命令注入 · PHP学习

# 命令注入 ### **常见php命令注入函数** eval(),，assert(), system()，preg\_replace(), create\_function, call\_user\_func, call\_user\_func\_array，array\_map()，反引号，ob\_start()，exec()，shell\_exec()，passthru()，escapeshellcmd()，popen()，proc\_open()，pcntl\_exec() <https://www.freebuf.com/column/166385.html> **PHP 执行系统命令可以使用以下几个函数** system、exec、passthru、·· 反引号、shell\_exec、popen、proc\_open、pcntl\_exec **system:** 执行外部程序并显示输出 > string system ( string $command \[, int &$return\_var \] ) ``` <pre class="calibre10">``` system ("/php7/php.exe test.php"); ``` ``` **exec:** 执行一个外部命令 > string exec ( string $command \[, array &$output \[, int &$return\_var \]\] ) ``` <pre class="calibre10">``` exec("/php7/php.exe test.php") ``` ``` **passthru：** 执行外部程序并且显示原始输出 > void passthru (string command, int &return\_var) ``` <pre class="calibre10">``` passthru('echo $PATH'); ``` ``` \*\*shell\_exec：\*\*通过shell环境执行命令 ``` <pre class="calibre10">``` shell_exec('ls -lart') ``` ``` > string shell\_exec (string command) > `` 反引号：`反引号号里直接包含shell 命令` 会直接执行 ``` <pre class="calibre10">``` echo `ls -al`; $get="whoami"; echo `$get` ``` ``` resource popen ( string $command , string $mode ) resource proc\_open ( string $cmd , array $descriptorspec , array &$pipes \[, string $cwd \[, array $env \[, array $other\_options \]\]\] ) void pcntl\_exec ( string $path \[, array $args \[, array $envs \]\] ) 例子： ``` <pre class="calibre10">``` if( isset( $_POST[ 'Submit' ] ) ) { // Get input $target = $_REQUEST[ 'ip' ]; // Determine OS and execute the ping command. if( stristr( php_uname( 's' ), 'Windows NT' ) ) { // Windows $cmd = shell_exec( 'ping ' . $target ); } else { // *nix $cmd = shell_exec( 'ping -c 4 ' . $target ); } // Feedback for the end user echo "{$cmd}"; } 正常输入： input框输入 www.baidu.com或者输入ip 命令注入： input输入 0 | dir c:提交测试常见的危险注入符号：%&|>等 ``` ``` # **防御函数** 当用户提供的数据传入此函数，使用 escapeshellarg() 或 escapeshellcmd() 来确保用户欺骗系统从而执行任意命令。 ## **escapeshellarg** ( string $arg ) 可以用到 php 的安全中，会过滤掉 arg 中存在的一些特殊字符。在输入的参数中如果包含中文传递给 escapeshellarg，会被过滤掉。 php.5.6.10之前存在任意命令注入的漏洞，php.5.6.10被修复 ``` <pre class="calibre10">``` $dir = "."; system('ls '.escapeshellarg($dir)); escapeshellcmd('ls $dir'); ``` ``` ## **escapeshellcmd** ( string $command ) escapeshellcmd()函数会转义命令中的所有 shell 元字符来完成工作。这些元字符包括：# & ; ` , | \* ? ~ < > ^ ( ) \[ \] { } $ \\ ``` <pre class="calibre10">``` 二者分工不同，前者为了防止用户利用shell的一些技巧（如分号、反引号等），执行其他命令；后者是为了防止用户的输入逃逸出“参数值”的位置，变成一个“参数选项”（命令构成：命令参数选项参数值）渗透测试：[http://www.52bug.cn/hkjs/4879.html](http://www.52bug.cn/hkjs/4879.html) localhost/test.php?cmd=echo "aaaaaaa" >>1.txt 注释：一、> 是定向输出到文件，如果文件不存在，就创建文件；如果文件存在，就将其清空；在我的一篇清空linux历史命令的文章中，就是这种方法，用echo > .bash_history，将文件内容清空（文件大小变成0字节）。二、>> 这个是将输出内容追加到目标文件中。如果文件不存在，就创建文件；如果文件存在，则将新的内容追加到那个文件的末尾，该文件中的原有内容不受影响。 ``` ``` 防御例子： ``` <pre class="calibre10">``` if( isset( $_POST[ 'Submit' ] ) ) { // 检查Anti-CSRF令牌 checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // 获取input信息 $target = $_REQUEST[ 'ip' ]; $target = stripslashes( $target ); // 把IP分成4个字节 $octet = explode( ".", $target ); //检查每八位字节是否为整数 if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) { //如果所有的4个字节都是int，把IP放回去。 $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3]; // 确定操作系统并执行ping命令。 if( stristr( php_uname( 's' ), 'Windows NT' ) ) { // Windows $cmd = shell_exec( 'ping ' . $target ); } else { // *nix $cmd = shell_exec( 'ping -c 4 ' . $target ); } // 为最终用户提供结果 $html .= "{$cmd}"; } else { // 返回错误信息 $html .= 'ERROR: You have entered an invalid IP.'; } } // 生成Anti-CSRF令牌 generateSessionToken(); ``` ``` ``` <pre class="calibre10">``` // 检查Token function checkToken( $user_token, $session_token, $returnURL ) { //检查用户表单传过来的token是否等于当前的token 或者token不存在 if( $user_token !== $session_token || !isset( $session_token ) ) { if( !isset( $_SESSION[ 'dvwa' ] ) ) { $_SESSION[ 'dvwa' ] = array(); } $dvwaSession=$_SESSION[ 'dvwa' ]; if( !isset( $dvwaSession[ 'messages' ] ) ) { $dvwaSession[ 'messages' ] = array(); } $dvwaSession[ 'messages' ][] = 'CSRF token is incorrect'; session_commit(); header( "Location: {$returnURL}" ); exit; } } ``` ``` ``` <pre class="calibre17">``` //生成token function generateSessionToken() { # Generate a brand new (CSRF) token if( isset( $_SESSION[ 'session_token' ] ) ) { unset( $_SESSION[ 'session_token' ] ); } $_SESSION[ 'session_token' ] = md5( uniqid() ); } ``` ```