前言
网络安全常见面试问题
题目
1.命令执行原理，常见函数，危害，和防护
原理：
应用程序有时需要调用一些执行命令的函数，由于服务器对代码中可执行的特殊函数入口没有做过滤，并且用户能够控制这些函数中的参数时，就可以将恶意命令拼接到正常命令中，从而造成命令执行攻击。
命令执行漏洞可以分为远程命令执行（代码执行）和系统命令执行两类
常见危险函数也分为两类：代码执行函数和命令执行函数。
管道符利用：
windows：
&前面的语句为假则直接执行后面的
&&前面的语句为假则直接出错，后面的也不执行
|直接执行后面的语句
||前面出错执行后面的
Linux：
;前面的执行完执行后面的
| 管道符，上一条命令的输出，作为下一条命令的输入
||当前面的执行出错时执行后面的
& 无论前边语句真假都会执行
&& 只有前边语句为真，才会执行后边语句
利用条件：
➢用户能够控制的函数输入
➢存在可以执行代码或者系统命令的危险函数
危害：
➢继承Web服务程序的权限去执行系统命令或读写文件
➢反弹shell
➢控制整个网站甚至控制服务器
➢进一步内网渗透
常见函数：
远程命令（php代码）执行漏洞----php代码执行
eval(),assert()
<?php
eval($_GET['pass']) //eval(),assert() 把字符串当代码执行
?>
<?php
assert($_GET['pass']);
?>
preg_replace()
call_user_func()
call_user_func_array()
$a($b)
利用远程命令执行还可以：
➢?a=print(FILE); //获取当前绝对路径
__LINE__ 文件中的当前行号
__FILE__ 文件的完整路径和文件名。如果用在被包含文件中，则返回被包含的文件名
__DIR__ 文件所在的目录。如果用在被包括文件中，则返回被包括的文件所在的目录
➢?a=var_dump(file_get_contents('c:\windows\system32\drivers\etc\hosts')); //读取文件
➢?a=var_dump(file_put_contents($_POST[1],$_POST[2]));
POST写入
1=shell.php&2=<?php phpinfo()?> //写个shell插进去--可以写入一句话木马进去
系统命令执行漏洞 ----系统命令的执行
允许系统命令执行的函数有：
➢system()
➢exec()
➢shell_exec()
➢passthru()
➢popen()
➢反引号
系统命令执行其他利用方式：
➢?a=type C:\windows\system32\drivers\etc\hosts //查看文件
➢?a=cd chdir //查看当前绝对路径
➢?a=echo "<?php phpinfo();?>" > E:\xampp\htdocs\php\os\phpinfo.php
写shell（phpinfo.php)插进去 --- 内容<?Php phpinfo() ?> 可以换成 一句话木马,要先查看当前路径
防护：
（1）尽量不要执行外部命令
（2）使用自定义函数或函数库来替代外部命令的功能
（3）使用escapeshellarg函数来处理命令参数，escapeshellarg函数会将任何引起参数或命令结束的字符转义，单引号“‘”替换成“’”，双引号""“替换成“””，分号“;”替换成“;”
（4）使用safe_mode_exec_dir指定要执行程序的主目录（php.ini），可以把会使用的命令提前放入此路径内safe_mode= On（打开php的安全模式）
safe_mode_exec_dir= /usr/local/php/bin/
2.中间件漏洞原理及利用
IIS
1.IIS 6.0
1.后缀解析 /xx.asp;.jpg。服务器默认不解析 ; 号及其后面的内容，相当于截断。
2.目录解析 /xx.asp/xx.jpg (xx.asp目录下任意解析)
3.默认解析 xx.asa xx.cer xx.cdx
4.RCE CVE-2017-7269
2.IIS 7.0-7.5
1.在Fast-CGI开启状态下，在文件路径后加上 /xx.php ，即 xx.jpg/xx.php 会被解析为php文件
3.PUT漏洞
1.开启WebDAV
2.拥有来宾用户，且来宾用户拥有上传权限
3.可任意文件上传
4.文件名猜解
1.IIS 8.0之前的版本支持短文件名猜测的HTTP方法主要包括：DEBUG、OPTIONS、GET、POST、HEAD、TRACE六种，需要安装ASP.NET。
而IIS 8.0之后的版本只能通过OPTIONS和TRACE方法猜测成功，但是没有ASP.NET的限制。
2.文件夹名前6位字符带点”.”，扫描程序会认为是文件而不是文件夹，最终出现误报
3.不支持中文文件名
Apache
1.后缀解析
test.php.x1.x2.x3 （ x1,x2,x3 为没有在 mime.types 文件中定义的文件类型）
Apache 将从右往左开始判断后缀，若x3为非可识别后缀，则判断x2，直到找到可识别后缀为止，然后对可识别后缀进行解析
2.htaccess
当AllowOverride被启用时，上传启用解析规则的.htaccess，覆盖apache主配置文件
3.目录遍历
配置 Options +Indexes 时Apache存在目录遍历漏洞。
4.CVE-2017-15715
%0A 绕过上传黑名单
Nginx
1.Fast-CGI关闭
在Fast-CGI关闭的情况下， Nginx 仍然存在解析漏洞： 在文件路径(xx.jpg)后面加上 %00.php ， 即 xx.jpg%00.php 会被当做 php 文件来解析
2.Fast-CGI开启
在Fast-CGI开启状态下，在文件路径后加上 /xx.php ，则 xx.jpg/xx.php 会被解析为php文件
3.CVE-2013-4547
a.jpg\x20\x00.php
4.配置错误
a.目录穿越
如果配置中存在类似 location /foo {
alias /bar/; } 的配置时，/foo../ 会被解析为 /bar/../ 从而导致目录穿越的发生。
b.目录遍历
配置中 autoindex on 开启时，Nginx中存在目录遍历漏洞。
Tomcat
1.CVE-2017-12615
1.PUT方法上传任意文件
2.但限制了jsp后缀的上传，绕过办法：
a.Windows下不允许文件以空格结尾,以PUT /a001.jsp%20 HTTP/1.1上传到 Windows会被自动去掉末尾空格
b.Windows NTFS流Put/a001.jsp::$DATA HTTP/1.1
c. /在文件名中是非法的，也会被去除（Linux/Windows）Put/a001.jsp/http:/1.1
2.CVE-2020-1938
CVE-2020-1938为Tomcat AJP文件包含漏洞
3.弱口令&war远程部署
在tomcat8环境下默认进入后台的密码为tomcat/tomcat，未修改造成未授权即可进入后台
4.CVE-2019-0232
1.CVE-2019-0232为Apache Tomcat RCE
v.manager App暴力破解
后台密码用base64编码传输，抓包解密即可得到后台密码，也可以进行爆破
Weblogic
i.CVE-2017-10271 反序列化漏洞
ii.CVE-2018-2628 反序列化命令执行漏洞
iii.CVE-2018-2894 Weblogic 任意文件上传漏洞
iv.CVE-2020-14882 Weblogic 管理控制台未授权远程命令执行漏洞
v.SSRF Weblogic SSRF漏洞
vi.弱口令
总结
本期主要介绍了命令执行和中间件漏洞。