关注我们

命令执行漏洞简单讲述

M4stM4st 安全文摘 2018-11-26 383910 0

1. 利用系统函数实现远程命令执行

在PHP下,允许命令执行的函数有:

eval()

assert()

preg_replace()

call_user_func()

...

如果页面中存在这些函数并且对于用户的输入没有做严格的过滤,那么就可能造成远程命令执行漏洞

eval()函数

定义和用法

eval() 函数把字符串按照 PHP 代码来计算。

该字符串必须是合法的 PHP 代码,且必须以分号结尾。

如果没有在代码字符串中调用 return 语句,则返回 NULL。如果代码中存在解析错误,则 eval() 函数返回 false。

语法

eval(phpcode)

phpcode 必需。规定要计算的 PHP 代码。

例子

<?php $a = $_GET['a']; eval($a); ?> 
http://127.0.0.1/oscommand/1.php?a=phpinfo();

assert()函数

定义和用法

检查一个断言是否为 FALSE

语法

PHP 5

bool assert ( mixed assertion [, stringdescription ] )

PHP 7

bool assert ( mixed assertion [, Throwableexception ] )

assert() 会检查指定的 assertion 并在结果为 FALSE 时采取适当的行动

例子

<?php $a = $_GET['a'];
assert($a); ?> 
http://127.0.0.1/oscommand/1.php?a=phpinfo(); http://127.0.0.1/oscommand/1.php?a=phpinfo()

ps: eval()和assert()区别

eval()函数正确执行需要满足php的代码规范,而assert()函数则不存在这个问题,对于php的代码规范要求不高

preg_replace()函数

定义和语法

preg_replace 函数执行一个正则表达式的搜索和替换。

语法

mixed preg_replace ( mixed pattern , mixedreplacement , mixed subject \[, intlimit = -1 [, int &$count ]] )

搜索 subject 中匹配 pattern 的部分, 以 replacement 进行替换。

参数说明:

pattern: 要搜索的模式,可以是字符串或一个字符串数组。当pattern处存在一个"/e"修饰符时,$replacement的值会被当成php代码来执行。

$replacement: 用于替换的字符串或字符串数组。

$subject: 要搜索替换的目标字符串或字符串数组。

$limit: 可选,对于每个模式用于每个 subject 字符串的最大可替换次数。 默认是-1(无限制)。

$count: 可选,为替换执行的次数。

例子

<?php $a = $_GET['a']; echo preg_replace("/test/e", $a, "just test!") ?> 
http://127.0.0.1/oscommand/1.php?a=phpinfo()

ps: 在php5.4及以下版本中,preg_replace()可正常执行代码,而在php5.5及后续版本中会提醒"/e"修饰符已被弃用,要求用preg_replace_callback()函数来代替。

call_user_func()函数

定义和用法

call_user_func — 把第一个参数作为回调函数调用

语法

mixed call_user_func ( callable callback \[, mixedparameter [, mixed $... ]] )

第一个参数 callback 是被调用的回调函数,其余参数是回调函数的参数。

例子

<?php call_user_func($_GET['a'],$_GET['b']); ?> 
http://127.0.0.1/oscommand/1.php?a=assert&b=phpinfo()

其他函数

ob_start()、unserialize()、creat_function()

usort()、uasort()、uksort()

array_filter()

array_reduce()

array_map()

...

2. 系统命令执行漏洞

系统命令执行的函数

system()

exec()

shell_exec()

passthru()

pcntl_exec()

popen()

proc_open()

反引号

...

环境分析

<?php if (isset($_POST['submit'])){
    $target = $_REQUEST['ip']; if(isset(php_uname('s'), 'Windows NT')) {
        $cmd = shell_exec('ping ' . $taeget); echo '<pre>'.$cmd.'</pre>';
    } else {
            $cmd = shell_exec('ping -c 3 ' . $target); echo '<pre>'.$cmd.'</pre>' }
}

页面通过request获取传入的ip参数,并获取当前系统类型之后拼接相应命令"ping + target IP"并执行,在此过程中IP参数可控,所以在IP可拼接命令。

127.0.0.1&&whoami 127.0.0.1;whoami 127.0.0.1||whoami 

防范措施

在PHP下禁用高危系统函数

找到php.ini,查找到disable_functions,添加禁用的函数名

严格过滤关键字符

$substitutions = array( '&&' => '', ';' => '', '||' => '',
);
$target = str_replace(array_keys($substitutions), $substitution, $target);

严格限制允许的参数类型

利用正则表达


版权声明

本文仅代表作者观点,不代表黑白网立场。
如文章侵犯了您的权利,请通过邮箱联系我们删除。
详情查看:版权纠纷
E-Mail:server@heibai.org

喜欢5发布评论

评论列表

发表评论

  • 昵称(必填)
  • 邮箱
  • 网址