命令注入
一个 "ping 主机" 功能。vuln 模式把输入拼进 shell 命令(用于触发 WAF 的命令注入规则)。
注意:靶场容器里默认不带真实攻击工具。真正执行与否由你部署环境决定;这里主要为了让 WAF 看到含 ;`|$() 等特征的请求体。
测试 payload:
127.0.0.1
127.0.0.1; id
127.0.0.1 | whoami
127.0.0.1 && cat /etc/passwd
$(id)
本靶场仅用于测试 你自己的 WAF(Cloudflare / JANUSEC 派生)的拦截与告警能力。 请只在你拥有或获得书面授权的环境中使用。
切换模式:环境变量 WAF_TESTBED_MODE=vuln(默认,含漏洞) 或 safe(加固对照组)。