本文共 724 字，大约阅读时间需要 2 分钟。

Command Injection

---

---

一、什么是Command Injection？

命令注入是利用系统弱点获取对系统的访问权限，以执行恶意代码、获取用户数据和参与其他活动。

>根据程序调用系统命令。

程序中有调用系统命令的部分，例如输入ip，程序调用系统命令ping这个ip。如果在ip后面加一个&&、&、|、||命令拼接符号再跟上自己需要执行的系统命令。

二、DVWA实战

Low级别

该级别对输入没有进行过滤。

首先要输入一个IP,之后接自己想要执行的命令。 一、输入：127.0.0.1 && ipconfig ipconfig命令是DOS系统中的命令，可以帮助用户查看网络状况，可以看到你想看到的众多网络信息，比如延迟，IP，主机信息，物理地址信息等等。

二、输入：127.0.0.1 && whoami

可得账户。 通过执行想要地命令，得到自己需要的信息。

Medium级别

一、输入：127.0.0.1&&whoami

报错 推断可能是这里&&被过滤了，那我们就试一下其它的连接方法。 二、输入：12 || whoami 成功获得账户

三、输入：12&whoami

成功获得账户

据此推断，Medium级别对输入进行了部分过滤。

查看源码 对&&和；符号进行了消除。

High级别

high级别与其他的级别类似，只是过滤机制更加强了。

可以直接看源码： 很多连接符都被过滤，不过还是有漏洞比如： 输入：12222222 |whoami 中间不加空格 成功获得账户 至于impossible级别就很困难了，目前不会，总的来说，DVWA中前三个级别的Command Injection还是比较容易，理解命令注入知道一些常用的命令。

转载地址：http://hmvwb.baihongyu.com/