pikachu靶场.命令注入 (Command Injection)

### 关于Pikachu靶场中的命令注入漏洞实验指南

#### 实验环境搭建
为了进行命令注入漏洞的测试，需先部署好Pikachu靶场环境。该靶场提供了一个模拟真实世界Web应用程序的安全测试平台[^1]。

#### 漏洞原理说明
命令注入是一种严重的安全漏洞，攻击者通过向程序输入恶意指令，使服务器执行非预期的操作。在Pikachu靶场中，存在特定页面允许用户提交数据给后台处理，在某些情况下这些输入未被充分验证或过滤就直接用于构造并执行操作系统命令[^2]。

#### 测试步骤展示
假设目标页面有一个表单用来接收IP地址查询请求：

<form action="cmdi.php" method="get">
    IP Address: <input type="text" name="ip"/>
    <button>Submit</button>
</form>

当正常访问时，参数`ip=8.8.8.8`会被传递至服务端脚本(cmdi.php)，后者可能会调用类似如下PHP代码片段来获取公网IP对应的地理位置信息：

<?php
$ip = $_GET['ip'];
exec("nslookup $ip", $output);
echo "<pre>" . implode("\n", $output) . "</pre>";
?>

如果上述实现缺乏必要的防护措施，则可以利用此特性实施命令注入攻击。例如尝试发送带有额外命令的数据包如`ip=8.8.8.8;whoami`，这将导致服务器不仅返回DNS解析的结果还会附加当前运行进程的身份标识[^4]。

#### 防护建议总结
为了避免此类风险的发生，开发人员应当遵循最小权限原则授予应用所需的最低限度权利；严格校验来自客户端的一切输入，采用白名单机制限定可接受字符集范围；对于动态拼接而成的敏感操作语句务必借助预编译等方式确保安全性[^3]。