Command Injection in Python

Learn how to fix Command Injection (CWE-78) in Python. Side-by-side vulnerable vs secure code examples for subprocess.run(), shlex.quote(), and os.system avoidance.

💡 Explicação em Linguagem Simples (ELI5)

Imagine pedir a um assistente de escritório para imprimir um documento chamado 'relatorio.pdf'. A injeção de comando ocorre quando alguém fornece o nome 'relatorio.pdf; whoami', e o assistente entrega o bilhete inteiro ao terminal, fazendo-o imprimir o relatório e ler o crachá de administrador.

Conceitos Centrais e Termos

Web Application Security: Componente de arquitetura principal afetado pelo CWE-918.
CWE-918: Classificação padrão Common Weakness Enumeration (CWE) para command-injection-python.
Defense-in-Depth: Verificação de engenharia em múltiplas camadas e isolamento de limites em tempo de execução.

Fluxo de Ataque Passo a Paso

Step 1

Ingestão de Parâmetros Não Confiáveis

O aplicativo aceita nomes de host diagnósticos, nomes de arquivo ou flags diretamente de uma requisição HTTP ou formulário de usuário.

Step 2

Interpolação de Shell Não Higienizada

O backend constrói uma string de comando shell usando concatenação direta ou formatação em vez de um vetor de argumentos separado.

Step 3

Injeção de Separador de Comandos

O invasor injeta metacaracteres shell como ';', '&&', '|' ou crases (ex: '127.0.0.1; id') para quebrar o contexto pretendido do comando.

Step 4

Execução em Subshell e Comprometimento

O shell do sistema operacional executa o comando anexado com todos os privilégios do processo web em execução.

Código-Fonte: Vulnerável vs. Seguro

✕ IMPLEMENTAÇÃO VULNERÁVEL

# shell=True spawns /bin/sh to interpret the string
import subprocess

def ping_host(host):
    # Attacker input: "8.8.8.8; cat /etc/passwd"
    cmd = f"ping -c 1 {host}"
    return subprocess.run(cmd, shell=True, capture_output=True)

✓ PATCH SEGURO E ROBUSTO

# shell=False (default): passes arguments directly to the binary
import subprocess

def ping_host(host):
    # host is treated strictly as a single argument to ping
    cmd = ["ping", "-c", "1", host]
    return subprocess.run(cmd, shell=False, capture_output=True, check=True)

Lista de Verificação de Segurança para Engenharia

✓Prática recomendada de segurança: Always pass command arguments as a list: ["executable", "arg1", "arg2"].
✓Certifique-se de que shell=False (the default in subprocess).
✓Prática recomendada de segurança: Completely eliminate calls to os.system() and os.popen().