命令执行漏洞

2020-09-15

命令执行漏洞总结，主要讲述PHP相关的RCE，其他的后续慢慢补充~

概述

命令执行漏洞，即因为过滤不严等原因，导致函数或者参数可控，从而导致可以执行系统命令等，即我们通常所说的RCE。

类别

命令执行漏洞严格来说分为两种

一种是相应的语言函数导致的代码执行，比如eval()这种，我们称之为代码执行；
一种是执行系统函数导致的代码执行，比如我们的system()函数等，我们成为系统命令执行；

bypass-Tricks

&、&&
|、||
;
%0a、%0d、%09
‘’、””
``和$()
()和{}
正则或通配符bypass
[]和{} bypass
base64或进制 bypass
${IFS}、<>、$IFS
变量bypass，如a=l;b=s;$a$b
反斜杠bypass
$*、$@、$x(1<x<9)、${x}(x>=10)
{cat,/etc/passwd}
重定向<> bypass

漏洞函数

php相关RCE

代码执行

eval()

<?php
show_source(__FILE__);
eval($_GET['cmd']);
?>

assert()

<?php
show_source(__FILE__);
assert($_GET['cmd']);
?>

preg_replace(‘’)

<?php
show_source(__FILE__);
preg_replace("/hello/e",$_GET["cmd"],"123");
?>

create_function()

<?php
show_source(__FILE__);
$fun = create_function('',$_GET['cmd']);
$fun();
?>

array_map()

<?php
show_source(__FILE__);
array_map('eval',$_GET['cmd']);
?>

array_filter()

<?php
show_source(__FILE__);
array_filter('eval',$_GET['cmd']);
?>

call_user_func()

<?php
show_source(__FILE__);
call_user_func(eval,$_GET['cmd']);
?>

call_user_func_array()

<?php
show_source(__FILE__);
call_user_func_array(eval,array($_GET['cmd']));
?>

uasort()

<?php
show_source(__FILE__);
usort($_GET,'ev'.'al');
?>

系统命令执行

system()

<?php
show_source(__FILE__);
$cmd=$_GET['cmd'];
system($cmd);
?>

passthru()

<?php
show_source(__FILE__);
$cmd=$_GET['cmd'];
passthru($cmd);
?>

exec()

<?php
show_source(__FILE__);
$cmd=$_GET['cmd'];
echo exec($cmd);
?>

pcntl_exec()

1	<?php pcntl_exec(“/bin/bash”, array(“run.sh”));?>

shell_exec()

<?php
show_source(__FILE__);
$cmd=$_GET['cmd'];
echo shell_exec($cmd);
?>

popen()

<?php
    show_source(__FILE__);
    $command=$_GET['cmd'];
    $fd = popen($command, 'r'); 
    while($s=fgets($fd)){
        print_r($s);
    }
?>

proc_open()

<?php
	show_source(__FILE__);
	$command=$_GET['cmd'];
  	$descriptorspec=array(
        0=>array('pipe','r'),
        1=>array('pipe','w'),
        2=>array('pipe','w')
    );
    $handle=proc_open($command,$descriptorspec,$pipes,NULL);
    if(!is_resource($handle)){
    	die('proc_open failed');
    }
    while($s=fgets($pipes[1])){
    	print_r($s);
    }
    while($s=fgets($pipes[2])){
    	print_r($s);
    }
    fclose($pipes[0]);
    fclose($pipes[1]);
    fclose($pipes[2]);
    proc_close($handle);
?>

ob_start()

<?php
show_source(__FILE__);
$cmd1 = 'system';
ob_start($cmd1);
echo "$_GET[cmd]";
ob_end_flush();
?>

Java相关命令执行函数

Runtime
ProcessBuilder

参考资料

本文作者： yd0ng
本文链接： https://yd0ng.github.io/2020/09/15/%E5%91%BD%E4%BB%A4%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E/
版权声明： 本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议进行许可。转载请注明出处！