命令执行与代码执行

20XX/XX/XX命令执行与代码执行汇报人:XXXCONTENTS目录01

课程开篇介绍02

命令与代码执行原理差异03

命令执行常见漏洞场景04

代码执行常见漏洞场景05

漏洞防御与检测方案06

实战练习与学习建议课程开篇介绍01课程学习目标掌握命令执行核心原理

理解命令执行的触发机制与运行逻辑，学会分析bash、cmd等常见终端的执行流程。精通代码执行漏洞检测

掌握SQL注入、文件包含等代码执行漏洞的检测方法，能精准识别常见漏洞特征。熟练运用防御加固技巧

学会通过输入校验、权限控制等方式加固系统，防范Struts2等框架的代码执行攻击。核心概念概述

命令执行的定义与核心逻辑命令执行指通过触发系统指令完成操作，如Windows下执行cmd命令、Linux下运行bash指令。

代码执行的内涵与运行原理代码执行是直接运行编程语言代码，像Python中调用eval函数执行字符串形式的代码段。

命令执行与代码执行的本质差异二者核心区别在于执行对象，命令针对系统指令，代码则面向编程语言语句。命令与代码执行原理差异02命令执行原理说明系统命令解析流程命令执行时，系统Shell会先解析命令字符串，拆分参数后调用对应系统程序，如执行ls命令列出目录内容。权限校验机制执行命令前系统会校验用户权限，如普通用户无法直接执行root权限的shutdown命令，需通过sudo提权。子进程创建逻辑系统会创建独立子进程执行命令，执行完成后返回结果给父进程，避免影响主系统进程运行。编译型代码执行流程以C语言为例，代码先经编译器编译为机器码，再由CPU直接执行，执行效率高但跨平台性弱。解释型代码执行流程如Python代码，由解释器逐行读取并实时翻译为机器码执行，灵活度高但执行速度较慢。混合型代码执行流程像Java代码，先编译为字节码，再由JVM解释执行，兼顾了编译型与解释型的优势。代码执行原理说明核心差异对比梳理执行层级差异命令执行直接调用系统Shell层，如Windows的cmd、Linux的bash；代码执行则需经编程语言解释器或编译器处理。执行依赖差异命令执行依赖系统内置指令或第三方可执行程序，代码执行依赖对应语言的运行环境与类库支持。权限控制差异命令执行通常继承当前用户权限，代码执行可通过沙箱机制，如Java沙箱，限制操作权限范围。命令执行常见漏洞场景03Web应用输入未过滤拼接执行部分Web应用接收用户输入后直接拼接进系统命令执行，如某电商平台曾因未过滤输入导致服务器被恶意控制。操作系统命令拼接符滥用攻击者利用&、|等系统命令拼接符，在输入中插入额外命令，如曾有运维平台因未限制该字符遭挖矿程序植入。脚本语言命令拼接漏洞PHP、Python等脚本语言执行系统命令时，若直接拼接用户输入，如某博客系统曾因此被攻击者删除核心数据。命令拼接注入漏洞不当函数调用漏洞危险函数未过滤参数调用PHP中exec、system等函数若未过滤用户输入参数，攻击者可注入恶意命令，如某CMS曾因该漏洞被入侵。动态函数名拼接调用部分代码通过用户输入拼接函数名执行，攻击者可构造特殊值调用危险函数，如Java反射机制的不当使用案例。第三方库函数误用调用误用具有命令执行能力的第三方库函数，如Python的subprocess模块未限制参数，曾引发多起服务器攻击事件。可控字符输入漏洞

Web表单参数未过滤攻击者可在网站搜索框等表单输入恶意命令字符，如曾出现的某电商平台搜索框命令执行漏洞。

URL参数直接拼接执行当URL参数未做校验直接拼接到系统命令中，攻击者可构造含恶意代码的链接触发漏洞。

文件上传文件名篡改攻击者将文件名改为含命令的字符串，部分未校验的系统会执行该文件名中的恶意命令。CMS系统常见场景

CMS模板引擎命令注入如WordPress某些模板解析漏洞，攻击者可通过恶意模板代码触发系统执行恶意命令。

CMS插件权限绕过执行例如织梦CMS部分插件存在权限漏洞，攻击者可绕过验证执行系统命令获取权限。

CMS后台文件上传触发命令像Joomla的部分版本，攻击者上传恶意脚本文件后可触发服务器执行恶意命令。开发框架常见场景Struts2框架OGNL表达式注入攻击者可通过构造恶意OGNL表达式，触发框架执行系统命令，曾出现多起相关漏洞攻击事件。Spring框架SpEL表达式注入利用Spring框架中SpEL表达式的解析特性，注入恶意代码可执行系统命令，引发安全风险。Laravel框架代码执行漏洞攻击者借助Laravel框架的特定函数调用逻辑，注入恶意代码实现命令执行，影响系统安全。WebShell组件命令注入如冰蝎、菜刀等WebShell组件，易被攻击者利用执行系统命令，控制服务器窃取数据。文件上传组件漏洞滥用像ApacheCommonsFileUpload组件，存在过滤缺陷时，可上传恶意脚本触发命令执行。日志分析组件漏洞利用例如ELK日志分析组件，配置不当会被注入恶意命令，导致服务器权限被非法获取。第三方组件常见场景代码执行常见漏洞场景04动态函数调用漏洞

