Command Injection
L'injection de commande se produit lorsqu'un attaquant introduit des métacaractères shell dans une commande système construite par le programme, aboutissant à l'exécution arbitraire de commandes.
Objectif
Comprendre l'injection de commande causée par la concaténation de commandes système et ses défenses ; une vulnérabilité courante des programmes qui invoquent un shell.
Mécanisme
Le programme concatène via system("cmd " + input) ; un attaquant saisit ;rm -rf / afin que le shell exécute une commande supplémentaire. Défenses : éviter le shell, exec paramétré, validation et échappement des entrées.
Cas d’usage
- Sécurité des commandes shell
- Audit des appels système
- Défense contre la concaténation de commandes