一、命令执行漏洞原理在编写程序的时候，当碰到要执行系统命令来获取一些信息时，就要调用外部命令的函数，比如php中的exec()、system()等，如果这些函数的参数是由用户所提供的，那么恶意用户就可能通过构造命令拼接来执行额外系统命令，比如这样的代码<?phpsystem("ping -c 1 ".$_GET['ip']);?>程序的本意是让用户传入一个ip地址去测试网络连通性，但是

BUUCTF-Web-命令注入-[GXYCTF2019]Ping Ping Ping题目链接：BUUCTF类型：命令注入知识点：命令注入黑名单绕过方法解题方法：6种解题过程0x1.base64绕过目标使用ip变量进行get传参，通拼接符号";"执行ls命令，发现目标过滤了空格因为是linux环境，使用分隔符$IFS进行绕过?ip=127.0.0.1;命令$IFS$1参数配合cat查看源码，发现过滤

BUUCTF-Web-网络协议-[极客大挑战 2019]Http题目链接：BUUCTF类型：请求头绕过知识点：http请求头（Referer、X-Forwarded-For、User-Agent）解题过程单从网页看是发现不了什么隐藏内容的，通过F12打开控制台直接搜索关键字"php"发现一个超链接文件"Secret.php",因为"onclick=return flase"所以从网页中直接点击是无