命令注入--DVWA

1、判断是否调用系统命令，经判断调用了系统命令ping。

2、判断调用系统命令的参数是否可控，并验证。

 

3、判断可控参数能否有效地拼接命令。

Medium等级：

 

High等级：

impossible等级：

提示输入的不是合法的IP，这里直接限制了IP的格式。

 

 

修复：白名单

Windows下常见的命令连接符号以及它们的意义：

A&B：简单的拼接，AB之间无制约关系。

A&&B：A执行成功才会执行B。

A | B：A的输出作为B的输入。

A | |B：A执行成功才会执行B。