DVWA的命令执行漏洞的防御方案

            这个就是impossibleimpossible这个漏洞的利用。那大家学到这里,你对DVwa的这样一个命令执行漏洞,还有同学不会用吗?现在DVwa你还不会安装吗?还不会怎么去攻击这些rce漏洞吗?我相信每一个同学肯定都会的,如果你不会,你课后单独的跟SINE安全于老师说,我单独跟你讲,应该都会的,行,那这就是命令注入漏洞,开发人员该怎么防御,如果你现在还在做开发,你赶紧的用这个算法给它防御起来。

这里在华为小米路由器中,它的后台也都是这样写的,他们是没有漏洞的。因为华为的工程师是非常注重安全开发的,那这就是命令执行漏洞。那这个命令执行漏洞给大家回顾一下,那本节课是讲解了从dvwa的安装,以及到命令执行的漏洞攻击和命令执行漏洞的防御。我们用最简单的方式,来带领大家了解了这个危害巨大的命令执行漏洞,以及它相应的利用方法,那有同学到这里,告诉我那老师这里好像没有什么结果呀,是吧?我就指一个命令能有啥?我想拿他的cmd怎么办?我现在给大家演示一下你怎么拿到它的cmd。

大家看看我的操作,首先我先把杀毒软件关掉,因为我这里是给大家演示。这个内容我现在不会讲,我们调到low级别,看我操作,然后加上一句话。我现在打开一个攻击机。这个攻击机,是一个黑客他所用的机器,大家看看黑客花里胡哨的。我现在执行一个命令,然后在这边我也执行一个命令,大家看就这一个输入框它的这个危害会有多大?

大家看一下,当然这个地方是一个简单的一个命令,我现在也不会去讲,这个它并不是命令执行的内容。来看好这个输入框,我输入这一串东西,我点击提交看我这边黑客的机器来看,你看我拿到的是啥?看到没,我直接把他的cmd给拿到了,就这样的话,你就相当于在本地打开的这个cmd,别人黑客把你的 cmd给拿到了,有同学说反弹端口,非常对,在这里你就可以跟真正的cmd一样去敲击这些命令,比如说我想看它c盘中有哪些内容,我想把它c盘中的东西给它删了,都可以。随便你想执行什么执行什么,想执行什么执行什么,以及查看它的系统版本,看一下它的蓝牙有没有开,它是什么操作系统,它又用的是win11还是win10,都能看到。这些东西,可以看到一个小小的输入框,它就可以造成如此大的危害。Ok,那这就是命令执行漏洞。

分享: