Командные инъекции — как одна строка кода открывает доступ к серверу

Командная инъекция — это уязвимость, при которой злоумышленник может передать в веб-приложение свою команду, а та будет выполнена на сервере с правами приложения.
Это один из самых опасных видов атак: он даёт прямой доступ к операционной системе, а значит — к данным, файлам, внутренней сети и даже полной компрометации сервера.

Как работает командная инъекция

Многие веб-приложения взаимодействуют с ОС: вызывают скрипты, утилиты, обрабатывают файлы, проверяют соединения. Если разработчик напрямую подставляет пользовательский ввод в системную команду без фильтрации, появляется уязвимость.

Пример (PHP):

<?php
$ip = $_GET['ip'];
echo shell_exec("ping -c 4 " . $ip);
?>

Если в ip подставить 8.8.8.8; cat /etc/passwd, сервер после пинга выполнит и команду cat.

Поиск и проверка уязвимостей

Пентестеры проверяют:

Формы и поля ввода, которые вызывают системные действия (пинг, поиск, архивирование).
API-методы, принимающие параметры, которые могут попасть в команду.
Неочевидные точки ввода — заголовки HTTP, cookies, параметры файлов.

Для проверки используют специальные символы:

;, &&, || — для последовательного выполнения команд.
| — для передачи вывода одной команды в другую.
Обратные кавычки `команда` и $(команда) — для подстановки.

Внедрение команд в Linux и Windows

Linux: стандартные разделители ;, &&, |, подстановка команд.
Windows: символы &, |, использование cmd.exe с ключами.

Обход фильтров и защит

Разработчики часто пытаются блокировать опасные символы и команды, но это не всегда работает.
Методы обхода:

Пробелы заменяются на ${IFS} или %20.
Разделители заменяются на их кодировки (%0a, %0d).
Запрещённые слова (например, cat) маскируются: c''at, ca\t.

Обфускация — искусственное усложнение полезной нагрузки, чтобы пройти фильтры.

Инструменты для тестирования и обхода

Burp Suite — перехват и модификация запросов.
FFUF или wfuzz — автоматический перебор полезных нагрузок.
Commix — специализированный инструмент для поиска и эксплуатации командных инъекций.

Как защитить приложение

Никогда не передавать пользовательский ввод напрямую в системные команды.
Использовать безопасные API и функции (например, escapeshellarg в PHP).
Применять валидацию и белые списки значений.
Ограничивать права пользователя приложения в ОС.
Логировать все обращения и регулярно проводить аудит.

Почему командные инъекции так опасны

В отличие от многих уязвимостей, XSS или SQL-инъекций, командная инъекция даёт контроль не только над приложением, но и над всей системой. Даже одна строчка уязвимого кода может превратить сервер в полностью скомпрометированный узел.

Хотите научиться находить, эксплуатировать и закрывать командные инъекции?
В модуле «Командные инъекции» вы пройдёте путь от поиска уязвимых точек до обхода фильтров и защиты, а в одном из практических заданий получите полный доступ к серверу через веб-шелл. 7 уроков с практикой дадут навык, который можно применить в пентесте и защите приложений.

Изучить модуль →

Главная