Linux命令行语法 - ping请求后的命令管道

Question

情景就是这样。

我已通过浏览器中的登录页面以管理员身份登录Web服务器。 它向我显示了一个输入框，旁边有一个按钮，说“ping”

它基本上会ping你输入的IP地址。

我知道Web服务器上运行的服务是以root用户身份运行的。

我的问题是这个。我可以输入一个IP地址然后在其后输出一个命令来提升我的权限吗？

例如......

ping 192.168.0.1 | usermod -a -G <groupname> username

ping 192.168.0.1 | whoami

运行ping的命令shell是在root下运行的，所以理论上它应该允许我提升系统的用户权限？如果我错了，请纠正我。

没有任何东西要测试，因此问题。

提前致谢

Answer 1

如果没有看到代码或能够探索系统，这个问题无法用某个“是”或“否”来回答。

这一切都取决于网络应用程序。如果他们只是简单地将您的输入连接到ping的末尾然后exec该命令，那么是的，您显示的内容是可能的。

另一方面，如果他们正确地清理输入（例如确保输入只是一个IP地址），或者使用其他一些实现（例如Ping库），那么它可能不容易受到攻击。