代码安全规范1.1

命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源,程序没有对这
些不可信赖的数据进行验证、过滤,导致程序执行恶意命令的一种攻击方式。
例 1 :以下代码通过 Runtime.exec() 方法调用 Windows 的 dir 命令,列出目录列表。
import java.io.*;
public class DirList {
public static void main(String[] str) throws Exception {
String dir = System.getProperty("dir");
Process proc = Runtime.getRuntime().exec("cmd.exe /c dir" + dir);
int result = proc.waitFor();
if (result != 0) {
System.out.println("process error: " + result);
}
InputStream in = (result == 0) ? proc.getInputStream() : proc.getErrorStream();
int c;
while ((c = in.read()) != -1) {
System.out.print((char) c);
}
}
}
攻击者可以通过以下命令利用该程序。
java -Ddir='dummy & echo bad' DirList
该命令实际上执行的是以下两条命令。
cmd.exe /c dir dummy & echo bad
例 2 :以下代码来自一个 Web 应用程序,该段代码通过运行 rmanDB.bat 脚本启动 Oracle 数据库备份,
然后运行 cleanup.bat 脚本删除一些临时文件。脚本文件 rmanDB.bat 接受一个命令行参数,其中指明需要
执行的备份类型。
...
String btype = request.getParameter("backuptype");
String cmd = new String("cmd.exe /K \"c:\\util\\rmanDB.bat "+btype+"&& c:\\utl\\cleanup.bat\"");
System.Runtime.getRuntime().exec(cmd);
...
该段代码没有对来自用户请求中的 backuptype 参数做任何校验。
通常情况下, Runtime.exec() 函数不会执行多条命令,但在以上代码中,为了执行多条命令,程序调用
Runtime.exec() 方法,首先运行了 cmd.exe 指令,因此能够执行用两个与号分隔的多条命令了。如果攻击者
传递了一个形式为 "&& del c:\\dbms\\*.*" 的字符串,那么该段代码将会在执行其他指定命令的同时执行这
条命令。

相关推荐
不灭锦鲤2 小时前
网络安全第15集
安全·web安全
ALe要立志成为web糕手3 小时前
TCP/IP
安全·web安全·网络安全·渗透测试
浅夏入秋^_^3 小时前
网络安全运维面试准备
运维·安全·web安全
开开心心就好5 小时前
Excel批量加密工具,一键保护多个文件
java·javascript·人工智能·安全·excel·音视频·语音识别
ALe要立志成为web糕手6 小时前
HTTP 与 HTTPS 的区别
网络·安全·web安全·网络安全
格发许可优化管理系统7 小时前
GTSuite许可证性能优化建议
大数据·运维·数据库·安全·性能优化·数据分析
明月看潮生8 小时前
编程与数学 03-002 计算机网络 12_网络安全基础
计算机网络·安全·web安全·青少年编程·编程与数学
fen_fen9 小时前
ZAP漏洞扫描系列05:扫描策略说明
安全
聚铭网络10 小时前
聚铭安全管家平台2.0实战解码 | 安服篇(三):配置保障 自动核查
安全
ALe要立志成为web糕手10 小时前
计算机网络基础
网络·安全·web安全·网络安全