Blog

Les codeurs conquièrent la sécurité : Share & Learn Series - Injection de commande du système d'exploitation

Jaap Karan Singh
Publié le 07 février 2019

Une attaque par injection de commande du système d'exploitation peut se produire lorsqu'une application permet aux utilisateurs de saisir des données dans un shell, mais ne prend aucune mesure pour vérifier que les chaînes de caractères saisies sont valides. Cela permet à un attaquant d'introduire des commandes directement dans le système d'exploitation hébergeant l'application, et ce quel que soit le niveau d'autorisation défini pour l'application compromise.  

Les attaques par injection de commandes du système d'exploitation peuvent être réalisées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des faiblesses les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe plusieurs moyens très efficaces d'empêcher ces attaques de réussir. Dans cet épisode, nous allons apprendre :

       Comment ils fonctionnent

       Pourquoi ils sont si dangereux

       Comment vous pouvez mettre en place des défenses pour les arrêter.

Comment les attaquants utilisent-ils l'injection de commandes dans le système d'exploitation ?

La première chose qu'un attaquant doit faire pour lancer une attaque par injection de commande de système d'exploitation est de localiser les entrées de l'utilisateur dans une application. Les formulaires que les utilisateurs remplissent sont potentiellement de bons points de départ. Les attaquants les plus astucieux peuvent également utiliser des éléments tels que les cookies ou même les en-têtes HTTP comme point de départ, un élément utilisé par presque toutes les applications ou tous les sites web.

La deuxième chose à faire est de déterminer le système d'exploitation qui héberge l'application. Étant donné qu'il n'existe qu'une poignée de choix, la méthode des essais et des erreurs peut très bien fonctionner pour cette phase. La plupart des serveurs d'application seront soit basés sur Windows (la version de Windows n'a normalement pas d'importance), soit sur un boîtier Linux, soit éventuellement sur Unix.

À ce stade, le pirate modifie l'entrée pour injecter une commande du système d'exploitation dans une entrée apparemment inoffensive. Cela peut inciter le système d'exploitation hôte à exécuter des commandes non souhaitées, quel que soit le niveau d'autorisation de l'application.

Par exemple, la commande suivante peut être utilisée par des utilisateurs valides au sein d'une application pour voir le contenu d'un fichier, dans ce cas les notes d'une réunion mensuelle du conseil d'administration.

exec("cat " + nom de fichier)

Dans notre exemple, la commande suivante sera exécutée et les notes de réunion seront renvoyées à l'utilisateur.

./cat MeetingNotes.txt
Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

C'est ce qui se produit lorsqu'un attaquant ajoute des commandes supplémentaires à la fin de l'entrée, comme celle utilisée pour lister le contenu d'un répertoire sous Linux. Dans ce cas, la commande originale, qui consiste à afficher les notes de réunion, est toujours exécutée. Mais l'utilisateur malveillant voit également tout ce qui se trouve dans le répertoire et les autres commandes qu'il peut utiliser dans le cadre d'attaques par injection de commandes du système d'exploitation. Il entre :

$ ./cat MeetingNotes.txt && ls

Et obtenez ceci à la place :

Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

MeetingNotes.txt
JuneMeetingNotes.txt
MayMeetingNotes.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Comme vous pouvez le voir, dans ce cas, non seulement le pirate a vu le contenu du répertoire, mais il a également reçu un menu d'autres commandes qu'il pouvait utiliser " des commandes qu'il sait maintenant pouvoir exécuter sur le système d'exploitation hôte ".

Pourquoi les attaques par injection de commande du système d'exploitation sont-elles si dangereuses ?

Permettre aux utilisateurs de contourner l'objectif de l'application ciblée et de l'utiliser pour exécuter des commandes du système d'exploitation est extrêmement risqué. Un pirate peut facilement réaliser des actions dévastatrices telles que le vol de données confidentielles ou le formatage de l'ensemble du disque du serveur, par exemple. Les options dont dispose un pirate ne sont limitées que par les commandes autorisées dans le système d'exploitation et par la créativité dont il fait preuve pour les utiliser.

