Dvwa command injection命令注入攻击实操
继之前的dvwa攻击之后，这次我们还将进行命令注入攻击。 和之前一样，打开配置环境，输入dvwa。
实验原理
命令注入执行漏洞攻击是常见的网络安全漏洞，它允许用户在没有限制或检查的情况下将数据传递给应用程序，从而使攻击者能够构建和操纵恶意代码。代码。通常位于提交数据的位置，例如在Web 申请表提交、输入框和文件上传中。例如，这就是Apache log4j和log4j2反序列化漏洞背后的原理。
防范措施
对于用户上传数据的输入设备，将实行严格的检查和黑白名单限制，对转义字符、格式等都有严格的要求。
实验步骤
低级
首先，检查内容。您可以选择主机或其他ping 命令。
127.0.0.1（为简单起见）
当我选择ping百度时，我查看了源码，发现调用了Windows cmd来执行相应的ping操作。另外，输入内容也没有限制。即可以使用逻辑字符或||来实现对命令提示符的其他调用。
因此，您可以通过添加netuser来将管理员ID添加到IP地址中。
中等水平
可以看到，在中级的时候，也可以用低级的思维，用同样的方式来限制人物。
但对于其他角色则没有限制。通过搜索Windows和Linux系统上常见的特殊符号，您可以选择其中之一并在源代码中不受限制地编写逻辑代码来识别漏洞。
先进的
源码分析在中级的基础上，在高级上增加了更多的限制，但是一一查看，发现只有|的限制，而不仅仅是|的限制。您可以通过命令注入来实现这一点。
不可能的水平
第四级抛弃了前三级的限制策略，只针对IP地址，对IP地址采用严格的输入方式，并对各个部分进行检查，使其无法穿透。
以上关于#Dvwa命令注入攻击的相关内容仅供参考。相关信息请参见官方公告。
原创文章，作者：CSDN，如若转载，请注明出处：https://www.sudun.com/ask/92999.html
