别再只记分号了！命令注入绕过全攻略：以BUUCTF ACTF2020 Exec题为例，详解amp；、|、||的实战用法

命令注入符号全解析：从基础分隔符到高级绕过技巧

在安全测试和CTF竞赛中，命令注入是最基础也最考验技巧的漏洞类型之一。很多初学者往往只记住了分号(;)这一种命令分隔方式，当遇到过滤机制时就束手无策。实际上，Linux系统提供了丰富的符号组合方式，可以构建出各种精妙的注入Payload。

1. 命令注入基础：理解Shell的符号逻辑

命令注入的本质是利用应用程序对用户输入的不当处理，将恶意指令注入到系统Shell环境中执行。要真正掌握命令注入，首先需要理解不同符号在Shell中的行为差异。

1.1 基础分隔符：分号(;)的局限与替代

分号(;)是最直观的命令分隔符，它会按顺序执行前后两个命令，无论前一个命令是否成功：

command1 ; command2 # 无论command1是否成功，都会执行command2

但在实际渗透测试中，分号往往是被过滤的首要目标。这时我们需要考虑其他具有类似效果但可能未被过滤的符号：

• &：后台执行符，同时执行前后命令
• |：管道符，将前一个命令的输出作为后一个命令的输入
• 换行符：在某些环境下可以替代分号

注意：不同符号在Windows和Linux系统中的行为可能不同，本文主要讨论Linux环境下的情况。

2. 逻辑运算符在命令注入中的妙用

逻辑运算符本是为条件执行设计的，但在命令注入中却可以发挥意想不到的作用。

2.1 逻辑或(||)的巧妙绕过

逻辑或(||)的特点是：只有当前面命令执行失败时，才会执行后面的命令。这在某些过滤场景下特别有用：

false || whoami # 因为false总是返回失败，所以会执行whoami

这种特性可以用来绕过一些基础的过滤机制：

1. 当分号被过滤时，可以用||替代
2. 在某些WAF规则中，||可能不被视为危险字符
3. 可以构造永远失败的"假命令"来触发后面的真实命令

2.2 逻辑与(&&)的条件执行

与逻辑或相反，逻辑与(&&)只在前面命令成功时才会执行后面的命令：

true && whoami # true总是成功，所以会执行whoami false && whoami # false总是失败，不会执行whoami

在实战中，可以利用这一特性：

• 构造永远成功的条件来执行后续命令
• 在某些需要前导命令成功的场景下特别有效
• 可以与其他符号组合使用，增加绕过可能性

3. 管道与重定向的高级技巧

管道和重定向本是Shell编程中的基础功能，但在命令注入中却能衍生出多种高级技巧。

3.1 管道符(|)的非常规用法

标准的管道用法是将前一个命令的输出作为后一个命令的输入：

cat /etc/passwd | grep root

但在命令注入中，我们可以利用管道的一些特殊行为：

1. 忽略前命令的输出：command1 | command2中，command2总会执行
2. 构造无效管道：command1 | xargs command2可以改变执行流程
3. 结合其他符号：如command1 || command2 | command3

3.2 重定向符号的妙用

重定向符号(>, >>, <, <<)在命令注入中也有独特价值：

whoami > /tmp/test # 将输出重定向到文件 cat < /etc/passwd # 将文件内容作为输入

这些符号可以用于：

• 绕过某些基于命令输出的过滤
• 将敏感信息写入临时文件
• 构造特殊的命令执行顺序

4. 实战案例分析：ACTF2020 Exec题目深度解析

让我们通过ACTF2020 Exec这道经典题目，看看如何综合运用各种符号进行命令注入。

4.1 题目环境分析

题目提供了一个简单的ping功能，用户可以输入IP地址进行ping测试。典型的命令注入场景。

4.2 基础注入尝试

首先尝试最简单的分号注入：

127.0.0.1;ls

如果分号被过滤，可以尝试其他符号：

127.0.0.1 & ls 127.0.0.1 | ls 127.0.0.1 || ls

4.3 进阶绕过技巧

假设所有常见符号都被过滤，还可以尝试：

1. 使用换行符：在HTTP请求中注入%0a
2. 反引号执行：127.0.0.1ls``
3. 变量替换：127.0.0.1 $(ls)
4. 编码绕过：使用base64或十六进制编码命令

4.4 最终Payload构造

综合运用多种技巧，可以构造出更复杂的Payload：

127.0.0.1;cat /flag || echo "fail" 127.0.0.1 | grep -v "time" | xargs ls 127.0.0.1 && cat$(echo -e "\x20/flag")

5. 防御视角：如何有效防范命令注入

理解了攻击手法，我们也要从防御角度思考如何防范这类攻击。

5.1 输入验证的最佳实践

1. 白名单验证：只允许预期的字符（如IP地址只允许数字和点）
2. 严格过滤：过滤所有Shell元字符（; & | ` $等）
3. 编码转换：将特殊字符转换为无害形式

5.2 安全的系统调用方式

1. 使用API替代系统命令
2. 如果必须使用系统命令，应：
   • 使用绝对路径
   • 避免使用Shell解释器
   • 限制命令参数

# 不安全的做法 os.system("ping " + user_input) # 相对安全的做法 subprocess.run(["/bin/ping", "-c", "1", user_input], shell=False)

5.3 最小权限原则

1. 运行服务的用户应具有最小必要权限
2. 使用chroot等机制限制文件系统访问
3. 定期审计系统权限设置

在CTF竞赛中，我遇到过最棘手的命令注入防护是多重过滤机制：不仅过滤了特殊符号，还对命令长度、命令内容进行了限制。最终是通过组合换行符和变量替换才成功绕过。这提醒我们，安全防护需要层层设防，而攻击者总会找到最薄弱的环节。