Les commandes du système d'exploitation sont exécutées au même niveau d'autorisation que l'application. Les applications fonctionnant avec des privilèges administratifs signifient que les pirates qui les compromettent peuvent exécuter toutes les commandes du système d'exploitation.

Les schémas d'attaque pour l'injection de commandes dans les systèmes d'exploitation sont bien connus et documentés. Une application vulnérable est tout aussi susceptible d'être attaquée par des "script kiddies" que par des pirates professionnels. Les attaquants ayant très peu de compétences peuvent essayer de copier et de coller des commandes de système d'exploitation dans des applications pour voir ce qui se passe.

Obtenir un OK de sécurité contre les injections de commandes du système d'exploitation

Il existe plusieurs techniques efficaces pour empêcher les injections de commandes dans le système d'exploitation. La première étape consiste à exécuter les applications avec le minimum de privilèges nécessaires à l'accomplissement de leur fonction. Cela n'empêchera pas une attaque, mais si une brèche se produit, les dommages seront minimisés.

La plupart des langages de programmation et des frameworks fournissent des appels API pour les méthodes courantes du système d'exploitation, telles que l'énumération du contenu des répertoires, la création ou la lecture de fichiers sur le disque dur. Un moyen idéal d'éliminer les injections de commandes du système d'exploitation de votre environnement consiste à faire en sorte que toutes les applications utilisent ces appels d'API au lieu des commandes du système d'exploitation directement.

Lorsque cela n'est pas possible, validez les entrées de l'utilisateur avant de les utiliser dans les commandes du système d'exploitation. Les listes blanches peuvent être utilisées pour s'assurer que seul un petit ensemble de valeurs de confiance peut être utilisé. Techniquement, il est également possible d'utiliser une liste noire, mais les commandes autorisées étant probablement beaucoup moins nombreuses, l'établissement d'une liste blanche est presque toujours plus facile. N'oubliez pas d'inclure les paramètres POST et GET valides dans votre liste blanche, ainsi que les vecteurs d'entrée utilisateur souvent négligés comme les cookies.

Enfin, s'il n'existe pas d'API de programmation et qu'il n'est pas possible d'utiliser une liste blanche, utilisez une bibliothèque d'assainissement pour échapper à tout caractère spécial dans les entrées utilisateur avant de les utiliser dans les commandes du système d'exploitation.

Plus d'informations sur les attaques par injection de commandes du système d'exploitation

Pour en savoir plus, vous pouvez consulter l'article de l'OWASP sur les attaques par injection de commandes du système d'exploitation. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Voir la ressource
Voir la ressource

Les attaques par injection de commandes du système d'exploitation peuvent être réalisées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des faiblesses les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe plusieurs moyens très efficaces d'empêcher ces attaques de réussir.

Vous souhaitez en savoir plus ?

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstration
Partager sur :
Auteur
Jaap Karan Singh
Publié le 07 février 2019

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Partager sur :

Une attaque par injection de commande du système d'exploitation peut se produire lorsqu'une application permet aux utilisateurs de saisir des données dans un shell, mais ne prend aucune mesure pour vérifier que les chaînes de caractères saisies sont valides. Cela permet à un attaquant d'introduire des commandes directement dans le système d'exploitation hébergeant l'application, et ce quel que soit le niveau d'autorisation défini pour l'application compromise.  

Les attaques par injection de commandes du système d'exploitation peuvent être réalisées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des faiblesses les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe plusieurs moyens très efficaces d'empêcher ces attaques de réussir. Dans cet épisode, nous allons apprendre :

       Comment ils fonctionnent

       Pourquoi ils sont si dangereux

       Comment vous pouvez mettre en place des défenses pour les arrêter.

Comment les attaquants utilisent-ils l'injection de commandes dans le système d'exploitation ?

