Command injection, web sayfası üzerinde bulunan bir parametreye girilen girdilerin işletim sistemi tarafından komut olarak algılanmasıyla meydana gelir.
Saldırganlar bu zafiyetten yararlanarak sunucu üzerindeki herhangi bir bilgiyi görüntüleyebilir ve sunucu üzerinde komut satırı elde edebilirler. Böylece sunucunun kontrolünü ele geçirmiş olurlar.
Aşağıdaki ekran görüntüsünde, uzak Linux işletim sistemi üzerinde "ps" komutu çalıştırılmaktadır:
Aşağıdaki ekran görüntüsünde, uzak Linux işletim sistemi üzerinde "ps" komutu çalıştırılmaktadır:
Kolaya kaçmak isteyenler için komut enjeksiyonu açığını istismar eden otomatize araçlar da yok değil:
Yanlış yapılandırılmış web uygulaması:
Uygulama üzerindeki IP adresi parametresi, girilen işletim sistemi komutlarını filtrelemeden arka taraftaki sunucu üzerinde çalıştıracak şekilde ayarlanmıştır. Saldırganlar bu zafiyetten yararlanarak sunucuyu ele geçirebilirler.
Doğru yapılandırılmış web uygulaması:
IP adresi parametresine girilen girdiler dörde bölündükten sonra tam sayımı diye kontrol edilirler. Eğer kullanıcı uygulamaya IP adresi formatının dışında bir girdi gönderirse uygulama kullanıcıyı geçersiz bir IP adresi girdiğine dair uyarır. Kullanıcıya verilen tek opsiyon ‘ping’ komutunu çalıştırmaktır. Böylece saldırganlar parametreyi kötüye kullanarak arka taraftaki sunucuya komut gönderemezler.
Yarın bu saatlerde File İnclusion açığından bahsedeceğim...
