English • Deutsch • Français • Nederlands • Español • Italiano • Português • Русский • 日本語 • 한국어 • हिन्दी • తెలుగు • मराठी • தமிழ் • Türkçe • Ελληνικά • Polski • Čeština • Magyar • Svenska • Dansk • Suomi • Українська • العربية • Indonesia

Command Injection

命令注入是一种计算机安全漏洞，允许攻击者在受攻击系统上执行未被授权的命令。攻击者可以通过向可被执行的命令添加额外的命令参数来利用该漏洞。这允许攻击者执行危险的操作，例如删除敏感数据或获取系统管理员权限。

例如，如果一个网站允许用户在搜索框中搜索商品，并使用用户提供的搜索查询作为 shell 命令的参数，那么攻击者可以通过构造搜索查询来执行未被授权的命令。例如，如果搜索查询为 “apple; rm -rf /”，则系统将执行以下命令：

grep -r apple / | rm -rf /

由于 shell 命令允许在命令行上执行命令，因此命令注入漏洞可能会导致系统受到严重的损害。攻击者通常利用此漏洞来执行拒绝服务攻击或窃取敏感信息。

为防止命令注入攻击，开发人员应该使用安全的编程技术，例如输入验证和参数化查询，以确保所有输入数据都被正确处理并不被错误地解释为命令。