DVWA--命令注入
1、判断是否调用系统命令,经判断调用了系统命令ping。
2、判断调用系统命令的参数是否可控,并验证。
3、判断可控参数能否有效地拼接命令。
Medium等级:
High等级:
impossible等级:
提示输入的不是合法的IP,这里直接限制了IP的格式。
修复:白名单
Windows下常见的命令连接符号以及它们的意义:
A&B:简单的拼接,AB之间无制约关系。
A&&B:A执行成功才会执行B。
A | B:A的输出作为B的输入。
A | |B:A执行成功才会执行B。