La première chose qu'un attaquant doit faire pour lancer une attaque par injection de commande de système d'exploitation est de localiser les entrées de l'utilisateur dans une application. Les formulaires que les utilisateurs remplissent sont potentiellement de bons points de départ. Les attaquants les plus astucieux peuvent également utiliser des éléments tels que les cookies ou même les en-têtes HTTP comme point de départ, un élément utilisé par presque toutes les applications ou tous les sites web.

La deuxième chose à faire est de déterminer le système d'exploitation qui héberge l'application. Étant donné qu'il n'existe qu'une poignée de choix, la méthode des essais et des erreurs peut très bien fonctionner pour cette phase. La plupart des serveurs d'application seront soit basés sur Windows (la version de Windows n'a normalement pas d'importance), soit sur un boîtier Linux, soit éventuellement sur Unix.

À ce stade, le pirate modifie l'entrée pour injecter une commande du système d'exploitation dans une entrée apparemment inoffensive. Cela peut inciter le système d'exploitation hôte à exécuter des commandes non souhaitées, quel que soit le niveau d'autorisation de l'application.

Par exemple, la commande suivante peut être utilisée par des utilisateurs valides au sein d'une application pour voir le contenu d'un fichier, dans ce cas les notes d'une réunion mensuelle du conseil d'administration.

exec("cat " + nom de fichier)

Dans notre exemple, la commande suivante sera exécutée et les notes de réunion seront renvoyées à l'utilisateur.

./cat MeetingNotes.txt
Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

C'est ce qui se produit lorsqu'un attaquant ajoute des commandes supplémentaires à la fin de l'entrée, comme celle utilisée pour lister le contenu d'un répertoire sous Linux. Dans ce cas, la commande originale, qui consiste à afficher les notes de réunion, est toujours exécutée. Mais l'utilisateur malveillant voit également tout ce qui se trouve dans le répertoire et les autres commandes qu'il peut utiliser dans le cadre d'attaques par injection de commandes du système d'exploitation. Il entre :

$ ./cat MeetingNotes.txt && ls

Et obtenez ceci à la place :

Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

MeetingNotes.txt
JuneMeetingNotes.txt
MayMeetingNotes.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Comme vous pouvez le voir, dans ce cas, non seulement le pirate a vu le contenu du répertoire, mais il a également reçu un menu d'autres commandes qu'il pouvait utiliser " des commandes qu'il sait maintenant pouvoir exécuter sur le système d'exploitation hôte ".

Pourquoi les attaques par injection de commande du système d'exploitation sont-elles si dangereuses ?

Permettre aux utilisateurs de contourner l'objectif de l'application ciblée et de l'utiliser pour exécuter des commandes du système d'exploitation est extrêmement risqué. Un pirate peut facilement réaliser des actions dévastatrices telles que le vol de données confidentielles ou le formatage de l'ensemble du disque du serveur, par exemple. Les options dont dispose un pirate ne sont limitées que par les commandes autorisées dans le système d'exploitation et par la créativité dont il fait preuve pour les utiliser.

Les commandes du système d'exploitation sont exécutées au même niveau d'autorisation que l'application. Les applications fonctionnant avec des privilèges administratifs signifient que les pirates qui les compromettent peuvent exécuter toutes les commandes du système d'exploitation.

Les schémas d'attaque pour l'injection de commandes dans les systèmes d'exploitation sont bien connus et documentés. Une application vulnérable est tout aussi susceptible d'être attaquée par des "script kiddies" que par des pirates professionnels. Les attaquants ayant très peu de compétences peuvent essayer de copier et de coller des commandes de système d'exploitation dans des applications pour voir ce qui se passe.

Obtenir un OK de sécurité contre les injections de commandes du système d'exploitation

Il existe plusieurs techniques efficaces pour empêcher les injections de commandes dans le système d'exploitation. La première étape consiste à exécuter les applications avec le minimum de privilèges nécessaires à l'accomplissement de leur fonction. Cela n'empêchera pas une attaque, mais si une brèche se produit, les dommages seront minimisés.

