dvwa命令注入（Command Injection）

系统命令注入是常见的一类漏洞，攻击者可以绕过业务本身，在服务器上执行一个或多个系统命令。

在详细介绍命令注入之前，有一点需要注意：命令注入与远程代码执行不同。他们的区别在于，远程代码执行实际上是调用服务器网站代码进行执行，而命令注入则是调用操作系统命令进行执行。 虽然最终效果都会在目标机器执行操，但是他们还是有区别的，基于这个区别，我们如何找到并利用方式也是有所不同的。

DVWA中命令注入分四个等级， 分别是low、middle、high、impossible

Low：

正常输入ip地址结果如下

首先查看源代码： 可以看出代码中没有对输入做校验： 也就是说可以使用一些特殊字符执行命令注入（&、&&、|、||、 ; ）

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    // 根据请求获取ip值， 但没有对输入做任何校验
    $target = $_REQUEST[ 'ip' ];

    // Determine OS and execute the ping command.
    // 区分windows系统和linux或unix
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    // 前端显示返回值
    echo "<pre>{$cmd}</pre>";
}
?>

例如输入：fsdfas || net user（前一个命令执行失败就会执行后一个）

Middle：

首先查看源码有什么变动:  添加了字符串替换，将&&和;替换为空。 但是没有完全过滤，黑名单校验

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    // 根据请求获取ip值，
    $target = $_REQUEST[ 'ip' ];

    // Set blacklist
    // 指定需要过滤的字符串， 过滤&&和;
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );

    // Remove any of the charactars in the array (blacklist).
    // 替换字符串-->将输入字符中&&和;替换为空
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

使用其他字符串同样可以完成 命令注入： 例如 127.0.0.1&net user

High：

首先查看源码有什么变动:  源码中对进行过滤，但|后过滤存在问题，多了一个空格。黑名单校验。

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    // 根据请求获取ip值， 但没有对输入做任何校验
    $target = $_REQUEST[ 'ip' ];

    // Determine OS and execute the ping command.
    // 区分windows系统和linux或unix
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    // 前端显示返回值
    echo "<pre>{$cmd}</pre>";
}

?>



<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    // 根据请求获取ip值，
    $target = $_REQUEST[ 'ip' ];

    // Set blacklist
    // 指定需要过滤的字符串， 过滤&&和;
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );

    // Remove any of the charactars in the array (blacklist).
    // 替换字符串-->将输入字符中&&和;替换为空
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>


<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);

    // Set blacklist
    // 源码中对进行过滤，但|后过滤存在问题，多了一个空格
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );

    // Remove any of the charactars in the array (blacklist).
    // 字符替换为空
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

使用|可以完成命令注入（后不能带空格）： 例如  fsdfas|type c:aaa.txt，查看c盘文件内容

 Impossible: 

对输入内容做了 1、token校验； 2、严格校验ip格式，保证ip一定范围合法（没有校验单个数字字符大小（0-255）），其他输入将被视为不合法，也就是做了白名单校验。

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    // 校验了token值
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );

    // Split the IP into 4 octects
    // ip以点做字符分割
    $octet = explode( ".", $target );

    // Check IF each octet is an integer
    // 校验每个字符是数字类型
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        // 在将4个数字字符组合成ip地址
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// Generate Anti-CSRF token   生成token值
generateSessionToken();

?>