DVWA--COMMAND INJECTION

命令注入攻击的常见模式为：仅仅需要输入数据的场合，却伴随着数据同时输入了恶意代码，

而装载数据的系统对此并未设计良好的过滤过程，导致恶意代码也一并执行，最终导致信息泄露或者正常数据的破坏。

   PHP命令注入攻击漏洞是PHP应用程序中常见的脚本漏洞之一，国内著名的Web应用程序Discuz!、DedeCMS等都曾经存在过该类型漏洞。

现在开始我们的Command Injection

首先打开Command Injection，发现是一个执行ping的界面，推测若没有做好过滤，则很有可能执行其他DOS命令

DOS在一行中执行多条命令需使用的符号:

&&：只有当前面的命令执行成功才执行后面的命令

&：无论怎样总执行后面的命令

||：只有当前面的命令执行失败才执行后面的命令

|：将前面命令执行的输出作为后面命令执行的输入

Low

Low级别的源码，未对用户输入ip做任何过滤
`<?php

if( isset( $_POST[ 'Submit' ] ) ) {
// Get input
$target = $_REQUEST[ 'ip' ];

// Determine OS and execute the ping command.
if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
    // Windows
    $cmd = shell_exec( 'ping  ' . $target );
}
else {
    // *nix
    $cmd = shell_exec( 'ping  -c 4 ' . $target );
}

// Feedback for the end user
echo "<pre>{$cmd}</pre>";

}

?> `
可以看到，low级别的代码接收了用户输入的ip，然后根据服务器是否是Windows NT系统，对目标ip进行不同的ping测试。
但是这里对用户输入的ip并没有进行任何的过滤，所以我们可以进行命令执行漏洞
首先我们可以ping一个正常的id比如127.0.0.1
可以看到ping的结果

接下来我们尝试输入 127.0.0.1 & ipconfig ,在操作系统中，" & 、&& 、| 、 || "都可以作为命令连接符使用,我们在ping完后再执行ipconfig 命令查看ip信息

可以看到，成功执行。然后我们就可以继续执行我们的命令了。把ipconfig换成其他的系统命令
比如以下指令都可执行成功
127.0.0.1&&ipconfig
127.0.01|ipconfig
127.0.0.1||ipconfig
Medium
首先设置安全级别

然后查看源码
`<?php

if( isset( $_POST[ 'Submit' ] ) ) {
// Get input
$target = $_REQUEST[ 'ip' ];

// Set blacklist
$substitutions = array(
    '&&' => '',
    ';'  => '',
);

// Remove any of the charactars in the array (blacklist).
$target = str_replace( array_keys( $substitutions ), $substitutions, $target );

// Determine OS and execute the ping command.
if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
    // Windows
    $cmd = shell_exec( 'ping  ' . $target );
}
else {
    // *nix
    $cmd = shell_exec( 'ping  -c 4 ' . $target );
}

// Feedback for the end user
echo "<pre>{$cmd}</pre>";

}

?> `

Medium级别相比Low级别的代码，服务器端对ip参数做了一定过滤，把”&&”“ ；”；”替换为空；

Medium级别的过滤方式本质上采用的是黑名单机制，相比白名单依旧存在安全问题；
比如我们像low输入127.0.0.1&&ipconfig
我们会发现无法成功ping。
但是我们输入
127.0.0.1&ipconfig

我们可以ping成功，这是因为后台没有对&进行过滤。
同样
127.0.01|ipconfig
127.0.0.1||ipconfig
依然可以ping成功
High
设置安全等级

查看源码
`<?php

if( isset( $_POST[ 'Submit' ] ) ) {
// Get input
$target = trim($_REQUEST[ 'ip' ]);

// Set blacklist
$substitutions = array(
    '&'  => '',
    ';'  => '',
    '| ' => '',
    '-'  => '',
    '$'  => '',
    '('  => '',
    ')'  => '',
    '`'  => '',
    '||' => '',
);

// Remove any of the charactars in the array (blacklist).
$target = str_replace( array_keys( $substitutions ), $substitutions, $target );

// Determine OS and execute the ping command.
if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
    // Windows
    $cmd = shell_exec( 'ping  ' . $target );
}
else {
    // *nix
    $cmd = shell_exec( 'ping  -c 4 ' . $target );
}

// Feedback for the end user
echo "<pre>{$cmd}</pre>";

}

?> `

简单分析一下代码
'&' => '',

';' => '',

'| ' => '', #“| ”后面有个空格；

'-' => '',

'$' => '',

'(' => '',

')' => '',

'`' => '',

'||' => '
服务器对IP参数做了限制，过滤了如上字符，将如上字符都替换为空；
注：源码中是将“| ”替换为空，并不是“|”，所以可以采用“|”的方式绕过；
比如我们简单尝试"&"，"| "等方式实现命令行注入
我们可以发现并不可以ping成功
但是我们输入127.0.0.1|pwd

我们可以发现可以ping成功
这样‘|’就成为漏网之鱼
Impossible
首先修改安全等级
然后我们可以看
后端代码
`<?php
if( isset( $_POST[ 'Submit' ] ) ) {
// Check Anti-CSRF token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// Get input
$target = $_REQUEST[ 'ip' ];
$target = stripslashes( $target );

// Split the IP into 4 octects
$octet = explode( ".", $target );

// Check IF each octet is an integer
if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
    // If all 4 octets are int's put the IP back together.
    $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}
else {
    // Ops. Let the user name theres a mistake
    echo '<pre>ERROR: You have entered an invalid IP.</pre>';
}

}
// Generate Anti-CSRF token
generateSessionToken();

?>
`
相当于前面几个这一个Impossible级别的黑名单完善的更加彻底
使用了stripslashes、explode、is_numeric函数，还加入了Anti-CSRF token，进行了严格的限制
这样我们没有可乘之机了。