命令注入漏洞原因以及危害

最新推荐文章于 2024-06-03 05:15:00 发布

居上7788

最新推荐文章于 2024-06-03 05:15:00 发布

阅读量4.8k

点赞数 1

分类专栏：杂记

><本博客上原创文章未经本人许可，不得用于商业用途。转载请注明出处，否则保留追究法律责任的权利。><

本文链接：https://blog.csdn.net/weixin_46439278/article/details/109276419

版权

命令注入

当应用需要调用一些外部程序时会用到一些系统命令的函数。应用在调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户的输入情况下，会造成命令执行漏洞。

1、继承Web 服务器程序权限，去执行系统命令

2、继承Web 服务器权限，读取文件

3、反弹Shell

4、控制整个网站

5、控制整个服务器

system()：能够将字符串作为OS命令执行，自带输出功能。

<?php
if(isset($__GET('cmd'))){
	echo "<pre>";
	system($__GET['cmd']);
}else{
	echo "?cmd=ipconfig";
}
?>

exec()：能够将字符串作为OS命令执行，需要输出执行结果。返回结果是有限的。

<?php
if(isset($__GET['cmd'])){
	echo "<pre>";
	print exec($__GET['cmd']);
}else{
	echo "?cmd=whoami";
}
?>

关注

专栏目录