Command Injection in C#

Learn how to fix Command Injection (CWE-78) in C# / .NET. Side-by-side vulnerable vs secure code examples for ProcessStartInfo.ArgumentList with UseShellExecute false.

💡 Explication en Langage Simple (ELI5)

Imaginez demander à un assistant de bureau d'imprimer un document nommé 'rapport.pdf'. L'injection de commande se produit lorsque quelqu'un fournit le nom 'rapport.pdf; whoami', et l'assistant transmet aveuglément le billet au terminal, imprimant le rapport et lisant le badge d'administrateur.

Concepts Clés et Termes

Web Application Security: Composant d'architecture clé affecté par CWE-918.
CWE-918: Classification standard Common Weakness Enumeration (CWE) pour command-injection-csharp.
Defense-in-Depth: Vérification d'ingénierie multicouche et isolation des limites à l'exécution.

Déroulement de l'Attaque Étape par Étape

Step 1

Ingestion de Paramètres Non Fiables

L'application reçoit des noms d'hôte de diagnostic ou des noms de fichiers directement à partir d'une requête HTTP.

Step 2

Interpolation Shell Non Sécurisée

Le backend assemble une commande shell par simple concaténation de chaînes au lieu d'utiliser un tableau d'arguments isolé.

Step 3

Injection de Séparateur de Commandes

L'attaquant injecte des métacaractères shell comme ';', '&&', '|' ou des accents graves (ex. '127.0.0.1; id') pour échapper au contexte initial.

Step 4

Exécution en Sous-shell et Compromission

Le shell du système d'exploitation exécute la commande injectée avec tous les privilèges du processus du serveur web.

Code Source : Vulnérable vs Sécurisé

✕ IMPLÉMENTATION VULNÉRABLE

// Concatenating into Arguments string
var psi = new ProcessStartInfo
{
    FileName = "cmd.exe",
    // Attacker input: "test.txt & net user /add evil Password123!"
    Arguments = $"/c type {userInput}",
    RedirectStandardOutput = true
};
Process.Start(psi);

✓ PATCH SÉCURISÉ ET ROBUSTE

// Using ArgumentList (.NET Core / .NET 5+) without shell
var psi = new ProcessStartInfo
{
    FileName = "notepad.exe"
};
// Arguments added individually to ArgumentList are never parsed as shell commands
psi.ArgumentList.Add(userInput);
Process.Start(psi);

Liste de Contrôle de Sécurité pour l'Ingénierie

✓Utilisez toujours ProcessStartInfo.ArgumentList.Add() instead of Arguments.
✓Ne jamais set FileName to cmd.exe or powershell.exe with user inputs.
✓Règle de sécurité recommandée : Enable CA3006 in .editorconfig or Directory.Build.props.