CTF里的令执命令执行漏洞，说白了就是令执攻击者把输入塞进了系统命令里。你以为是令执填个用户名，结果人家在末尾加了条;cat /flag，令执服务器就乖乖把敏感文件吐出来了。令执

我见过最典型的令执例子是Ping功能。很多网站提供在线Ping工具，令执让你填个IP地址测试连通性。令执开发图省事，令执直接写了system("ping -c 1 ".$_GET['ip']);。令执看着没问题对吧？令执可要是有人填了127.0.0.1;ls，分号一结束ping命令，令执ls就跟着执行了。令执更狠的令执填127.0.0.1|cat /etc/passwd，管道符直接把文件内容送到页面上。令执

这类漏洞的根子在于——程序把用户输入当成命令的一部分来拼接。你没法预料用户会输什么，但代码里默认了“输入就该是合法参数”。防御手段其实简单：要么用escapeshellarg()把参数转义，要么干脆别拼命令，用PHP的exec()函数直接传数组参数，系统就不走shell解析那套了。

但CTF题目不会这么好心。出题人故意留个过滤不严的接口，让你猜过滤规则。有的题把;、|、&都过滤了，可忘了%0a（换行符）也能当命令分隔符。有的题过滤了空格，你改用${ IFS}代替，照样能执行。还有些题把cat过滤了，那就用tac或more替代——Linux命令那么多，总有漏网的。

真正让我觉得有意思的是那种“无回显”的命令执行。题目执行了你的命令，但结果不直接显示在页面上。你只能通过延时判断——比如sleep 5，页面卡了5秒说明命令执行成功。或者用DNS外带，把命令结果拼到域名里发出去，自己搭个服务接收。这招在真实渗透里也常用，CTF里练熟了，以后挖洞能少走弯路。

另外别小看那些看似无害的输入点。文件上传时，文件名常常被拼进系统命令去移动文件；搜索功能可能调用了grep；甚至日志分析接口都可能把用户代理字符串拼进命令。CTF题目爱在这些犄角旮旯里埋雷，现实世界也一样——开发者总在想不到的地方图省事。

我练这道题练到后来，养成个条件反射：看到任何接受用户输入的地方，先试着传个;id或|whoami。多数时候没反应，但偶尔真能弹出个uid=0(www-data)。那种感觉像是撬开了一扇没锁的门——明明该锁的，可偏偏有人忘了。

命令执行漏洞的修复其实不难，难的是让开发者意识到“用户输入永远不可信”。CTF的价值就在于用一次次击破告诉你：你写的每一行代码，都可能被人拿分号撬开一道缝。缝里漏出去的不只是flag，还有真实世界的服务器权限。