbangbang1的博客
07-11 2776
希望这篇文章在可以帮助你解开一些对于漏洞挖掘的谜团。在学习和研究漏洞挖掘的过程中遇到困难并感到不知所措是很正常的。不过学习的过程就是这样，只有不断的去尝试才会进步。祝你在漏洞挖掘的路上走的越来越远。
漏洞挖掘之命令注入漏洞
kali_Ma的博客
12-15 983
受影响的Bitbucket Server 和 Data Center版本存在使用环境变量的命令注入漏洞，具有控制其用户名权限的攻击者可以在系统上执行任意命令。
【web安全】-- 命令执行漏洞详解
最新发布
m0_72286569的博客
04-30 1573
命令执行漏洞是一种网络安全漏洞，它允许攻击者在受影响的系统上执行恶意命令。这种漏洞通常出现在软件应用程序或系统中，其典型示例是 Web 应用程序中的远程命令执行（RCE）漏洞。
Pikachu靶场之SQL注入、远程代码执行、文件包含漏洞
Jach1n
02-01 684
Pikachu靶场之SQL注入、远程代码执行、文件包含漏洞
渗透测试技术----常见web漏洞--命令执行原理及防御
wwl012345的博客
08-15 2674
一、命令执行漏洞介绍 1.命令执行漏洞简介 命令执行漏洞时指服务器没有对执行的命令进行过滤，用户可以随意执行系统命令，命令执行漏洞属于高危漏洞之一，也属于代码执行的范围内。 2.命令执行漏洞的原理 应用程序有时需要调用一些执行系统命令的函数，如在PHP中，使用System()、exec()、shell_exec()、passthru()、popen()、proc_popen()等函数可以执行...
泛微e-mobile 6.0远程命令执行漏洞
09-06
泛微e-mobile 6.0远程命令执行漏洞是指泛微e-mobile 6.0版本中存在的一种安全漏洞，攻击者可以利用该漏洞通过远程方式执行恶意命令，从而获取系统权限并对系统进行非法操作。 该漏洞的产生是因为泛微e-mobile 6.0在...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Xlbb.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值