Command Injection in C#

Learn how to fix Command Injection (CWE-78) in C# / .NET. Side-by-side vulnerable vs secure code examples for ProcessStartInfo.ArgumentList with UseShellExecute false.

💡 Explicação em Linguagem Simples (ELI5)

Imagine pedir a um assistente de escritório para imprimir um documento chamado 'relatorio.pdf'. A injeção de comando ocorre quando alguém fornece o nome 'relatorio.pdf; whoami', e o assistente entrega o bilhete inteiro ao terminal, fazendo-o imprimir o relatório e ler o crachá de administrador.

Conceitos Centrais e Termos

Web Application Security: Componente de arquitetura principal afetado pelo CWE-918.
CWE-918: Classificação padrão Common Weakness Enumeration (CWE) para command-injection-csharp.
Defense-in-Depth: Verificação de engenharia em múltiplas camadas e isolamento de limites em tempo de execução.

Fluxo de Ataque Passo a Paso

Step 1

Ingestão de Parâmetros Não Confiáveis

O aplicativo aceita nomes de host diagnósticos, nomes de arquivo ou flags diretamente de uma requisição HTTP ou formulário de usuário.

Step 2

Interpolação de Shell Não Higienizada

O backend constrói uma string de comando shell usando concatenação direta ou formatação em vez de um vetor de argumentos separado.

Step 3

Injeção de Separador de Comandos

O invasor injeta metacaracteres shell como ';', '&&', '|' ou crases (ex: '127.0.0.1; id') para quebrar o contexto pretendido do comando.

Step 4

Execução em Subshell e Comprometimento

O shell do sistema operacional executa o comando anexado com todos os privilégios do processo web em execução.

Código-Fonte: Vulnerável vs. Seguro

✕ IMPLEMENTAÇÃO VULNERÁVEL

// Concatenating into Arguments string
var psi = new ProcessStartInfo
{
    FileName = "cmd.exe",
    // Attacker input: "test.txt & net user /add evil Password123!"
    Arguments = $"/c type {userInput}",
    RedirectStandardOutput = true
};
Process.Start(psi);

✓ PATCH SEGURO E ROBUSTO

// Using ArgumentList (.NET Core / .NET 5+) without shell
var psi = new ProcessStartInfo
{
    FileName = "notepad.exe"
};
// Arguments added individually to ArgumentList are never parsed as shell commands
psi.ArgumentList.Add(userInput);
Process.Start(psi);

Lista de Verificação de Segurança para Engenharia

✓Sempre use ProcessStartInfo.ArgumentList.Add() instead of Arguments.
✓Nunca set FileName to cmd.exe or powershell.exe with user inputs.
✓Prática recomendada de segurança: Enable CA3006 in .editorconfig or Directory.Build.props.