در حال بارگذاری...
تست تزریق دستورات سیستم‌عامل (OS Command Injection) برای اجرای دستورات مخرب در سرور.
اهداف این درس
Command Injection (OS Command Injection) تکنیکی است که در آن مهاجم دستورات سیستم‌عامل را از طریق ورودی‌های برنامه اجرا می‌کند. این آسیب‌پذیری بسیار خطرناک است زیرا منجر به اجرای کد کامل از راه دور می‌شود.
| کاراکتر | هدف | مثال |
|---|---|---|
| ; | جداسازی دستورات | ls; whoami |
| | | pipe | ls | whoami |
| && | اجرای شرطی | ls && whoami |
| || | اجرای شرطی | ls || whoami |
| ` | جایگزینی دستور | `whoami` |
| $() | جایگزینی دستور | $(whoami) |
1// ساده2; whoami34// با pipe5| whoami67// با &&8&& whoami910// با backtick11`whoami`1213// با $()14$(whoami)1516// blind با time delay17; sleep 5هشدار
هرگز از توابعی مثل system()، exec() و shell_exec() با ورودی کاربر استفاده نکنید.
Command Injection خطرناک‌ترین نوع تزریق است زیرا منجر به RCE می‌شود.
هرگز از ورودی کاربر در دستورات سیستمی استفاده نکنید.
استفاده از APIهای امن به جای توابع خطرناک ضروری است.
کدام کاراکتر برای تزریق دستور در لینوکس استفاده می‌شود؟
Command Injection چیست؟
Command Injection تکنیکی است که در آن مهاجم دستورات سیستم‌عامل را از طریق ورودی‌های برنامه اجرا می‌کند.