命令注入攻击及其防范措施
创作时间:
作者:
@小白创作中心
命令注入攻击及其防范措施
引用
CSDN
1.
https://blog.csdn.net/kaka_buka/article/details/139225755
命令注入攻击是一种通过有漏洞的应用程序在主机操作系统上执行任意命令的攻击。 当应用程序将不安全的用户输入数据(如表单、cookie、HTTP 标头等)传递给系统命令执行时,可能会发生命令注入攻击。
命令注入攻击的原理
命令注入攻击利用了应用程序执行系统命令时未对用户输入进行适当的验证或过滤的漏洞。攻击者通过将恶意命令注入到用户输入中,迫使应用程序执行这些恶意命令,从而获取未授权的访问权限或执行恶意操作。
示例攻击场景
假设有一个Web应用程序允许用户通过HTTP请求执行系统命令,而用户输入未经过严格的验证。在这种情况下,攻击者可以通过注入恶意命令来执行任意系统命令。
public String executeSystemCommand(HttpServletRequest request) throws ServletException, IOException {
String commandResult = "";
String userCommand = request.getParameter("Command");
try {
ProcessBuilder builder = new ProcessBuilder("/bin/sh/", "-c", userCommand);
Process subProc = builder.start();
BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));
String line = null;
while ((line = irProcOutput.readLine()) != null)
commandResult += line;
irProcOutput.close();
} catch (Exception ex) {
handleExceptions(ex);
}
return commandResult;
}
在以上代码中,如果 userCommand
包含恶意命令,攻击者就可以利用这一漏洞执行任意系统命令。
防范命令注入攻击的有效措施
1. 避免直接的Shell命令执行
最有效的防范措施之一是避免在代码中直接执行Shell命令。相反,可以使用平台提供的API或库调用来实现相同的功能。
public String performSpecificAction_LibraryAPI(HttpServletRequest request) throws ServletException, IOException {
String result = "";
String userParam = request.getParameter("Parameter");
try {
OpenSysLibrary api = new OpenSysLibrary();
result = api.doSpecificAction(userParam);
} catch (Exception ex) {
handleExceptions(ex);
}
return result;
}
2. 仅执行静态命令
如果必须执行命令,确保仅执行静态命令,不包含动态、用户可控制的参数。
3. 过滤输入中的危险字符
从用户输入中过滤掉危险字符,例如:
- &
- ,
- &&
- |
- ||
- ;
- 换行符(0x0a 或 \n)。
public String executeSystemCommand_WithParameters(HttpServletRequest request) throws ServletException, IOException {
String commandResult = "";
String userCommand = request.getParameter("Command");
userCommand = userCommand.replaceAll("[^A-Za-z0-9]", "");
try {
ProcessBuilder builder = new ProcessBuilder("/bin/sh/", "-c", PROGRAM_NAME, userCommand);
Process subProc = builder.start();
BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));
String line = null;
while ((line = irProcOutput.readLine()) != null)
commandResult += line;
irProcOutput.close();
} catch (Exception ex) {
handleExceptions(ex);
}
return commandResult;
}
4. 使用白名单验证
对允许输入的值进行白名单验证,仅允许合法的输入值通过验证。
5. 限制应用程序的权限
根据最小权限原则,限制应用程序所使用的操作系统用户的权限,使其仅能执行必要的系统命令。
参考代码示例
以下是Java和C#中调用外部程序的安全代码示例:
Java 示例
public String executeSystemCommand_WithParameters(HttpServletRequest request) throws ServletException, IOException {
String commandResult = "";
String userCommand = request.getParameter("Command");
userCommand = userCommand.replaceAll("[^A-Za-z0-9]", "");
try {
ProcessBuilder builder = new ProcessBuilder("/bin/sh/", "-c", PROGRAM_NAME, userCommand);
Process subProc = builder.start();
BufferedReader irProcOutput = new BufferedReader(new InputStreamReader(subProc.getInputStream()));
String line = null;
while ((line = irProcOutput.readLine()) != null)
commandResult += line;
irProcOutput.close();
} catch (Exception ex) {
handleExceptions(ex);
}
return commandResult;
}
C# 示例
public string ExecuteSystemCommand_WithParameters(HttpRequest request) {
string output;
string userParams = request.Form["ExeParams"];
using (Process subProc = new Process()) {
subProc.StartInfo.FileName = PATH_TO_EXTERNAL_PROGRAM;
subProc.StartInfo.Arguments = sanitizeForProcess(userParams);
subProc.StartInfo.UseShellExecute = false;
subProc.StartInfo.RedirectStandardOutput = true;
subProc.Start();
output = subProc.StandardOutput.ReadToEnd();
subProc.WaitForExit(MAX_TIMEOUT);
}
return output;
}
通过实施这些防范措施,可以有效地降低命令注入攻击的风险,保护应用程序和系统的安全。
参考链接
- OWASP Command Injection
- Java ProcessBuilder Documentation
- C# Process Class Documentation
本文原文来自CSDN
热门推荐
登陆舰:由海向陆的“火力搬运工”
聚力科技创新 引领特钢发展——2024中国国际特殊钢新材料高峰论坛召开
人口经济学:人口结构、经济社会影响与未来发展前景
都是可油可电,插混和增程怎么选?这三点一定要看,别买错了
孕期产前,猫咪营养全面方案
如何选择分期购车方案?这种选择对财务状况有何影响?
2025山东高考本科批次线预估 最低多少分录取
如何使用Ensembl数据库
如何使用Ensembl数据库
牛黄是如何形成的?从天然到人工合成的全过程解析
茶具材质对品茶的影响及选择建议
粤语中常用的有趣俚语:探寻地域文化的魅力
旅游旺季和淡季,帮你规划旅游行程!
外贸独立站的市场调研数据分析与洞察
草莓的根系特征及草莓养根技巧
刘过词作探析:三首传世之作的文学魅力
收据照片怎么分类管理
哺乳动物多样性数据库:全球6000余种哺乳动物信息一站掌握
东京亲子游必访:6大动物园推荐及周边体验
才女出上联:一杆银枪挡雄兵百万,乞丐对下联让她脸红,欣然下嫁
艺考中即兴评述的三个实战技巧
RGB灯带与幻彩灯带:从底层原理到场景应用的全面解析
为什么越来越多不胖的人也在轻断食?科学解读轻断食的健康真相
以患者需求为导向,跨越式提升医疗服务能力,书写高质量发展“同济答卷”
結膜炎會自己好嗎?原因、症狀、前兆、是否會傳染 一次看懂
如何解决爱酷手机黑屏打不开的多种方法及步骤解析,让你的手机重归正常!
抓住3个黄金睡眠时间,助力孩子生长发育!
带状疱疹患者饮食指南:这些蔬菜能吃,这些要少吃
还有人不知道吗?骑行这5点,一定一定要注意哦!
肺结节和肺钙化点是一回事吗?