DVWA Command Injection 练习总结

low:

首先查看源码没有对字符进行任何过滤

target参数为将要ping的ip地址，比如在输入框输入127.0.0.1后，对于windows系统，会发出ping 127.0.0.1操作。

这里可以引入命令行的几种操作方式：

A && B： 先执行A，如果成功，执行B；

A || B ：先执行A，如果失败，执行B；

A | B：管道，先执行A后，将A的结果作为B的输入，打印的是B的结果；

A & B：先执行A，然后不管成功与否，执行B；

意味着我们可以通过输入 【ip】+【连接字符】+ 【命令】 的格式进行命令注入

medium

可以看到增加了黑名单
但是还有 || ,& 等命令可以使用

high

可以看到high完善了这个黑名单
但是仔细看还是能发现 ， | 符号的后面多加了一个空格
意味着我们仍然能使用 | 符号加命令继续命令注入

impossible

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );

    // Split the IP into 4 octects
    $octet = explode( ".", $target );

    // Check IF each octet is an integer
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?> 

相关函数介绍

stripslashes(string) : 该函数会删除字符串string中的反斜杠，返回已剥离反斜杠的字符串。

explode(separator,string,limit): 该函数把字符串打散为数组，返回字符串的数组。参数separator规定在哪里分割字符串，参数string是要分割的字符串，可选参数limit规定所返回的数组元素的数目。

is_numeric(string): 该检测string是否为数字或数字字符串，如果是返回TRUE，否则返回FALSE。

可以看到，Impossible级别的代码加入了Anti-CSRF token，同时对参数ip进行了严格的限制，只有诸如“数字.数字.数字.数字”的输入才会被接收执行，因此不存在命令注入漏洞。

一波强行总结

不仅要学会攻击，更要学会防御
对命令处理要尽可能过滤
尽可能完善黑名单，但是黑名单的方式总会有纰漏和绕够
可以用函数限制所输入的格式，例如限制为只有数字，或者本题中【数字】.【数字】.【数字】