Lab: Blind OS command injection with time delays

Mô tả

Phòng thí nghiệm này chưa lỗ hổng blind OS command injection trong chức năng feedback.

Ứng dụng thực thi lệnh shell chứa thông tin chi tiết do người dùng cung cấp. Đầu ra từ lệnh không được trả về trong phản hồi.

Mục tiêu: Khai thác lỗ hổng blind OS command injection để gây ra độ trễ 10 giây

Giải pháp

Ứng dụng có chức năng feedback cho phép người dùng nộp phản hồi.

Gửi feedback và tìm request này trong HTTP history và gửi tới Repeater.

Để gây ra độ trễ 10 giây thì sử dụng Payload: || ping -c 10 127.0.0.1 ||

Chèn vào từng tham số để kiểm tra

Với email thì đã thành công