一、PHP命令注入介绍
在学习php相关的攻击时，遇到了Command Injection，即命令注入攻击，是指这样一种攻击手段，黑客通过把HTML代码输入一个输入机制(例如缺乏有效验证限制的表格域)来改变网页的动态 生成的内容。
使用系统命令是一项危险的操作，尤其在你试图使用远程数据来构造要执行的命令时更是如此。如果使用了被污染数据，命令注入漏洞就产生了。
1、dos相关的字符和命令
1）& ：and符，例如ping 114.114.114.114 & whoami 等价于ping 114.114.114.114 、whoami书序执行。
==============================================
C:\Users\speinf>ping 114.114.114.114 & whoami
正在 Ping 114.114.114.114 具有 32 字节的数据:
来自 114.114.114.114 的回复: 字节=32 时间=29ms TTL=67
来自 114.114.114.114 的回复: 字节=32 时间=29ms TTL=58
来自 114.114.114.114 的回复: 字节=32 时间=34ms TTL=87
来自 114.114.114.114 的回复: 字节=32 时间=30ms TTL=84
114.114.114.114 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
最短 = 29ms，最长 = 34ms，平均 = 30ms
speinf-pc\speinf
===============================================
2）|：管道符，前一个命令的输出作为下一个命令的输入。如下
===============================================
C:\Users\speinf>ping 114.114.114.114 | whoami
speinf-pc\speinf
C:\Users\speinf>
===========================================
3）||：分为两种情况：
命令1||命令2，命令1执行成功，则命令2被屏蔽，否则执行命令2
C:\Users\speinf>ping 114.114.114.114 || whoami
正在 Ping 114.114.114.114 具有 32 字节的数据:
来自 114.114.114.114 的回复: 字节=32 时间=297ms TTL=80
来自 114.114.114.114 的回复: 字节=32 时间=288ms TTL=66
来自 114.114.114.114 的回复: 字节=32 时间=204ms TTL=66
来自 114.114.114.114 的回复: 字节=32 时间=297ms TTL=65
114.114.114.114 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
最短 = 204ms，最长 = 297ms，平均 = 271ms
C:\Users\speinf>
==================================================
命令1||命令2，命令1执行失败，则命令2被执行，否则执行命令2
C:\Users\speinf>ping 114.114.114.00 || whoami
正在 Ping 114.114.114.0 具有 32 字节的数据:
请求超时。
请求超时。
请求超时。
请求超时。
114.114.114.0 的 Ping 统计信息:
数据包: 已发送 = 4，已接收 = 0，丢失 = 4 (100% 丢失)，
speinf-pc\speinf
C:\Users\speinf>
2、php语言中以下5个函数，可以执行外部的应用程序或系统函数。
system、exec、passthru、shell_exec、“(与shell_exec功能相同)
函数原型
string system(string command, int &return_var)
command 要执行的命令
return_var 存放执行命令的执行后的状态值
string exec (string command, array &output, int &return_var)
command 要执行的命令
output 获得执行命令输出的每一行字符串
return_var 存放执行命令后的状态值
void passthru (string command, int &return_var)
command 要执行的命令
return_var 存放执行命令后的状态值
string shell_exec (string command)
command 要执行的命令
3、实例：
写一下后台页面：
ip=127.0.0.1 | whoami
因为的&本身是url中的变量隔离符，通过url编码后是%26，所以我们手动测试在URL中输入%26 whoami，在经过URL编码，后台接受到的参数命令执行结果就是： ip=127.0.0.1 & whoami
