命令注入

简介

命令注入(Command Injection)是一类高危漏洞:程序把用户输入未经严格校验就拼接进操作系统命令并执行,攻击者通过构造特殊输入(如插入 ;、|、&&),让服务器执行其任意命令。[1]

危害与防御

可直接导致服务器被控制、数据被窃。与 SQL注入同源(都是「未净化输入拼进解释器」)。防御:避免拼接命令、使用参数化 API、严格白名单校验、最小权限运行。