防止命令行注入攻击

Question

我们目前正在构建一个执行许多外部工具的应用程序。 我们经常必须将用户输入系统的信息传递给这些工具。

显然，这是一场巨大的安全噩梦即将发生。

不幸的是，我们尚未在 .NET Framework 中发现任何类可以执行命令行程序，同时提供与 IDbCommand 对象针对数据库所做的相同类型的注入攻击防护。

现在，我们正在使用非常原始的字符串替换，我怀疑这还不够：

受保护的虚拟字符串转义（字符串值） 
  { 
        返回值 
          。代替（@”\”， @”\\”） 
          .替换(@"$", @"\$") 
          。代替（@””””， @”\”””） 
          .替换（“`”，“'”） 
        ; 
  } 
  

你们如何防止命令行注入攻击？ 我们计划实现一个非常严格的正则表达式，只允许非常小的字符子集通过，但我想知道是否有更好的方法。

一些说明：

• 其中一些工具没有我们可以编程的 API。 如果他们这样做了，我们就不会遇到这个问题了。
• 用户不选择要执行的工具，而是输入我们选择的工具使用的元数据（例如，将版权声明等元数据注入目标文件）。

Answer 1

您是直接执行程序还是通过 shell 执行程序？ 如果您始终通过为可执行文件提供完整路径名并将 shell 排除在外来启动外部程序，那么您实际上不会受到任何类型的命令行注入的影响。

编辑：Floyd 博士，shell 负责评估诸如反引号之类的东西。 无壳，不评价壳。 显然，您仍然必须了解您所调用的程序中任何潜在的安全问题 - 但我认为这个问题与此无关。

Answer 2

当您 Process.Start 一个新进程，在其参数参数中提供参数，而不是自己构建整个命令行。

没有时间进行适当的测试，但我认为这应该有助于在某种程度上保护它。

明天将对此进行测试。

编辑：啊，有人又抢先了我。 但还有一点：尝试使用 Console.InputStream （不记得确切的名称）来提供数据而不是传递参数，这是一个可能的解决方案吗？ 例如修复命令，以便它从 CON 设备读取，然后您通过输入流提供数据。

Answer 3

在 Windows 上的 C++ 中，您只需在需要时转义 \ 和 "，引用参数并 ShellExecute 它。然后，引号内的所有内容都应被视为文本。

这应该说明：

#include <iostream>
#include <string>
#include <windows.h>
#include <cstdlib>
using namespace std;

// Escape and quote string for use as Windows command line argument
string qEscape(const string& s) {
    string result("\"");
    for (string::const_iterator i = s.begin(); i != s.end(); ++i) {
        const char c = *i;
        const string::const_iterator next = i + 1;
        if (c == '"' || (c == '\\' && (next == s.end() || *next == '"'))) {
            result += '\\';
        }
        result += c;
    }
    result += '"';
    return result;
}

int main() {
    // Argument value to pass: c:\program files\test\test.exe
    const string safe_program = qEscape("c:\\program files\\test\\test.exe");
    cout << safe_program << " ";

    // Argument value to pass: You're the "best" around.
    const string safe_arg0 = qEscape("You're the \"best\" around.");

    // Argument value to pass: "Nothing's" gonna ever keep you down.
    const string safe_arg1 = qEscape("\"Nothing's\" gonna ever keep you down.");

    const string safe_args = safe_arg0 + " " + safe_arg1;
    cout << safe_args << "\n\n";

    // c:\program files\test\  to pass.
    const string bs_at_end_example = qEscape("c:\\program files\\test\\");
    cout << bs_at_end_example << "\n\n";

    const int result = reinterpret_cast<int>(ShellExecute(NULL, "open", safe_program.c_str(), safe_args.c_str(), NULL, SW_SHOWNORMAL));
    if (result < 33) {
        cout << "ShellExecute failed with Error code " << result << "\n";
        return EXIT_FAILURE;
    }
}

但是，使用任何方法使用时，您应该对其进行测试，看看它确实可以防止注入。

Answer 4

你是直接执行程序还是通过 shell 执行程序？ 如果您始终通过为可执行文件提供完整路径名并将 shell 排除在外来启动外部程序，那么您实际上不会受到任何类型的命令行注入的影响。

@Curt Hagenlocher 反引号会杀了你。 如果 Windows 系统设置“错误”，或者 UNIX 系统允许，则 dir &bt;del *&bt; 将首先执行 del * 命令，然后使用输出代替 del *，在这种情况下，这并不重要，因为没有任何内容可以 dir （或 ls）

Answer 5

嗯...

听起来您有一个用户可以执行的有效命令列表。 但你不希望他们全部执行。

您可以尝试使用实际的命令行并验证该文件至少存在于“安全”位置。

您还可以使用更多界面来解决问题，提供他们可以使用的命令和参数的下拉列表。 这对你来说是更多的工作，但它最终对用户有帮助。

Answer 6

那么，如果您可以在不使用命令行的情况下以编程方式调用这些工具，那么这可能是您的最佳选择。 否则，您可能会通过绝对无权执行任何操作的用户执行命令行工具（除了可能无法对其造成任何损害的单个目录）...尽管这可能最终会破坏该工具，具体取决于关于该工具的作用。

请注意，我从未遇到过这个问题，因为我实际上从未需要从面向外部的应用程序调用命令行工具，而该工具需要用户的输入。

Answer 7

不要使用黑名单来防止注入。 如果有n种方式注入代码，你会想到n - m，其中m > 0。

使用可接受的参数（或模式）的白名单。 它本质上限制性更大，但这就是安全的本质。