La plupart des langages de programmation et des frameworks fournissent des appels API pour les méthodes courantes du système d'exploitation, telles que l'énumération du contenu des répertoires, la création ou la lecture de fichiers sur le disque dur. Un moyen idéal d'éliminer les injections de commandes du système d'exploitation de votre environnement consiste à faire en sorte que toutes les applications utilisent ces appels d'API au lieu des commandes du système d'exploitation directement.

Lorsque cela n'est pas possible, validez les entrées de l'utilisateur avant de les utiliser dans les commandes du système d'exploitation. Les listes blanches peuvent être utilisées pour s'assurer que seul un petit ensemble de valeurs de confiance peut être utilisé. Techniquement, il est également possible d'utiliser une liste noire, mais les commandes autorisées étant probablement beaucoup moins nombreuses, l'établissement d'une liste blanche est presque toujours plus facile. N'oubliez pas d'inclure les paramètres POST et GET valides dans votre liste blanche, ainsi que les vecteurs d'entrée utilisateur souvent négligés comme les cookies.

Enfin, s'il n'existe pas d'API de programmation et qu'il n'est pas possible d'utiliser une liste blanche, utilisez une bibliothèque d'assainissement pour échapper à tout caractère spécial dans les entrées utilisateur avant de les utiliser dans les commandes du système d'exploitation.

Plus d'informations sur les attaques par injection de commandes du système d'exploitation

Pour en savoir plus, vous pouvez consulter l'article de l'OWASP sur les attaques par injection de commandes du système d'exploitation. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Voir la ressource
Voir la ressource

Remplissez le formulaire ci-dessous pour télécharger le rapport

Nous aimerions que vous nous autorisiez à vous envoyer des informations sur nos produits et/ou sur des sujets liés au codage sécurisé. Nous traiterons toujours vos données personnelles avec le plus grand soin et ne les vendrons jamais à d'autres entreprises à des fins de marketing.

Soumettre
Pour soumettre le formulaire, veuillez activer les cookies "Analytics". N'hésitez pas à les désactiver à nouveau une fois que vous aurez terminé.

Une attaque par injection de commande du système d'exploitation peut se produire lorsqu'une application permet aux utilisateurs de saisir des données dans un shell, mais ne prend aucune mesure pour vérifier que les chaînes de caractères saisies sont valides. Cela permet à un attaquant d'introduire des commandes directement dans le système d'exploitation hébergeant l'application, et ce quel que soit le niveau d'autorisation défini pour l'application compromise.  

Les attaques par injection de commandes du système d'exploitation peuvent être réalisées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des faiblesses les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe plusieurs moyens très efficaces d'empêcher ces attaques de réussir. Dans cet épisode, nous allons apprendre :

       Comment ils fonctionnent

       Pourquoi ils sont si dangereux

       Comment vous pouvez mettre en place des défenses pour les arrêter.

Comment les attaquants utilisent-ils l'injection de commandes dans le système d'exploitation ?

La première chose qu'un attaquant doit faire pour lancer une attaque par injection de commande de système d'exploitation est de localiser les entrées de l'utilisateur dans une application. Les formulaires que les utilisateurs remplissent sont potentiellement de bons points de départ. Les attaquants les plus astucieux peuvent également utiliser des éléments tels que les cookies ou même les en-têtes HTTP comme point de départ, un élément utilisé par presque toutes les applications ou tous les sites web.

La deuxième chose à faire est de déterminer le système d'exploitation qui héberge l'application. Étant donné qu'il n'existe qu'une poignée de choix, la méthode des essais et des erreurs peut très bien fonctionner pour cette phase. La plupart des serveurs d'application seront soit basés sur Windows (la version de Windows n'a normalement pas d'importance), soit sur un boîtier Linux, soit éventuellement sur Unix.

