DVWA 之命令注入（Command Injection）

命令注入（Command Injection），是指在某些需要输入数据的位置，还构造了恶意的代码破坏了原先的语句结构。而系统缺少有效的过滤，最终达到破坏数据、信息泄露甚至掌控电脑的目的。许多内容管理系统CMS存在命令注入漏洞。

解决乱码问题

在文本框中输入”ip address”后结果显示为乱码，如下图所示。

解决此问题的方法：在DVWA-master\dvwa\includes目录下找到dvwaPage.inc.php文件中所有的”charset=utf-8”，修改”charset=gb2312”，即可。

LOW级别

在文本框里输入”192.168.0.1 && net user”，得到以下系统中所有的用户

输入”192.168.0.1 && net user LUJIE”得到LUJIE账号的属性，当然还可以增删账号密码等等

代码

<?php 

if( isset( $_POST[ 'Submit' ]  ) ) { 
    // Get input 
    $target = $_REQUEST[ 'ip' ]; 

    // Determine OS and execute the ping command.