命令注入漏洞实战：原理、利用与防御

1. 命令注入漏洞实战解析：从原理到靶场突破

在Web安全测试中，命令注入（Command Injection）始终位列OWASP Top 10的危险漏洞之一。这种漏洞允许攻击者通过精心构造的输入，在服务器端执行任意系统命令。今天我将通过墨者学院的在线靶场，带大家深入剖析命令注入的实战利用过程。

这个靶场模拟了一个存在命令注入漏洞的Web应用，表面上是简单的ping功能，实则暗藏玄机。作为安全研究员，我们需要通过两种不同的技术路线获取服务器上的flag（即key文件内容）。下面我会详细拆解每个操作步骤背后的原理，并分享实际测试中的经验技巧。

2. 环境准备与漏洞识别

2.1 靶场环境分析

靶场页面呈现为一个网络工具界面，核心功能是输入IP地址执行ping操作。从页面元素和响应头可以获取以下关键信息：

• 服务器：Apache/2.4.7 (Ubuntu)
• 系统：Linux（通过Server头信息判断）
• 技术栈：PHP后端（通过报错信息推断）

提示：在实际渗透测试中，信息收集阶段要特别关注Server头、X-Powered-By头等字段，这些常会泄露服务器环境信息。

2.2 漏洞原理深度解析

命令注入漏洞产生的根本原因是：应用程序将用户输入直接拼接进系统命令中，且未做任何过滤处理。以本靶场为例，后端可能存在的危险代码类似：

php复制$ip = $_GET['ip'];
system("ping -c 3 " . $ip);  // 直接拼接用户输入

当用户输入127.0.0.1时，实际执行的命令是：

bash复制ping -c 3 127.0.0.1

但如果输入127.0.0.1; ls，则变成：

bash复制ping -c 3 127.0.0.1; ls  # 会先执行ping，再执行ls

3. 方法一：浏览器直接注入技术

3.1 前置操作准备

1. 禁用JavaScript：在Firefox渗透版中按Ctrl+Shift+K打开开发者工具 → 点击"调试器"标签 → 点击右上角的齿轮图标 → 勾选"禁用JavaScript"

   注意：禁用JS可以绕过前端验证，许多安全防护仅依赖前端验证，这是常见的突破点。