用户可控函数名触发漏洞PHP环境中，若直接用用户输入作为函数名调用，如eval($_GET['func'])，易被攻击者注入恶意函数。

未过滤的参数传递引发漏洞Python框架中，若将用户输入直接传入动态调用的函数参数，攻击者可构造参数执行恶意代码。

动态方法调用绕过校验漏洞JavaWeb应用中，若通过用户输入动态调用类方法，未做权限校验可能被调用危险方法。eval类执行漏洞

用户输入未过滤触发漏洞PHP网站若未过滤用户输入直接传入eval函数，攻击者可输入恶意代码获取服务器权限，如某博客曾遭此类攻击。

框架函数误用引发漏洞部分开发人员误用ThinkPHP框架的eval相关函数，未做参数校验，导致攻击者注入恶意代码执行非法操作。

第三方组件带漏洞调用使用存在缺陷的第三方统计组件，其内部eval调用未做安全处理，攻击者可借此植入挖矿脚本控制服务器。反序列化注入漏洞PHP对象注入漏洞场景PHP中若用户可控输入直接用于反序列化，如Discuz!曾因该漏洞导致攻击者恶意代码执行。Java反序列化漏洞场景Java中ApacheCommonsCollections库存在反序列化漏洞，攻击者可构造恶意payload触发代码执行。Pythonpickle模块漏洞场景Python的pickle模块无安全验证，若反序列化用户可控数据，易被注入恶意代码操控服务器。本地文件包含注入攻击者通过构造恶意路径，如利用../遍历目录，读取服务器本地敏感文件，例如/etc/passwd。远程文件包含注入攻击者注入远程恶意脚本URL，服务器若开启allow_url_include，会执行远程恶意代码，如植入webshell。伪协议触发文件包含攻击者利用php://input等伪协议，将POST数据作为代码执行，绕过常规防护获取服务器控制权。文件包含注入漏洞模板引擎注入漏洞

01Jinja2模板不当渲染引发注入攻击者利用Jinja2未过滤用户输入，构造恶意语句，通过模板渲染执行未授权代码，如某电商后台曾遭此类攻击。

02FreeMarker模板变量滥用漏洞FreeMarker若直接将用户可控变量插入模板，攻击者可注入恶意指令，比如某企业CMS系统曾因此泄露敏感数据。

03Twig模板沙箱绕过攻击Twig模板沙箱存在设计缺陷时，攻击者可绕过限制执行系统命令，某开源论坛曾出现此类安全事件。配置不当引发漏洞

WEB应用调试模式开启漏洞部分WEB应用开启调试模式后，攻击者可利用PHPinfo页面执行恶意代码，如某电商后台曾因此遭入侵。

数据库弱口令配置漏洞管理员设置弱口令或默认口令，攻击者易通过暴力破解获取权限，执行恶意SQL代码窃取数据。

文件上传权限配置过度漏洞服务器对文件上传权限限制过松，攻击者可上传恶意脚本文件，如某论坛曾因该漏洞被植入木马。漏洞防御与检测方案05输入过滤规范白名单字符过滤规则仅允许预设的合法字符输入，如某电商平台仅保留数字、字母及常见标点，拦截特殊符号注入。输入长度限制机制为不同场景设定输入长度上限，像登录账号限制为1-20位，截断超长输入避免恶意代码植入。特殊字符转义处理将输入中的特殊字符如<>&等转义为普通字符，如论坛系统转义脚本标签，防止XSS类代码执行。最小权限分配机制遵循“必要即足够”原则，如给运维账号仅分配服务器基础操作权限，避免过度授权引发风险。权限动态调整策略根据员工岗位变动实时调整权限，如员工转岗后及时收回其原岗位的数据库访问权限。多维度权限审计机制定期排查权限使用日志，像腾讯企业安全平台会追踪异常权限操作，及时发现违规行为。权限管控方案不安全函数禁用01PHP高危执行函数封禁禁用exec、system等函数，如某电商平台通过php.ini配置封禁，杜绝恶意代码执行风险。02Python代码执行函数限制禁用eval、exec函数，像字节跳动内部开发规范明确限制，避免用户输入触发代码执行。03Java危险反射函数管控管控invoke等反射函数，阿里系应用通过权限校验，防止攻击者利用反射执行恶意代码。漏洞检测方法

静态代码扫描检测借助SonarQube等工具扫描代码，识别命令执行风险函数、危险语法，提前发现潜在漏洞。

动态运行时检测通过BurpSuite等工具模拟攻击，监控程序运行时的命令执行行为，实时检测异常操作。

日志审计分析检测定期审计系统操作日志，排查是否存在异常命令执行记录，比如未授权的系统指令调用。实战练习与学习建议06基础靶场练习推荐

DVWA基础命令执行靶场该靶场包含低、中、高不同难度的命令执行场景，适合新手从基础语法开始练习。

OWASPJuiceShop代码执行模块它模拟真实电商环境的代码执行漏洞，能帮助学习者理解漏洞触发的实际场景。

HackTheBox基础入门靶机提供多款带有命令执行漏洞的入门靶机，可让学习者在实战环境中巩固技巧。漏洞审计思路梳理

定位用户可控输入点梳理目标应用的输入入口，如表单提交、URL参数等，以某电商平台搜索框输入为例排查风险。

追踪输入数据流转路径跟进输入数据在代码中的传递、处理过程，查看是否存在未过滤直接调用执行函数的情况。

验证代码执行