Linux 命令行语法 - 在 ping 请求后管道输入命令

Question

场景是这样的。

我已经通过浏览器中的登录页面以管理员身份登录到 Web 服务器。它向我展示了一个输入框，旁边有一个按钮，上面写着“ping”

它基本上会 ping 您输入的 IP 地址。

我确实知道在 Web 服务器上运行的服务是以根用户身份运行的。

我的问题是这样的。我可以输入一个 IP 地址，然后在它之后通过管道传输命令来提升我的权限吗？

例如...

ping 192.168.0.1 | usermod -a -G <groupname> username

ping 192.168.0.1 | whoami

运行 ping 的命令 shell 在 root 下运行，所以理论上它应该允许我提升系统上的用户权限？如果我错了，请纠正我。

没有任何要测试的东西，所以才有这个问题。

提前致谢

Answer 1

如果没有看到代码或无法探索系统，就无法用某个"is"或“否”来回答这个问题。

这完全取决于网络应用程序。如果他们只是将您的输入连接到 ping 的末尾，然后执行该命令，那么是的，您所显示的是可能的。

另一方面，如果他们正确地过滤输入(例如确保输入只是一个 IP 地址)，或者使用其他一些实现(例如 Ping 库)，那么它可能不会受到攻击。