本次搭建OWASP靶机中自带的DWVA靶机对命令注入执行

Simple级别

源代码查看

<?php
if( isset( $_POST[ 'submit' ] ) ) {
    $target = $_REQUEST[ 'ip' ];
    // Determine OS and execute the ping command.
    if (stristr(php_uname('s'), 'Windows NT')) { 
        $cmd = shell_exec( 'ping  ' . $target );
        echo '<pre>'.$cmd.'</pre>';        
    } else {     
        $cmd = shell_exec( 'ping  -c 3 ' . $target );
        echo '<pre>'.$cmd.'</pre>';      
    }    
}
?>

关键函数

php_uname(mode) 函数：
mode内容如下：
'a'：此为默认。包含序列 "s n r v m" 里的所有模式。
's'：操作系统名称。例如： FreeBSD。
'n'：主机名。例如： localhost.example.com。
'r'：版本名称，例如： 5.1.2-RELEASE。
'v'：版本信息。操作系统之间有很大的不同。
'm'：机器类型。例如：i386。
shell_exec() 函数：
通过shell执行命令并以字符串的形式返回完整的输出

代码审计：

通过关键函数结合源代码，可以看到原意是通过ping命令和用户输入的信息进行拼接调用shell_exec()函数来执行shell命令，最后回显结果。由于此处只是进行简单凭借，所以通过构造特殊输入内容，可以利用命令注入漏洞来进行执行。

命令注入

核心思想是，通过执行完第一个command后，在执行恶意拼接的command
主要使用的命令拼接符号有 | || & &&

拼接符	使用方法	功能	适用系统
\|	command1 \| command2	只显示Command2结果	W/L
\|\|	command1 \|\| command2	显示command1和command2结果,Command1不影响2	W/L
&	command1 & command2	显示command1和command2结果,Command1不影响2	W
&&	command1 && command2	显示command1和command2结果,Command1必须正确	W/L
;	command1 ; command2	显示command1和command2结果,Command1不影响2	L

Simple测试

| 符号测试

|| 符号测试,Command1正确

|| 符号测试,Command1错误

&& 符号测试,Command1正确

&& 符号测试,Command1错误

; 符号测试

Medium级别

源代码查看

<?php
if( isset( $_POST[ 'submit' ] ) ) {
    $target = $_REQUEST[ 'ip' ];
    $substitutions = array(
        '&&' => '',
        ';' => '',
    );
    // Determine OS and execute the ping command.
    if (stristr(php_uname('s'), 'Windows NT')) { 
        $cmd = shell_exec( 'ping  ' . $target );
        echo '<pre>'.$cmd.'</pre>';        
    } else {     
        $cmd = shell_exec( 'ping  -c 3 ' . $target );
        echo '<pre>'.$cmd.'</pre>';      
    }    
}
?>