Code Injection
L'injection de code se produit lorsqu'un attaquant introduit du code exécutable dans un programme et le fait exécuter via eval/exec ou similaire, aboutissant à l'exécution arbitraire de code.
Objectif
Comprendre l'injection de code causée par l'exécution dynamique d'entrées utilisateur et ses défenses ; une vulnérabilité courante des langages interprétés.
Mécanisme
Le programme exécute une chaîne contrôlable par l'utilisateur via eval(input) ou similaire, et l'attaquant y injecte des instructions. Défenses : éviter eval, API paramétrées, validation des entrées, bac à sable.
Cas d’usage
- Audit de sécurité en PHP/Python
- Défense contre les vulnérabilités d'eval
- Risques de l'exécution dynamique