命令注入

命令注入(Command Injection)是应用软件把用户输入拼接到系统命令中执行,攻击者可借机注入额外指令、在服务器端运行任意代码的漏洞。

成因

直接拼接用户输入到 shell 命令(如 `ping ${input}`),且未做白名单/转义与沙箱隔离。

危害

• 远程代码执行(RCE)
• 读取/篡改服务器文件
• 作为横向移动跳板
• 常出现在网络诊断类功能

防护

• 避免调用 shell,优先用安全 API
• 输入白名单与严格校验
• 最小权限运行
• 参数化与输出编码