flawopen.com/OS कमांड इंजेक्शन

OS कमांड इंजेक्शन

OS कमांड इंजेक्शन तब होता है जब कोई ऐप्लिकेशन रिक्वेस्ट डेटा से कमांड लाइन बनाकर shell को देता है, और shell ;, | और $( ) जैसे अक्षरों को निर्देश मान लेता है। shell के बिना भी, - से शुरू होने वाला मान चलाए जा रहे प्रोग्राम के options चालू कर सकता है। हर भाषा में उपाय एक ही है: प्रोग्राम को आर्ग्युमेंट की सूची के साथ सीधे शुरू करें, हर मान को सख़्त पैटर्न से जाँचें, सिर्फ उसी command और argument type के लिए दस्तावेज़ित separator इस्तेमाल करें, और प्रोसेस को timeout और कम अधिकार वाले अकाउंट से सीमित करें। सटीक APIs, कमज़ोर और सुधरा कोड, और इसे पकड़ने वाले linters देखने के लिए नीचे अपनी भाषा चुनें। option terminator तभी इस्तेमाल करें जब वही command अपने दस्तावेज़ में इसका समर्थन बताए; हर executable -- या --end-of-options स्वीकार नहीं करता।

इस पेज के मुख्य शब्द

OS command injection (CWE-78)

कोई ऐप्लिकेशन अविश्वसनीय डेटा को ऑपरेटिंग सिस्टम कमांड तक ऐसे पहुँचाता है कि वह डेटा बदल सकता है कि कौन-सी कमांड या options चलेंगे। डाली गई कमांड ऐप्लिकेशन के यूज़र, environment और नेटवर्क पहुँच के साथ चलती हैं।

Shell metacharacters

वे अक्षर जिन्हें shell डेटा नहीं, syntax मानता है: ;, &, |, backticks, $( ), <, > और newline। इन्हें हाथ से escape करना कमज़ोर तरीका है; shell शुरू ही न करना समस्या को ख़त्म कर देता है।

Argument vector (argv)

अलग-अलग स्ट्रिंग की वह सूची जो प्रोग्राम को आर्ग्युमेंट के रूप में मिलती है। हर मान को सूची के अलग एलिमेंट के रूप में देने से वह केवल एक आर्ग्युमेंट हो सकता है, कभी नई कमांड नहीं; subprocess.run([...]), execFile, exec.Command और posix_spawn यही करते हैं।

Argument injection and Git option boundaries

इन markers के काम अलग हैं। Untrusted Git revision के लिए git rev-parse --verify --end-of-options "$revision" option parsing समाप्त करता है। git log में -- revisions और paths को अलग करता है। उसी command और argument type के लिए दस्तावेज़ में दिए गए separator का ही उपयोग करें; value को भी validate करें। git rev-parse, git log और Git CLI conventions देखें।

Inherited environment and PATH

child प्रोसेस सर्वर के environment variables विरासत में पाता है, और उनमें से कुछ कोड चलाते हैं: LD_PRELOAD, GIT_SSH_COMMAND, BASH_ENV। PATH में relative एंट्री रखा गया कोई binary असली प्रोग्राम की जगह चलवा सकती है। absolute paths और न्यूनतम environment इस्तेमाल करें।

हमले का चरण-दर-चरण प्रवाह

भाषा के अनुसार कमांड इंजेक्शन गाइड

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

• CI में shell-स्ट्रिंग APIs पर रोक लगाएँ: non-constant इनपुट के साथ os.system, shell=True, child_process.exec, Runtime.exec(String), system(), popen(), backticks और sh -c (Bandit, Semgrep, gosec, Brakeman, clang-tidy)।
• प्रोग्राम को तय नाम या absolute path और आर्ग्युमेंट सूची से शुरू करें; यूज़र के tool चुनाव को कोड में बनी table से मैप करें।
• हर आर्ग्युमेंट को पूरी स्ट्रिंग पर लागू ऐसे सख़्त पैटर्न से जाँचें जो शुरुआत में अक्षर या अंक माँगे।
• ठीक उसी executable का दस्तावेज़ देखें और केवल वहीं बताया गया option terminator इस्तेमाल करें; अन्यथा option जैसे दिखने वाले मान अस्वीकार करें या सुरक्षित API अपनाएँ।
• हर child प्रोसेस को timeout दें और समय बीतने पर उसे बंद करें।
• सेवा को बिना-अधिकार वाले यूज़र और न्यूनतम environment के साथ चलाएँ, जहाँ संभव हो बिना shell वाली container image में।

संबंधित लेख