À ce stade, le pirate modifie l'entrée pour injecter une commande du système d'exploitation dans une entrée apparemment inoffensive. Cela peut inciter le système d'exploitation hôte à exécuter des commandes non souhaitées, quel que soit le niveau d'autorisation de l'application.

Par exemple, la commande suivante peut être utilisée par des utilisateurs valides au sein d'une application pour voir le contenu d'un fichier, dans ce cas les notes d'une réunion mensuelle du conseil d'administration.

exec("cat " + nom de fichier)

Dans notre exemple, la commande suivante sera exécutée et les notes de réunion seront renvoyées à l'utilisateur.

./cat MeetingNotes.txt
Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

C'est ce qui se produit lorsqu'un attaquant ajoute des commandes supplémentaires à la fin de l'entrée, comme celle utilisée pour lister le contenu d'un répertoire sous Linux. Dans ce cas, la commande originale, qui consiste à afficher les notes de réunion, est toujours exécutée. Mais l'utilisateur malveillant voit également tout ce qui se trouve dans le répertoire et les autres commandes qu'il peut utiliser dans le cadre d'attaques par injection de commandes du système d'exploitation. Il entre :

$ ./cat MeetingNotes.txt && ls

Et obtenez ceci à la place :

Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

MeetingNotes.txt
JuneMeetingNotes.txt
MayMeetingNotes.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Comme vous pouvez le voir, dans ce cas, non seulement le pirate a vu le contenu du répertoire, mais il a également reçu un menu d'autres commandes qu'il pouvait utiliser " des commandes qu'il sait maintenant pouvoir exécuter sur le système d'exploitation hôte ".

Pourquoi les attaques par injection de commande du système d'exploitation sont-elles si dangereuses ?

Permettre aux utilisateurs de contourner l'objectif de l'application ciblée et de l'utiliser pour exécuter des commandes du système d'exploitation est extrêmement risqué. Un pirate peut facilement réaliser des actions dévastatrices telles que le vol de données confidentielles ou le formatage de l'ensemble du disque du serveur, par exemple. Les options dont dispose un pirate ne sont limitées que par les commandes autorisées dans le système d'exploitation et par la créativité dont il fait preuve pour les utiliser.

Les commandes du système d'exploitation sont exécutées au même niveau d'autorisation que l'application. Les applications fonctionnant avec des privilèges administratifs signifient que les pirates qui les compromettent peuvent exécuter toutes les commandes du système d'exploitation.

Les schémas d'attaque pour l'injection de commandes dans les systèmes d'exploitation sont bien connus et documentés. Une application vulnérable est tout aussi susceptible d'être attaquée par des "script kiddies" que par des pirates professionnels. Les attaquants ayant très peu de compétences peuvent essayer de copier et de coller des commandes de système d'exploitation dans des applications pour voir ce qui se passe.

Obtenir un OK de sécurité contre les injections de commandes du système d'exploitation

Il existe plusieurs techniques efficaces pour empêcher les injections de commandes dans le système d'exploitation. La première étape consiste à exécuter les applications avec le minimum de privilèges nécessaires à l'accomplissement de leur fonction. Cela n'empêchera pas une attaque, mais si une brèche se produit, les dommages seront minimisés.

La plupart des langages de programmation et des frameworks fournissent des appels API pour les méthodes courantes du système d'exploitation, telles que l'énumération du contenu des répertoires, la création ou la lecture de fichiers sur le disque dur. Un moyen idéal d'éliminer les injections de commandes du système d'exploitation de votre environnement consiste à faire en sorte que toutes les applications utilisent ces appels d'API au lieu des commandes du système d'exploitation directement.

Lorsque cela n'est pas possible, validez les entrées de l'utilisateur avant de les utiliser dans les commandes du système d'exploitation. Les listes blanches peuvent être utilisées pour s'assurer que seul un petit ensemble de valeurs de confiance peut être utilisé. Techniquement, il est également possible d'utiliser une liste noire, mais les commandes autorisées étant probablement beaucoup moins nombreuses, l'établissement d'une liste blanche est presque toujours plus facile. N'oubliez pas d'inclure les paramètres POST et GET valides dans votre liste blanche, ainsi que les vecteurs d'entrée utilisateur souvent négligés comme les cookies.

