靶场DVWA之Command Injection – 作者:magic24

首先按照要求输入一个地址；

输入8.8.8.8，点击submit；

看到回显结果可知，执行了一次ping操作；

LOW

由于测试发现输入地址后，后台会执行一次ping操作并返回执行结果；

尝试通过拼接符执行更多命令；

发现拼接符&后接的命令net user成功执行；

可知此处存在命令执行漏洞，我们可以通过此漏洞直接调用后台执行。

MEDIUM

查看源码

发现在medium等级下做出了对&&和；两个参数的过滤；

依然可以使用拼接符&、|执行代码；

输入8.8.8.8 & whoami，查看结果；

命令成功执行。

HIGH

查看源码

high级别下增加了更多的字符用于黑名单过滤；

寻找到遗漏的字符即可；

发现拼接符 | 后面多接了一个空格；

故输入8.8.8.8|whoami；

命令成功执行。

IMPOSSIBLE

查看源码

stripslashes()函数 : 删除字符串中的反斜杠。

explode()函数：把字符串打散为数组。

is_numeric()函数：用于检测变量是否为数字或数字字符串。

可知impossible级别下命令必须严格按照IP地址的格式输入数字才可以执行，故不存在命令执行漏洞。

来源：freebuf.com 2020-10-12 16:37:13 by: magic24