ctfhub命令注入

打开ctfhub的命令命令注入题目，第一眼看到的注入是一个输入框，旁边写着“ping一下这个IP”。命令我随手敲了个127.0.0.1，注入页面返回了正常的命令ping结果。这时候大多数人会想：这不就是注入个ping工具吗？但真正的问题藏在输入框的边界之外。

命令注入的命令本质，是注入程序把用户输入拼接到系统命令里，却没做任何过滤。命令比如后端代码可能是注入system("ping " . $_GET['ip'])。你输入IP，命令它执行ping，注入看起来天经地义。命令可如果你在IP后面加上分号呢？注入分号在Linux shell里是命令分隔符，意味着ping 127.0.0.1; whoami会先ping，命令再执行whoami。页面回显里，除了ping结果，还多了一行当前用户名——这就是突破口。

我在ctfhub的第一关试了试，输入127.0.0.1; ls，文件列表直接出来了。那种感觉像撬开一扇没上锁的门，里面全是宝藏。但别高兴太早，第二关就加了过滤，分号被替换成空字符。我改用|管道符，127.0.0.1|ls照样执行。第三关更狠，把空格也过滤了。这时候得用${ IFS}代替空格，比如127.0.0.1|cat${ IFS}flag.php。你看，每一关都在逼你换一种姿势绕过，像解谜游戏，但比游戏真实——因为背后是真服务器。

有个细节特别有意思：ctfhub的题目会回显命令输出，但真实场景里多半是盲注，什么也不显示。你得靠延时判断，比如127.0.0.1; sleep 5，如果页面卡了五秒，说明命令执行成功。这招在ctfhub里用不上，但思路得提前练。我见过不少新手，在ctfhub里用回显拿flag很顺手，一到实战就懵了，因为没输出就不知道下一步干嘛。所以我的建议是：做ctfhub时，故意把回显遮住，逼自己用盲注手法去探测。

再说一个容易踩的坑：有些题过滤了cat、flag这些关键词。这时候别硬刚，试试tac（倒着读文件）、more、less，或者用通配符cat f*。ctfhub里有一关把flag字符串替换成空，我输入cafg，结果服务器执行的是cat——因为中间的flag被删了，剩下的正好拼成cat。这种小聪明在真实渗透里也管用，但得先摸清过滤规则，乱试反而浪费时间。

命令注入的根因，其实是开发者图省事，把外部输入直接拼进命令串。修起来不难，用escapeshellarg()转义，或者干脆禁用system、exec这类函数。但现实是很多老旧系统根本没人维护，漏洞就这么躺在那儿。ctfhub把这些漏洞包装成闯关游戏，本质上是在训练你的条件反射——看到输入框，先想能不能注入，而不是急着填IP。

最后一关我卡了半小时，过滤了几乎所有符号，连&、|、;都废了。后来发现换行符%0a没被过滤，127.0.0.1%0acat flag.php直接绕过。那一刻我意识到，命令注入的防御很难做到滴水不漏，攻击者只需要找到一个没被堵上的缝。ctfhub的题目设计者深谙此道，每一关都在提醒你：别以为过滤了几个字符就安全了，总有你想不到的编码方式。

玩完这套题，我最大的感受是：命令注入离我们不远。你用的路由器管理页、打印机后台、甚至某些云平台的控制台，都可能藏着类似的洞。ctfhub是个安全的练习场，摔了不疼，但能长记性。下次写代码时，我至少会多问一句：这个参数会不会被拼进命令里？

很赞哦!（7）