Enfin, s'il n'existe pas d'API de programmation et qu'il n'est pas possible d'utiliser une liste blanche, utilisez une bibliothèque d'assainissement pour échapper à tout caractère spécial dans les entrées utilisateur avant de les utiliser dans les commandes du système d'exploitation.

Plus d'informations sur les attaques par injection de commandes du système d'exploitation

Pour en savoir plus, vous pouvez consulter l'article de l'OWASP sur les attaques par injection de commandes du système d'exploitation. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Accès aux ressources

Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Voir le rapportRéservez une démonstration
Partager sur :
Vous souhaitez en savoir plus ?

Partager sur :
Auteur
Jaap Karan Singh
Publié le 07 février 2019

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Partager sur :

Une attaque par injection de commande du système d'exploitation peut se produire lorsqu'une application permet aux utilisateurs de saisir des données dans un shell, mais ne prend aucune mesure pour vérifier que les chaînes de caractères saisies sont valides. Cela permet à un attaquant d'introduire des commandes directement dans le système d'exploitation hébergeant l'application, et ce quel que soit le niveau d'autorisation défini pour l'application compromise.  

Les attaques par injection de commandes du système d'exploitation peuvent être réalisées par des pirates débutants ou peu qualifiés, ce qui en fait l'une des faiblesses les plus courantes auxquelles les équipes de sécurité sont confrontées. Heureusement, il existe plusieurs moyens très efficaces d'empêcher ces attaques de réussir. Dans cet épisode, nous allons apprendre :

       Comment ils fonctionnent

       Pourquoi ils sont si dangereux

       Comment vous pouvez mettre en place des défenses pour les arrêter.

Comment les attaquants utilisent-ils l'injection de commandes dans le système d'exploitation ?

La première chose qu'un attaquant doit faire pour lancer une attaque par injection de commande de système d'exploitation est de localiser les entrées de l'utilisateur dans une application. Les formulaires que les utilisateurs remplissent sont potentiellement de bons points de départ. Les attaquants les plus astucieux peuvent également utiliser des éléments tels que les cookies ou même les en-têtes HTTP comme point de départ, un élément utilisé par presque toutes les applications ou tous les sites web.

La deuxième chose à faire est de déterminer le système d'exploitation qui héberge l'application. Étant donné qu'il n'existe qu'une poignée de choix, la méthode des essais et des erreurs peut très bien fonctionner pour cette phase. La plupart des serveurs d'application seront soit basés sur Windows (la version de Windows n'a normalement pas d'importance), soit sur un boîtier Linux, soit éventuellement sur Unix.

À ce stade, le pirate modifie l'entrée pour injecter une commande du système d'exploitation dans une entrée apparemment inoffensive. Cela peut inciter le système d'exploitation hôte à exécuter des commandes non souhaitées, quel que soit le niveau d'autorisation de l'application.

Par exemple, la commande suivante peut être utilisée par des utilisateurs valides au sein d'une application pour voir le contenu d'un fichier, dans ce cas les notes d'une réunion mensuelle du conseil d'administration.

exec("cat " + nom de fichier)

Dans notre exemple, la commande suivante sera exécutée et les notes de réunion seront renvoyées à l'utilisateur.

./cat MeetingNotes.txt
Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

C'est ce qui se produit lorsqu'un attaquant ajoute des commandes supplémentaires à la fin de l'entrée, comme celle utilisée pour lister le contenu d'un répertoire sous Linux. Dans ce cas, la commande originale, qui consiste à afficher les notes de réunion, est toujours exécutée. Mais l'utilisateur malveillant voit également tout ce qui se trouve dans le répertoire et les autres commandes qu'il peut utiliser dans le cadre d'attaques par injection de commandes du système d'exploitation. Il entre :

$ ./cat MeetingNotes.txt && ls

Et obtenez ceci à la place :

Trois membres du comité exécutif étaient présents à la réunion de juillet. Le nouveau projet de budget a été discuté, mais aucune action ou vote n'a été effectué.

