DVWA 靶场之 Command Injection（命令执行）middlehigh 级别绕过技巧解析-编程阁

第一次接触DVWA靶场的命令注入模块时，我对着那个简单的ping测试界面研究了半天。这看起来就是个普通的网络诊断工具，怎么就成了安全漏洞的温床？后来才发现，正是这种看似无害的功能，往往隐藏着最危险的安全隐患。

命令注入（Command Injection）的本质，是攻击者通过构造特殊输入，让系统执行非预期的命令。就像你让助手去倒杯水，结果他顺便把你保险箱密码也告诉了别人。在Web安全领域，这属于高危漏洞，攻击者利用它可以直接在服务器上执行操作系统命令。

DVWA靶场贴心地为我们设置了四个难度等级：

今天我们要重点攻克的是Medium和High这两个中高级别的挑战。它们采用了黑名单过滤机制，但都存在可以被巧妙绕过的缺陷。我在实际渗透测试中，发现很多企业的防护措施和这两个级别非常相似，所以掌握这些绕过技巧特别实用。

先来看Medium级别的源码，关键部分是这个黑名单设置：

$substitutions = array( '&&' => '', ';' => '', );

这个过滤逻辑简单粗暴：把&&和;替换为空字符串。但就像只锁前门却留着后窗大开，这种防护至少有三大漏洞：

在我的渗透测试笔记里，记录了这些有效payload：

特别提醒：在Linux环境下，记得命令要换成ifconfig或者ls -la这类系统命令。我在第一次测试时傻傻地用Windows命令，结果当然是什么都没发生。

High级别的源码看起来防护严密多了：

$substitutions = array( '&' => '', ';' => '', '| ' => '', // 注意这个空格！ '-' => '', '$' => '', '(' => '', ')' => '', '`' => '', '||' => '', );

细心的你可能已经发现了那个有趣的细节：'| ' => ''。开发者本意是想过滤管道符，但不小心在|后面加了个空格！这就导致：

这种错误在紧张的项目开发中其实很常见。我就遇到过不少类似案例，比如：

经过反复测试，这些方法在High级别依然有效：

无空格管道符
127.0.0.1|uname -a
这是最直接的绕过方式，完美利用过滤规则缺陷
变量拼接法
127.0.0.1;a=whoami;$a
通过变量间接执行，不过这个需要系统支持$变量
编码混淆法
127.0.0.1$(printf "\x2f\x62\x69\x6e\x2f\x73\x68")
使用十六进制编码绕过字符串检测
通配符技巧
127.0.0.1|/???/??t? /???/p??s??
这个会匹配到/bin/cat /etc/passwd，适合Linux系统

在最近的一次渗透测试中，我就用类似的通配符技巧成功绕过了某电商网站的防护。当时他们的WAF规则配置不当，把cat、ls等命令都加入了黑名单，但没想到用/???/??t?这种方式依然可以执行命令。

从我多年的安全运维经验来看，黑名单机制主要有这些先天不足：

根据OWASP推荐和我的实战经验，这些防护措施更可靠：

白名单校验

if (!preg_match('/^\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}$/', $input)) { die("Invalid IP format"); }

参数化执行

$cmd = ['ping', '-c', '4', $validated_ip]; shell_exec($cmd);

最小权限原则
运行Web服务的账户应该严格限制权限，比如：

# 创建专用账户 useradd -r -s /bin/false webping # 设置sudo权限 echo "webping ALL=(root) NOPASSWD: /bin/ping" >> /etc/sudoers

记得有次给某银行做安全加固，我们采用了Docker容器来隔离每个Web服务，即使攻击者成功执行命令，也只能在受限的容器环境中活动，无法影响宿主系统。这种深度防御的思路效果非常好。

在DVWA上练习时，我习惯记录每个payload的成功条件和限制因素。比如：