常见的网站漏洞：SQL注入、XSS、文件上传、反序列化、文件包含、CSRF、命令执行、信息泄露、XXE、SSRF、未授权访问

• SQL注入 泄露破坏数据库，数据库中可能有账号密码等敏感信息
• 命令执行 获取目标机器命令权限，执行非法命令，破坏或控制受害机
• 文件上传 上传后门病毒木马到网站中，破坏网站甚至系统

DVWA靶场搭建

DVWA是OWASP官方编写的PHP网站，包含了各种网站常见漏洞，可以学习攻击及修复方式，切勿恶意攻击其他真实合法的网站，这属于违法行为。

快速搭建DVWA

• 下载并安装PHPstudy http://public.xp.cn/upgrades/PhpStudy2018.zip
• 将解压后的DVWA源代码放置phpstudy安装目录的WWW文件夹
• 进入DVWA/config目录，将config.inc.php.dist最后的.dist删去
• 打开刚刚重命名的config.inc.php文件，修改db_user和db_password root root
• 浏览器访问http://127.0.0.1/DVWA/setup.php，点击最下方的Create Database
• 浏览器访问http://127.0.0.1/DVWA/，输入用户名admin、密码password登录dvwa

危害巨大的漏洞——命令执行

一般出现这种漏洞，是因为应用系统从设计上需要给用户提供指定的远程命令操作的接口，比如我们常见的路由器、防火墙、入侵检测等设备的web管理界面上，一般会给用户提供一个ping操作的web界面，用户从web界面输入目标IP，提交后后台会对该IP地址进行一次ping测试并返回测试结果。而如果设计者在完成该功能时，没有做严格的安全控制，则可能会导致攻击者通过该接口提交恶意命令，让后台进行执行，从而获得后台服务器权限。

• cmd1|cmd2：无论cmd1是否执行成功，cmd2将被执行
• cmd1;cmd2：无论cmd1是否执行成功，cmd2将被执行
• cmd1&cmd2：无论cmd1是否执行成功，cmd2将被执行
• cmd1||cmd2：仅在cmd1执行失败时才执行cmd2
• cmd1&&cmd2：仅在cmd1执行成功后才执行cmd2

防御命令执行的最高效的办法，就是过滤命令连接符，即将连接符替换为空，或判断用户输入这些符号就终止执行