MeetingNotes.txt
JuneMeetingNotes.txt
MayMeetingNotes.txt
format.c
misnull.c
notefault.c
trunc.c
writewhatwhere.c

Comme vous pouvez le voir, dans ce cas, non seulement le pirate a vu le contenu du répertoire, mais il a également reçu un menu d'autres commandes qu'il pouvait utiliser " des commandes qu'il sait maintenant pouvoir exécuter sur le système d'exploitation hôte ".

Pourquoi les attaques par injection de commande du système d'exploitation sont-elles si dangereuses ?

Permettre aux utilisateurs de contourner l'objectif de l'application ciblée et de l'utiliser pour exécuter des commandes du système d'exploitation est extrêmement risqué. Un pirate peut facilement réaliser des actions dévastatrices telles que le vol de données confidentielles ou le formatage de l'ensemble du disque du serveur, par exemple. Les options dont dispose un pirate ne sont limitées que par les commandes autorisées dans le système d'exploitation et par la créativité dont il fait preuve pour les utiliser.

Les commandes du système d'exploitation sont exécutées au même niveau d'autorisation que l'application. Les applications fonctionnant avec des privilèges administratifs signifient que les pirates qui les compromettent peuvent exécuter toutes les commandes du système d'exploitation.

Les schémas d'attaque pour l'injection de commandes dans les systèmes d'exploitation sont bien connus et documentés. Une application vulnérable est tout aussi susceptible d'être attaquée par des "script kiddies" que par des pirates professionnels. Les attaquants ayant très peu de compétences peuvent essayer de copier et de coller des commandes de système d'exploitation dans des applications pour voir ce qui se passe.

Obtenir un OK de sécurité contre les injections de commandes du système d'exploitation

Il existe plusieurs techniques efficaces pour empêcher les injections de commandes dans le système d'exploitation. La première étape consiste à exécuter les applications avec le minimum de privilèges nécessaires à l'accomplissement de leur fonction. Cela n'empêchera pas une attaque, mais si une brèche se produit, les dommages seront minimisés.

La plupart des langages de programmation et des frameworks fournissent des appels API pour les méthodes courantes du système d'exploitation, telles que l'énumération du contenu des répertoires, la création ou la lecture de fichiers sur le disque dur. Un moyen idéal d'éliminer les injections de commandes du système d'exploitation de votre environnement consiste à faire en sorte que toutes les applications utilisent ces appels d'API au lieu des commandes du système d'exploitation directement.

Lorsque cela n'est pas possible, validez les entrées de l'utilisateur avant de les utiliser dans les commandes du système d'exploitation. Les listes blanches peuvent être utilisées pour s'assurer que seul un petit ensemble de valeurs de confiance peut être utilisé. Techniquement, il est également possible d'utiliser une liste noire, mais les commandes autorisées étant probablement beaucoup moins nombreuses, l'établissement d'une liste blanche est presque toujours plus facile. N'oubliez pas d'inclure les paramètres POST et GET valides dans votre liste blanche, ainsi que les vecteurs d'entrée utilisateur souvent négligés comme les cookies.

Enfin, s'il n'existe pas d'API de programmation et qu'il n'est pas possible d'utiliser une liste blanche, utilisez une bibliothèque d'assainissement pour échapper à tout caractère spécial dans les entrées utilisateur avant de les utiliser dans les commandes du système d'exploitation.

Plus d'informations sur les attaques par injection de commandes du système d'exploitation

Pour en savoir plus, vous pouvez consulter l'article de l'OWASP sur les attaques par injection de commandes du système d'exploitation. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Table des matières

Voir la ressource
Vous souhaitez en savoir plus ?

Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstrationTélécharger
Partager sur :
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles