命令注入攻击详解 描述 命令注入攻击是一种常见的安全漏洞，发生在应用程序将用户输入直接传递给系统shell执行时。攻击者通过构造恶意输入，在系统上执行任意命令，可能导致数据泄露、系统破坏或服务器被完全控制。这种漏洞常见于Web应用、网络设备或管理界面中需要调用系统命令的功能。 知识点的循序渐进讲解 命令注入的基本原理 当应用程序需要执行系统命令时（如ping、ls、dir等），可能会将用户提供的数据直接拼接到命令字符串中 例如：一个网站提供ping功能，用户输入IP地址后，后端代码可能执行 ping <用户输入> 如果用户输入是 8.8.8.8; cat /etc/passwd ，拼接后的命令变为 ping 8.8.8.8; cat /etc/passwd 分号（;）在Unix-like系统中是命令分隔符，导致系统会依次执行两个命令 命令注入的常见场景 网络工具：ping、traceroute、nslookup等 文件操作：文件管理器、日志查看器 系统管理：进程管理、服务控制 数据备份：打包、压缩功能 命令分隔符与连接符 分号（;） ：按顺序执行多个命令 与符号（&） ：后台执行命令 管道符（|） ：将前一个命令的输出作为后一个命令的输入 逻辑运算符 ： && （前一个成功则执行后一个）、 || （前一个失败则执行后一个） 反引号（ `）和$() ：命令替换，执行括号内的命令 攻击步骤演示 步骤1：识别注入点 寻找接受输入并执行系统命令的功能，如ping测试、文件上传后的处理 步骤2：测试命令分隔符 输入正常值后添加简单命令，如 127.0.0.1; whoami 或 127.0.0.1 && id 步骤3：确认注入成功 观察返回结果是否包含命令执行结果，或通过时间延迟判断（如 ; sleep 5 ） 步骤4：利用注入点 信息收集： ; uname -a （系统信息）、 ; cat /etc/passwd （用户列表） 建立持久访问：下载并执行反向shell脚本 数据窃取：将敏感文件通过网络传输到攻击者服务器 防御措施 输入验证 ：白名单验证，只允许预期的字符格式（如IP地址只允许数字和点） 参数化调用 ：使用编程语言提供的安全函数（如Python的 subprocess.run(["/bin/ping", "-c", "4", user_input]) ） 避免直接调用shell ：不使用 system() 、 exec() 等函数，使用更安全的API 最小权限原则 ：运行应用程序的用户应具有最小必要权限 输出编码 ：对命令执行结果进行适当的编码后再显示给用户 进阶检测技术 盲命令注入：当命令执行结果不直接显示时，使用时间延迟、DNS外带数据等技术检测 绕过过滤：使用编码、变量替换、通配符等方式绕过安全过滤机制 通过理解命令注入的原理、攻击手法和防御措施，可以有效预防这类高危漏洞，提升应用程序的安全性。