安全漏洞从原理到实战--命令执行漏洞

一、命令执行漏洞简介
命令执行漏洞就是黑客可以直接在web应用中执行系统命令，从而获取敏感信息或者拿下shell权限。

• 命令执行漏洞成因

命令执行漏洞形成的原因是web服务器对用户输入的命令安全监测不足，导致恶意代码被执行。

• 命令执行漏洞分类

1. 系统命令执行漏洞：传入系统命令
2. PHP代码执行漏洞：传入PHP代码

• 系统命令执行函数

1、system

1. 含义

执行外部程序，并且显示输出
（2）语法
system ( string $command [, int &$return_var ] ) : string
 
2、exec函数
（1）含义
执行系统外部命令时不会输出结果，而是返回结果的最后一行。
（2）语法
function exec(string $command,array[optional] $output,int[optional] $return_value)
3、Passthru
（1）含义
passthru直接将结果输出到浏览器，不需要使用 echo 或 return 来查看结果，不返回任何值，且其可以输出二进制，比如图像数据。
（2）语法
function passthru(string $command,int[optional] $return_value)
4、反引号``与shell_exec()
shell_exec() 函数实际上仅是反撇号 (`) 操作符的变体
 
5、popen（）
popen() 函数打开进程文件指针。
6、proc_open
 执行一个命令，并且打开用来输入/输出的文件指针。
7、$env
$_env是环境变量。
PHP中的$_ENV是一个包含服务器端环境变量的数组。它是PHP中一个超级全局变量，我们可以在PHP 程序的任何地方直接访问它。
$_ENV只是被动的接受服务器端的环境变量并把它们转换为数组元素，你可以尝试直接输出它。

• PHP代码执行漏洞

在PHP里面有一些函数将输入的字符串参数当做PHP代码执行。
PHP代码执行函数：eval、assert、preg_replace

1. eval函数

把字符串当成 PHP 代码来计算。

1. preg_replace函数

preg_replace 函数执行一个正则表达式的搜索和替换。

1. assert函数

assert函数检查一个断言是否为FALSE
 

• 防御命令执行漏洞函数

1、escapeshellarg()
把字符串转码为可以在 shell 命令里使用的参数
2、escapeshellcmd()
转义命令中的所有shell元字符，# &;`,|*?~<>^()[]{}$\\

• 系统命令执行漏洞拼接符

拼接符	作用
|	只执行第二个命令
||	第一个命令执行成功则第二个命令不执行，若1失败，则执行2
&	不管第一个命令是否执行成功都会执行第二个命令
&&	必须两个命令都成功才执行
；	第一个命令执行完成再执行第二个命令（linux系统）

• 命令执行漏洞实例

1、DVWA command injector   low
（1）使用&符号拼接命令，不管第一个命令是否执行成功都会执行第二个命令。

1. 使用管道符，只执行第二个命令不执行第一个命令。

2、DVWA command injector   medium
（1）中级的命令注入漏洞过滤了&& （2）&还是可以执行，也可以使用&&&绕过。 3、DVWA command injector   high
（1）high直接过滤了&等符号
（2）使用管道符绕过
4、DVWA command injector   impossible
（1）提交127.0.0.1&whoami，发现&等特殊字符，whoami等敏感词被过滤了
（2）无法绕过
5、pikachu
（1）exec ping
提交www.baidu.com&dir，普通拼接即可绕过
（2）exec “eval”
提交system(‘dir’);
提交phpinfo();