任意代码命令执行漏洞

171 阅读 0 评论 113 点赞

我是靠谱客的博主开心花瓣，这篇文章主要介绍任意代码命令执行漏洞，现在分享给大家，希望可以做个参考。

原理：	当应用在调用一些能将字符串转化成代码的函数时，没有考虑用户是否能够控制这个字符串，将造成代码注入漏洞。
在php中：	eval assert preg_replace(‘/*/e', '$ret = "\1";',$data);
在asp中：	eval exevute executeglobal
在jsp中：	jsp中没有php中的eval函数，但是可以使用反射机制，使用基于反射机制的表达式引擎，如0GNL，SpEL，MVEL等。

http://localhost/?data=${phpinfo();}

3、字符串使用单引号包括可控代码，插入前使用addslashes转义（addslashes、魔数引号、htmlspecialchars、 htmlentities、mysql_real_escape_string）。

以上就是开心花瓣最近收集整理的关于任意代码命令执行漏洞的全部内容，更多相关任意代码命令执行漏洞内容请搜索靠谱客的其他文章。

本图文内容来源于网友提供，作为学习参考使用，或来自网络收集整理，版权属于原作者所有。