Для получения триального ключа
заполните форму ниже
Team license
Enterprise license
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Запросите информацию о ценах
Новая лицензия
Продление лицензии
--Выберите валюту--
USD
EUR
RUB
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Бесплатная лицензия PVS-Studio для специалистов Microsoft MVP
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Для получения лицензии для вашего открытого
проекта заполните, пожалуйста, эту форму
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Мне интересно попробовать плагин на:
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Ваше сообщение отправлено.

Мы ответим вам на


Если вы так и не получили ответ, пожалуйста, проверьте папку
Spam/Junk и нажмите на письме кнопку "Не спам".
Так Вы не пропустите ответы от нашей команды.

>
>
>
Внедрение команд ОС

Внедрение команд ОС

09 Ноя 2021

Инъекция команд операционной системы (OS command injection) – тип атаки на приложение, предоставляющий злоумышленнику возможность несанкционированного выполнения команд операционной системы на некоторой машине.

Помимо непосредственного внедрения самих команд, злоумышленник также может произвести и инъекцию аргумента (argument injection). Все эти атаки могут приводить к нарушению работы системы, раскрытию конфиденциальных данных и другим неприятным последствиям.

Для защиты от инъекций команд необходимо производить проверку входных данных, конкретная реализация которой зависит от ситуации.

Уязвимости к таким атакам принадлежат категории A3:2021-Injection в списке OWASP Top Ten 2021. В Common Weakness Enumeration им соответствуют позиции CWE-77, CWE-78 и CWE-88.

Пример уязвимости

Для наглядности разберём данную атаку на следующем примере:

const string OperationsExecutorPath = "executor.exe";

private void HandleRequest(HttpRequest request)
{
  ....
  string operationIndex = request.QueryString["operationIndex"];
  Process.Start("cmd", $"/c {OperationsExecutorPath} {operationIndex}");

  ....
}

Используя некоторую утилиту 'executor.exe', приложение будет выполнять различные действия в зависимости от содержимого запроса. Конкретную операцию определяет значение параметра 'operationIndex'. Приложение ожидает, что в данный параметр будет записано некоторое число, которое будет передано в команду. Например, если 'operationIndex' будет равен '1', приложение запустит на выполнение следующую команду:

cmd /c executor.exe 1

Проблема приведённого выше кода состоит в том, что входное значение никак не проверяется, что делает систему уязвимой к инъекциям команд/аргументов. Вместо ожидаемых чисел злоумышленник может передать значение, которое приведёт к выполнению выбранной им вредоносной команды. К примеру, в качестве значения параметра 'operationIndex' может быть передана следующая строка:

0 & del /q /f /s .

Ниже приведена команда, которая будет выполнена при вызове Process.Start:

cmd /c executor.exe 0 & del /q /f /s .

Командный интерпретатор (cmd) воспринимает символ '&' как разделитель команд. Сначала будет выполнен вполне обычный вызов некоторой утилиты 'executor.exe' с аргументом '0', а затем – команда 'del', которая с такими аргументами удалит все файлы в текущей и вложенных директориях (за исключением тех, для которых у приложения нет достаточных прав доступа). Очевидно, что вместо команды 'del' злоумышленник мог бы использовать любую другую. Таким образом, правильно подобранное значение 'operationIndex' позволяет выполнять произвольные команды в системе, где работает приложение.

Инъекции команд и инъекции аргументов

Инъекции команд и аргументов тесно связаны и во многих случаях для обоих типов атак используют термин 'инъекция команд' (command injection). Приведённый пример является демонстрацией сразу двух типов атаки.

С одной стороны, злоумышленник добавил в переданное значение разделитель команд – '&'. Так как приложение не проверило полученную строку на наличие этого разделителя, после обычного вызова 'executor.exe' будет выполнена дополнительная команда 'del'. Атаки, связанные с использованием разделителей команд, классифицируют как инъекции команд (command injection). Согласно Common Weakness Enumeration, такие атаки принадлежат категории CWE-78.

С другой стороны, приложение предполагает использование переданной пользователем строки в качестве аргумента (причём одновременно как cmd, так и утилиты 'executor.exe'). В приведённом примере приложение не проверяет строку на наличие разделителей аргументов (в данном случае – пробелов). Из-за этого злоумышленник может передать в cmd дополнительные аргументы, которые и приводят к выполнению вредоносных команд. Атаки, связанные с добавлением дополнительных аргументов, называют инъекциями аргументов (argument injection). Им соответствует CWE-88.

Оба типа атаки могут быть также отнесены к категории CWE-77, являющейся родительской по отношению к CWE-78 и CWE-88.

Способы защиты

Главная причина появления уязвимости к инъекциям команд/аргументов состоит в отсутствии корректной валидации входных данных. Способ её проведения зависит от ситуации. Самый общий подход заключается в проверке входных данных на наличие разделителей команд и аргументов. Также необходимо убедиться в том, что внешние данные не приведут к подмене исходной команды.

Как правило, наиболее удобным вариантом будет использование подходов, актуальных для конкретного случая. К примеру, если входная строка должна содержать число, то для защиты от атак достаточно проверить, действительно ли пользователь передал число:

private void HandleRequest(HttpRequest request)
{
  ....
  string operationIndex = request.QueryString["operationIndex"];

  if (int.TryParse(operationIndex, out int index))
  {
    Process.Start("cmd", $"/c {OperationsExecutorPath} {index}");
  }
  else
  {
    // error handling
  }
  ....
}

Для поиска таких проблем в коде может быть использован taint-анализ. Данная технология позволит автоматически отследить места возможного попадания небезопасных данных в методы запуска процессов.

Дополнительные ссылки

Последние статьи:

Опрос:

Популярные статьи по теме
Как Apple и другие крупные компании настиг программный баг

Дата: 09 Ноя 2022

Автор: Ульяна Гришина

Сегодня мы отобрали свежие случаи программных ошибок, чтобы вы могли немного отвлечься и, возможно, узнать что-то новенькое. Если вам интересно узнать, как программисту удалось сломать Интернет по вс…
Единороги компании PVS-Studio

Дата: 30 Авг 2022

Автор: Андрей Карпов

Скорее всего вы перешли на эту статью, заинтересовавшись одним из наших рисунков единорогов. Приятно видеть ваш интерес. Сейчас мы расскажем, почему рисуем этих единорогов, что они означают и чем воо…
Обрабатывать ли в PVS-Studio вывод других инструментов?

Дата: 26 Май 2022

Автор: Андрей Карпов

Анализатор PVS-Studio умеет "схлопывать" повторяющиеся предупреждения. Предоставляет возможность задать baseline, что позволяет легко внедрять статический анализ в legacy-проекты. Стоит ли предостави…
15000 ошибок в открытых проектах

Дата: 24 Май 2022

Автор: Андрей Карпов

Количество багов в нашей коллекции перевалило за отметку 15000. Именно такое количество ошибок обнаружила команда PVS-Studio в различных открытых проектах. Особенно интересно, что это всего лишь побо…
Комментарии в коде как вид искусства

Дата: 04 Май 2022

Автор: Сергей Хренов

Приветствую всех программистов, а также сочувствующих. Кто из нас хотя бы раз в жизни не оставлял комментарии в коде? Был ли это ваш код, а может, чужой? Что за комментарии вы написали: полезные или …

Комментарии (0)

Следующие комментарии
Unicorn with delicious cookie
Мы используем куки, чтобы пользоваться сайтом было удобно.
Хорошо