CWE-78 OS命令中使用的特殊元素转义处理不恰当(OS命令注入) 类漏洞列表 3458

CWE：CWE-78 OS命令中特殊元素的不当中和（'OS Command Injection'） 英文：产品使用来自上游组件的外部影响输入来构建OS命令的全部或部分内容，但在将命令发送给下游组件时，未对可能修改预期OS命令的特殊元素进行中和或进行了错误的中和。 这种弱点可能导致在攻击者无法直接访问操作系统的环境中产生漏洞，例如在Web应用程序中。或者，如果该弱点出现在特权程序中，它可能允许攻击者指定通常无法访问的命令，或以攻击者不具备的特权调用备用命令。如果受影响的进程不遵循最小特权原则，问题会进一步加剧，因为攻击者控制的命令可能会以特殊的系统特权运行，从而增加损害程度。OS命令注入至少有两种子类型：应用程序意图执行一个单一的、固定的、由其自身控制程序。它意图使用外部提供的输入作为该程序的参数。例如，程序可能使用 system("nslookup [HOSTNAME]") 来运行 nslookup 并允许用户提供一个 HOSTNAME，该 HOSTNAME 用作参数。攻击者无法阻止 nslookup 的执行。然而，如果程序未从 HOSTNAME 参数中移除命令分隔符，攻击者可以将分隔符放入参数中，从而允许他们在 nslookup 执行完毕后执行自己的程序。应用程序接受一个输入，该输入用于完全选择要运行的程序以及要使用的命令。应用程序只是将整个命令重定向到操作系统。例如，程序可能使用 "exec([COMMAND])" 来执行由用户提供的 [COMMAND]。如果 COMMAND 处于攻击者控制之下，那么攻击者可以执行任意命令或程序。如果使用 exec() 和 CreateProcess() 等函数执行命令，攻击者可能无法在同一行中组合多个命令。从弱点角度来看，这些变体代表了不同的程序员错误。在第一种变体中，程序员显然意图让来自不受信任方的输入成为要执行的命令中的参数的一部分。在第二种变体中，程序员无意让命令对任何不受信任的方开放，但程序员可能未考虑到恶意攻击者提供输入的其他方式。